こちらの件ですが、
Claude CodeとAntigravityを導入した後にMCCが乗っ取られたそうです。
被害額は8桁後半。
MCCって何？
文脈だけだと MCC はたぶん「Multi‑Currency Card（多通貨プリペイド／デビットカード）」 の略です。
海外送金・外貨決済まわりで使うカードサービスを指して「MCC」と呼ぶことがあり、そこが「乗っ取られた」というのは カード口座（アカウント）を不正ログインされて残高を抜かれた／不正決済された という意味合いになりがちです。
ただし MCC は他にも有名な略が複数 あります。たとえば：
確実に特定したいので、可能なら次のどれかを教えてください（伏せ字でもOKです）：
1) 「MCC」の前後の文章（1〜2行）
2) その人が使っていたサービス名（例：Wise、Revolut、PayPay銀行…など）
3) “乗っ取られた” の具体（不正送金／カード決済／仮想通貨移転など）
それが分かれば、その文脈での MCC が何を指すか絞れます。
導入は外部のAIコンサルに依頼してて、
当事者側では明確な原因を特定できていない様子でしたが、次のうちのどれかとのこと。
・AIがリサーチ等で訪れたWebサイトに、悪意のある指示が隠されていてAIの動作が乗っ取られた。
（例えば極小フォントやCSSで非表示とか）
・配布されているプロンプトを使っていて、プロンプト内に悪意のある指示が紛れていた。
・追加したMCPが許可済みツールとして悪用され、エージェントが正規のツールとして実行した。
・自動化の過程でトークンがログやテンプレに残っていて流出した。
MCCが正規権限で操作できる状態になっている場合、
媒体側からは通常の操作と見分けがつきにくく、外部ツールも介在しているのもあって補償は絶望的とのことでした。
AI以外にもCookie盗まれて二段階認証してようが乗っ取られる事もあるので、お気をつけください！
この文脈の MCC は、ほぼ確実に 「（法人/個人の）クレジットカードの管理コンソール＝カード会社/発行会社の管理画面」 を指して当事者が便宜的にそう呼んでいるものです。
理由は：
ただし、「MCC」という略が業界で一意にこれを指す わけではありません。なので厳密には、その人が言うMCCが何のサービスか（例：カード発行基盤、経費精算/コーポレートカード管理、Wise/Revolut/Stripe/Marqeta系の管理画面等）で確定します。
もし可能なら、次のどれかが分かると特定できます（伏せ字でOK）：
それが分かれば、「そのMCCが何の略として使われているか」まで絞って説明できます。
状況が見えないんだけど、どういうこと？
.envを読まれたっていうこと？
可能性としては「.env を読まれた」とも言えるし、もっと広く “エージェント（Claude Code＋MCP等）に与えた権限・秘密情報が悪用されて、正規の操作として決済/送金が実行された” という話だと思います。状況を絵にするとこうです。
1) 外部AIコンサルが Claude Code などで「調査」「自動化」を組む
2) その実行環境には、業務上必要として 秘密情報（トークン、APIキー、Cookie、セッション、カード管理画面のログイン情報等） と、操作できるツール（MCP） が入っている
3) そこに プロンプトインジェクション（Webページ/配布プロンプト/隠し指示）などで「別の指示」が混入
4) エージェントがそれを“正しい指示”として採用し、許可済みツールを使って
つまり「MCCが乗っ取られた」は、攻撃者が直接UIをハッキングしたというより、AIが正規権限で操作できる状態になっていて、それで不正操作された というニュアンスに近いです。
あり得ます。ただし .env そのものが読まれたかはケース次第です。起こり方は大きく3つあります。
cat .envprintenvcat できない/させない」設計にすべきで、できてしまうなら権限設計が強い問題。あなたが挙げている
自動化の過程でトークンがログやテンプレに残っていて流出 はこれ。CIログ、実行ログ、エラー出力、コピペされた手順書、プロンプトテンプレ等に うっかりトークンが平文で残るパターンです。
この場合「.envを読まれた」というより 運用上の流出です。
これが一番この話に合います。つまり
.env の中身を外に持ち出さなくてもこの場合、漏れたのは「秘密情報」ではなく、エージェントに与えた操作権限そのものです（結果として被害が“正規操作”に見える）。
cat .env や printenv っぽい痕跡、もしくはAIの出力にキーが混ざった → .env/環境変数が読まれた可能性もし分かれば、次の2点だけ教えてください（伏せ字でOK）：
1) 「MCC」で操作されたのは Web管理画面？それとも API？
2) AIが動いてた環境は ローカルPC、社内サーバ、外部ベンダー環境のどれ？
これで「.env流出型」か「権限悪用型」か、かなり絞れます。
そんなことできる？
3) そこに プロンプトインジェクション（Webページ/配布プロンプト/隠し指示）などで「別の指示」が混入
これをされたとしてどんな被害が遭うかわからんのだけど。
攻撃者が入手したMCCにログインして、攻撃者の口座に送金させるってこと？
できます。ただし「プロンプトインジェクションだけで即お金が抜ける」わけではなく、AIエージェント側に“お金を動かせる権限（ツール・セッション・APIキー）”が既にある場合に、注入された指示が引き金になって被害が起きます。
整理するとこうです。
Webページや配布プロンプトに隠された指示（例：極小文字/非表示テキスト）で、AIが
みたいな “目的外の手順”を正当なタスクだと誤認します。
ここで重要なのは、AIが自力でハッキングするというより、自分に許された操作を、騙されて実行することです。
あなたの言う「攻撃者がMCCにログインして送金させる？」に近いものも含めて、起き方はだいたい次です。
AIエージェントに、たとえば以下が“正規に”許可されているとします。
このとき注入指示でAIがやらされるのは、例えば：
攻撃者がMCCにログインする必要すらなく、AIが“正規の操作者”として実行してしまう形です。
だから「媒体側からは通常操作と見分けがつきにくい」「補償が厳しい」という話になります。
注入指示でAIに
.env / 環境変数などを「デバッグのため表示して」「このURLへ貼り付けて報告して」みたいに誘導し、AIが外部に漏らす。
その結果、攻撃者が入手したトークン/セッションで MCC（管理画面）にログインして送金、は起こり得ます。
ただし最近のサービスは送金時に追加認証があったりするので、成功するかはサービス設計次第です。
すぐ送金できなくても、
みたいに、防御を弱める操作をやらされ、後続の侵害につながることがあります。
結局、被害はこの2点で決まります。
1) AIが触れるもの（秘密情報）：APIキー、Cookie、認証情報、送金先リスト等
2) AIが実行できること（ツール権限）：送金API、カード発行、ブラウザ操作、経費精算の承認 等
これが強いほど、「攻撃者が入手したMCCにログインして送金させる」どころか、攻撃者がログインせずともAIが送金してしまうが成立します。
次のどれに近い構成でした？
(1)(2)なら「注入→正規ツール悪用→正規操作として出金」が現実的です。
(3)なら、まずは「どこで決済権限がAI実行環境に混入したか（ログ、.env、MCP、セッション）」を疑うのが筋です。