ボット検知は壊れています。
目に見えているのに見過ごされている最大の問題は、ボットによる攻撃です。サイバーセキュリティの世界以外ではほとんど注目されていませんが、ある調査では、約50％のウェブトラフィックがボットによるものでした。その結果、アカウント乗っ取りが前年比155％増加しています。悪意のあるボットは、いまや広告主に対してコンバージョン損失として1,000億ドルの損害を与えています。
従来のボット対策ソリューションであるIPブロックリストの利用、静的なルールエンジン、そして忌み嫌われるCaptchaでは、ボットの増加を食い止めることはできていません。むしろ、ユーザーを苛立たせ、広告やeコマースのコンバージョンパフォーマンスを損なう結果を招いています。オンラインプラットフォームの完全性・セキュリティ・パフォーマンスを維持するためには、悪意のあるボットを特定し、遮断することが極めて重要です。
悪意のあるボットとは何か？
悪意のあるボットやスクリプトは、公開インターネット上で利用可能なウェブサイト、サービス、またはAPIを攻撃するために作られたシンプルなソフトウェアです。これらは、脆弱性のあるシステムに感染し、データや個人情報を盗み出したり、不正行為を直接行ったりすることがあります。
悪意のあるボットによるトラフィックの急増は、オンライン環境を利用する企業や個人にとって重大な懸念事項として浮上しています。これらの陰湿なボットは、多数の有害な行為を実行するようにプログラムされています。
「悪意のあるボットの厄介な点は、その高度さだけでなく、彼らが生み出す自動化トラフィックの膨大な量にあります。Sardine では、人間とボットの行動のわずかな違いを検知することに注力し、リアルタイムでの検知精度を高めています。」 — Sardine ソフトウェアエンジニアリングリード ジェフリー・ジョシュア
一般的なボット攻撃の用語
とは何か クレデンシャルスタッフィング？
クレデンシャルスタッフィングとは、不正利用者が漏えいしたユーザー名とパスワードのリストを、大量の自動ログイン試行によってテストする攻撃です。これらの認証情報は、通常ほかのウェブサイトからの情報漏えいで入手・購入されたものです。
攻撃者が侵害・盗難されたユーザーIDやパスワードを使ってサイトAで本人確認を行うと、その情報を利用して最終的にアカウント乗っ取り（ATO）をサイトBで実行することができます。多くの人が複数のサイトで同じログイン情報を使い回しているため、このボット攻撃はしばしば複数サイトでのATOにつながります。
カード情報の不正使用（カーディング）攻撃とは？
カード詐欺攻撃（カード詰め込み攻撃とも呼ばれる）は、攻撃者が盗まれたクレジットカード番号を入手し、ボットを使ってその有効性を確認することで行われるセキュリティ上の脅威です。これらの攻撃では、カード詐欺フォーラムで共有されているクレジットカード情報が利用されることがよくあります。攻撃者はCVVを持っている場合もあれば持っていない場合もあり、CVVを推測するためにカード詐欺を行うこともあります。彼らはしばしば、犯罪行為に利用する目的でクレジットカードの詳細情報を取得し、その有効性を確認しようとします。
これらの状況ではクレジットカード詐欺が大きな懸念事項であり、攻撃者はさまざまな手口を用いてセキュリティ対策をすり抜けようとします。事業者はチャージバックを防ぎ、クレジットカード決済代行会社との良好な関係を維持するために、高い警戒心を持つ必要があります。攻撃者は盗まれたクレジットカード情報を自動化されたオペレーションで利用し、不正な取引を承認させることがよくあります。
盗まれたクレジットカードのデータは、ダークウェブで頻繁に取引されており、そこで人々は不正利用の手口を共有しています。盗難クレジットカードを使った不正行為は、企業に深刻な影響を与え、金銭的損失や評判の失墜を招くおそれがあります。
スキャルピング（チケット転売）詐欺とは何ですか？
ボットは、eBay のような販売サイトでチケットなどの需要が高い商品を購入したり、終了間際の入札を行ったりします。実際の顧客と異なり、こうした行為は優良な顧客の不満につながり、さらにこれらのボットは関連する追加商品を購入しない場合があります。
SMSポンピングボット攻撃とは何か？
この場合、攻撃者はMNOと協力してトラフィックを送信します。MNO は、詐欺師と意図的または無意識のうちに協力している可能性があります。その結果、詐欺師はライドシェア業界の事業者で多数の偽アカウントを作成し、SMS のワンタイムパスコード（OTP）を大量に発生させます。これを防ぐ最も効果的な方法は、通信事業者ごとに「MCC+MNC」を使ってブロックリストを作成することです。大手キャリアや疑わしいキャリアからの攻撃を最小限に抑えるために、専門のボット対策ベンダーを利用することもできます。この攻撃の一種として SMS トール詐欺があり、詐欺師がプレミアム番号宛てに SMS を送信して不正な料金を発生させます。
コンテンツスクレイピング攻撃とは何ですか？
競合他社は、価格を比較するためにウェブサイトをスクレイピングしたり、銀行やソーシャルメディアからデータを抽出して自社製品の構築に利用したりすることがあります。特に、ソーシャルメディアプラットフォームXは、競合他社がそのデータを利用することを懸念し、自社独自の生成AIアルゴリズムの開発を始めた段階でスクレイパーをブロックしました。こうした状況を受けて、ニュースメディア各社も同様の問題に対して懸念を強めています。
DoS攻撃とDDoS攻撃とは何か？
サービス妨害（DoS）攻撃は、システムやサーバー、ネットワークに大量のトラフィックを送りつけることで、リソースや帯域幅を使い果たさせます。一方、分散型サービス妨害（DDoS）攻撃は、複数の発信元を利用して同様の攻撃を行います。通常、DDoS攻撃はサイト上で行われている実際の不正行為から注意をそらすために用いられます。
広告詐欺（クリック詐欺）とは何ですか？
詐欺行為を行う者は、ボットを使って広告を配信したり、自分たちが作成した広告をボットにクリックさせて、「ペイ・パー・クリック」モデルで収益を得ることがあります。ボットは、広告を掲載しているサイトで広告の成果が良いかのような錯覚を生み出します。
ゲームの自動化とは何ですか？
多くのサイトは、ポーカーのようなゲームを自動的にプレイしてくれます。これらはしばしば人間よりも高い成績を出し、サービスから追加の勝ち分を引き出すことができます。
偽プロフィールによる攻撃とは何ですか？
多くの詐欺師は、将来的に実際の収益化を目的として、大量の偽のオンボーディング用プロフィールを作成することがあります。ボットが1万件の本物そっくりなプロフィールを作成できれば、それらを使ってユーザーをフィッシングしたり、詐欺行為を行ったり、虚偽のレビューを投稿したりすることが可能になります。これらの偽プロフィールは、サインアップ時に10ドルを獲得するようなプロモーション悪用の目的でも作成される場合があります。このような悪質な行為を防ぐためには、人間のユーザーとボットを見分ける仕組みを導入することが極めて重要です。
フィッシングボット攻撃とは何ですか？
ボットは、メールやメッセージなどの欺瞞的な通信を送りつけ、個人に機密情報を開示させたり、セキュリティを危険にさらす可能性のある行動を取らせたりします。これは詐欺行為の前段階であり、大手小売業者やソーシャルネットワークを利用するユーザーが標的となることがよくあります。
ボット攻撃の構造
ボットには、デバイス、IPアドレス、そのデバイス上でコードを実行するスクリプトという3つの基本要素が必要です。さらに、どのスクリプトをデバイス上で実行するかを制御するためのコマンドセンターを備えている場合もあります。
デバイス：ボットはほとんどあらゆるデバイスを利用できます。最も有名なボットネットのひとつが「Mirai」です。Mirai は 2016 年以降、ブラックフライデーなどのタイミングで多くのウェブサイトをダウンさせたと考えられています。Mirai のようなボットネットは、通常ルーターやウェブカメラを侵害し、その結果としてウェブサイトを攻撃するための信頼された IP アドレスを取得できます。マルウェアが IoT デバイスに感染すると、そのボットは自分の存在を知らせる信号をコマンドサーバーに送信します。この接続セッションは、コマンドサーバーがボットに命令を出す準備が整うまで維持されます。ボットネットは分散型のコマンドサーバーを使用する場合もあります。また、ボットファームやクラウド、データセンターの仮想サーバー上で動作する専用デバイスを利用することもあります。
IP：ボットは本当のIPアドレスや位置情報を隠すために、さまざまな手口を使います。多くはプロキシやVPNを利用し、家庭用デバイスを乗っ取った場合には、そのデバイス自体のIPアドレスを使います（無害に見えることが多いためです）。これは、ボットの神経系のようなもので、悪意があるように見せずに通信する仕組みだと考えてください。
スクリプト： ボットは Curl、Puppeteer、Phantom JS、HtmlUnit などの「スクリプト」を使ってウェブサイトを攻撃します。あるいは、Selenium のようなブラウザツールを使ったり、ネイティブアプリでは BlueStacks や GenyMotion のようなツールを使ってデバイスをエミュレートします。フィンガープリントを回避するために、FraudFox や MultiLogin などのブラウザ、あるいはステルス系プラグインを使用することもあります。Puppeteer stealth。これによりボットのロジックが実行され、それがボットの「頭脳」となります。
効果的なボット検知ソリューションの要件
以下は、あるウェブスクレイピング業者の広告です。彼らは、有名なCDNのボット保護をどのように回避するかを示しています。
ボットを検出するために必要なもの：
- 人間ではない行動を検知する。自動化ライブラリや高度なボットは、人間よりも速く、瞬時に、かつ一貫した動きが可能です。人間の行動パターンから外れた動きやデバイスの使い方、または既知のボット活動と一致する挙動を検知することは、非常に重要な手法です。
- ユーザー行動の分析。 マウスの動き、キーストローク、ページ遷移といったユーザー行動パターンを分析することで、ボット活動を示す可能性のある異常を検知できます。行動分析技術は、人間のユーザーと自動化されたボットを見分けるうえで不可欠です。
- 住宅プロキシを検出する。正当なユーザーがプライバシー保護のために住宅プロキシを利用することもありますが、ボットは自分の位置情報を隠したり、オンラインサービスの正規ユーザーであるかのように見せかけたりする目的で、それらを頻繁に使用します。
高度なボット攻撃に対処する際には、CAPTCHA やレート制限といった表面的な防御だけにとらわれないことが重要です。不自然なマウスの動きや通常とは異なる画面遷移パターンなど、ユーザー行動のわずかな異常を検知できるツールを導入することで、より高度なボットに対する防御力を大幅に高めることができます」と説明するのは、Sardine のソフトウェアエンジニアリングリードである Jeffrie Joshuaである。
CDN とボット検知ソリューションの比較
ボット対策は、CDN やクラウドベンダー、または次のようなボット検知ソリューションによって行うことができます：Sardine。
以前勤めていた会社のひとつでは、ボットがカメラなどのスマートIoTデバイスのネットワークを乗っ取り、それらを使ってブラックフライデーに大規模な攻撃を仕掛けてきました。その時点では、ブラックフライデーには常に不規則なIPトラフィックパターンが発生しており、さらに不正行為者が信頼できるIPアドレスからアクセスしていたため、CDNではその攻撃を止めることができませんでした。
上記の攻撃では、エミュレーターを検知するセキュリティSDKが攻撃を阻止することができました。
CDNのオプションには制約があり、それをボット検知ソリューションで解決できます。
CDN／クラウドベンダー | ボット検知ベンダー |
IP ベースのレート制限で単純なボットを検出する | レジデンシャルプロキシを使う高度なボットを検出する |
シンプルなJSボット検出 | 異常な挙動を検知する高度なセキュリティ用JavaScript |
非常に高速で、DDoS攻撃にも対応できます | DDoS対策やレート制限の処理をCDNやWAFに依存している可能性がある |
CDN/クラウドベンダー ボット検知ベンダー IP ベースのレート制限による単純なボットの検知 住宅プロキシを利用する高度なボットの検知 シンプルな JS によるボット検知 異常な挙動を検知する高度なセキュリティ JS 非常に高速で、DDoS に対応可能 DDoS 対策やレート制限を CDN/WAF に依存する場合がある
CDN/クラウドベンダーは、自社が処理しなければならないトラフィック量に応じて報酬を得ています。そこには本質的な利益相反があり、ボットトラフィックが増えるほど彼らの利益も増える構図になっています。それでも、彼らの提供する基本的なソリューションには十分な価値があります。
しかし、CDN を単独で使用すると、複数の防御レイヤーを構築するのではなく、ボットに対する防御が 1 段階だけになってしまいます。
最高水準のボット検知を求める大規模なマーチャント、マーケットプレイス、ネットワークにとって、セキュリティ専門家の強みは、高リスクなイベントやユーザー行動におけるボット検知を強化することにあります。
「ボットと戦ううえで最も効果的な戦略のひとつは、新たな脅威に合わせて進化できる適応型機械学習モデルを活用することです。ボットが手口を絶えず変えている状況では、静的な防御に頼ることはできません。強固な防御を維持するには、継続的な監視と検知アルゴリズムの更新が不可欠です」と語るのは、Sardineのソフトウェアエンジニアリングリード、ジェフリー・ジョシュアです。
ボット検知体制の構築
独自のボット検知システムを構築するにあたり、優先すべき点として次のようなものが考えられます
- IPレピュテーション
- IPベースのレート制限
- フォールバックとしてのCAPTCHA
- ハニーポット - 隠しフィールドを追加し、それらに値が入力されていないか確認します。
プロフェッショナルなボット検知ベンダーを併用し、プロキシ／VPN検知、エミュレータ検知、フィンガープリンティング、行動バイオメトリクス、スクリプト検知などを行えるようにしましょう。
サーディンによる不正検知・防止のアプローチ
Sardine は商取引の世界において、創業者たちが広告テクノロジーと決済の両方で経験を持つという点でユニークな存在です。本来は別々の領域だったこの2つの世界ですが、どちらも「ボット」攻撃やボットネットによる被害に悩まされています。
ボットはしばしばサイバーセキュリティの問題と見なされますが、不正行為の問題でもあります。大企業では部門ごとに異なる課題に取り組むため、この分断がさまざまな困難を引き起こします。
Sardine はシングルのデバイスインテリジェンスを 行動バイオメトリクスと組み合わせて活用し、高精度なボット検知に最適化しています。これにより、人間とボットの行動をより正確に見分けることができます。Sardine は、スクリプト／エミュレーターを検知し、住宅用プロキシ／VPN をリアルタイムで検出する独自技術を有しています。こうした 行動バイオメトリクス の活用により、Sardine は他社より優位性を持っています。
ボット対策に関するよくある質問
良いボットと悪いボットはどのように見分けますか？
企業は、ユーザーエージェント（UA）やIPアドレスのレピュテーションを確認することで、それが良いボットか悪いボットかを判断できます。そのためには、IPアドレスの評価を低レイテンシー（500ms未満）で把握する必要があります。
Webアプリケーションファイアウォール（WAF）を使ってボットを管理できますか？
WAF は IP ベースのレート制限に利用できます。そのため、WAF は単純なボットをフィルタリングする有効な手段になり得ます。ただし、適切にチューニングしないと、多くの優良な顧客までブロックされてしまう可能性があります。理想的には、WF または CDN を入り口とし、その後段にセキュリティベンダーを組み合わせるウォーターフォール型のアプローチを取ることで、最も質の高いトラフィックと最大の投資対効果（ROI）を得ることができます。
ボットに関する問題があるかどうかは、どのように判断できますか？
多くのオンボーディング用プロフィールが作成されているのに、ほとんどの顧客が購入まで至っていない場合、ボットの問題を抱えている可能性があります。私が以前勤めていた会社の一つでは、たくさんの広告がクリックされているにもかかわらず、オンボーディングイベントがほとんど発生しておらず、その結果、それらのクリックの大半が不正なものだと判明しました。
ボットを検知した後、次に取るべきステップは何ですか？
新規顧客のフローでは、顧客を拒否するか、またはキャプチャを出すことができます。既存顧客のフローでは、2FA を要求することもできます。ただし 2FA を要求する場合は回数を制限してください。というのも、ボットの最終的な目的が、2FA を大量に送りつけて顧客をうんざりさせ、本当に重要な 2FA を無視させることかもしれないからです。限定的なケースでは、あえてボットをそのまま進行させ、後の段階で拒否するという対応も検討してください。
カメラ、Fire TV スティック、Android ボックスなどのデバイスがボットネットの影響を受けているか、どのように検知すればよいですか？
請求書に見られるような異常なトラフィックの急増は、検知の手がかりになります。最も簡単な方法は、Wi‑Fi ネットワークを OpenDNS で構成し、すべての外向き通信をログに記録することかもしれません。さらに、カメラなど脆弱な IoT デバイスは、別のネットワーク／SSID に接続するように分けておくとよいでしょう。Comcast のような一部のケーブル事業者は自社製ルーターを提供しており、特定のデバイスを監視できるペアレンタルコントロール機能を備えている場合があります。