はじめに

インターネット上のトラフィックの約半分は、ボットによるものと言われています。その中には、正規の目的で利用されるボットもありますが、悪意を持って運用される不正なボットも多く存在します。

不正なボットは、Webサイトやサービスに対してさまざまな攻撃を仕掛け、サービスの停止、データの窃取、金銭的な損害などを引き起こします。

この記事では、不正なボットによるセキュリティ攻撃の種類、仕組み、そして対策方法について解説します。

不正ボットとは

悪意のあるボットの定義

不正ボット（Malicious Bot）とは、悪意のある目的で設計・運用される自動化プログラムです。システムやサービスに害を与える、または不正な利益を得るために使用されます。

主な目的

サービスの妨害や停止
個人情報やデータの窃取
不正なアクセスやログイン
スパム配信
詐欺行為

不正ボットと正規ボットの違い

正規ボットの特徴

サービス提供者の許可を得ている
robots.txtなどのルールを遵守する
適切なユーザーエージェントで識別可能
アクセス頻度が適切

不正ボットの特徴

許可なく動作する
ルールを無視または回避する
正規ユーザーを装う
大量のリクエストを送信する

主な不正ボット攻撃の種類

DDoS攻撃（分散型サービス拒否攻撃）

DDoS攻撃（Distributed Denial of Service Attack）は、複数のボットから同時に大量のリクエストを送信し、サーバーやネットワークのリソースを枯渇させる攻撃です。

攻撃の流れ

影響

サーバーのダウンや極端な速度低下
正規ユーザーがサービスにアクセスできない
ビジネス機会の損失

Webスクレイピング攻撃

不正なWebスクレイピングは、大量のデータを無断で収集する攻撃です。

主な目的

価格情報の収集と競合への利用
コンテンツの無断転載
ユーザー情報の収集

影響

サーバーへの負荷増加
知的財産の侵害
競争上の不利益

ブルートフォース攻撃

ブルートフォース攻撃（総当たり攻撃）は、パスワードやAPIキーなどを片っ端から試行し、正しい認証情報を見つけ出す攻撃です。

攻撃例

一般的なパスワードを順番に試行
辞書に載っている単語を試行
数字や記号の組み合わせを総当たり

クレデンシャルスタッフィング

クレデンシャルスタッフィング（Credential Stuffing）は、他のサービスから漏洩した認証情報を使って、別のサービスへのログインを試みる攻撃です。

攻撃の特徴

漏洩したユーザー名とパスワードのリストを使用
多くのユーザーが複数サービスで同じパスワードを使い回していることを悪用
成功率は低いが、大量に試行することで一定数のアカウントを乗っ取れる

スパムボット

スパムボットは、Webサイトのコメント欄、フォーム、メールなどに大量のスパムを送信するボットです。

主な活動

コメント欄への広告投稿
問い合わせフォームへのスパム送信
SNSでのスパムメッセージ配信
偽アカウントの大量作成

クリック詐欺ボット

クリック詐欺ボット（Click Fraud Bot）は、Web広告を不正にクリックして広告費を詐取するボットです。

仕組み

自社の広告を競合にクリックさせて広告費を無駄に消費させる
自身が運営する広告枠のクリック数を水増しして収益を不正に得る

在庫買い占めボット（スキャルピングボット）

限定商品やチケットを自動的に大量購入し、高額で転売するためのボットです。

問題点

一般ユーザーが商品を購入できない
価格が不当に高騰する
販売者の意図しない流通経路が発生する

不正ボット攻撃の影響

システムへの影響

パフォーマンスの低下

サーバーリソースの枯渇
レスポンスタイムの増加
データベースへの過負荷

サービスの停止

完全なダウンタイム
復旧作業の必要性
バックアップシステムへの切り替え

ビジネスへの影響

金銭的損失

機会損失による売上減少
復旧作業のコスト
セキュリティ対策の追加投資

ブランドイメージの低下

ユーザーからの信頼喪失
競合他社への顧客流出
メディアでの否定的な報道

法的リスク

個人情報漏洩による法的責任
コンプライアンス違反
損害賠償請求

ユーザーへの影響

サービス利用の妨害

サービスにアクセスできない
購入したい商品が買えない
レスポンスが遅く使いづらい

個人情報の漏洩

アカウントの乗っ取り
クレジットカード情報の不正利用
プライバシーの侵害

不正ボット攻撃の仕組み

ボットネットの構造

ボットネット（Botnet）は、マルウェアに感染した多数のコンピューターやIoTデバイスを遠隔操作できるネットワークです。

構成要素

C&Cサーバー: 指令を出すコントロールサーバー（Command and Control Server）
ボット: マルウェアに感染した端末群
攻撃者: ボットネットを操作する人物や組織

攻撃の実行プロセス

準備段階: ボットネットを構築し、攻撃の準備をします
偵察段階: 標的システムの脆弱性やアーキテクチャを調査します
攻撃実行: ボットネットに指令を送り、攻撃を開始します
攻撃継続: 防御を回避しながら攻撃を継続します
終了・撤退: 目的達成後、または検知されたら撤退します

不正ボットを検知する方法

アクセスパターンの分析

通常とは異なるパターン

異常に高い頻度でのアクセス
深夜や特定時間帯への集中的なアクセス
同一IPアドレスからの大量リクエスト
特定のエンドポイントへの集中的なアクセス

検知手法

アクセスログの監視と分析
リクエスト頻度のしきい値設定
異常検知システムの導入

ユーザーエージェントの確認

ユーザーエージェント（User Agent）は、クライアントがサーバーに送信する識別情報です。

不正ボットの特徴

存在しないブラウザやバージョンを名乗る
ユーザーエージェントが空白
古いブラウザのみを使用
同一のユーザーエージェントから大量アクセス

振る舞い分析

人間のユーザーと自動化されたボットでは、行動パターンが異なります。

人間のユーザーの特徴

マウスの動きがある
ページ滞在時間がある
スクロールやクリックのタイミングにばらつきがある
セッション内で複数のページを閲覧する

ボットの特徴

マウスの動きが不自然または存在しない
ページ滞在時間が極端に短い
一定のリズムで動作する
特定のページに直接アクセスする

IPアドレスとレート制限

IPアドレスベースの検知

既知の不正IPアドレスのブラックリスト
データセンターやVPN、Torからのアクセス
地理的に不自然なアクセス元
短時間での複数IPからのアクセス

レート制限（Rate Limiting）

一定時間内のリクエスト数を制限
IPアドレスごとの制限
APIエンドポイントごとの制限
ユーザーアカウントごとの制限

不正ボット対策

技術的な対策

CAPTCHA の導入

CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）は、人間とボットを区別するための仕組みです。

種類

画像認識型: 歪んだ文字や画像を選択
reCAPTCHA: Googleが提供する高度なCAPTCHA
hCaptcha: プライバシーに配慮した代替手段
行動分析型: ユーザーの行動を分析して判定

WAF の導入

WAF（Web Application Firewall）は、Webアプリケーションへの攻撃を検知・防御するシステムです。

主な機能

不正なリクエストのフィルタリング
SQLインジェクションやXSS攻撃の防御
ボット検知ルールの適用
IPアドレスのブロック

ボット管理ソリューション

専門的なボット対策サービスを利用する方法もあります。

代表的なサービス

Cloudflare Bot Management
AWS WAF Bot Control
Akamai Bot Manager
Imperva Bot Management

サービス側での対策

レート制限の実装

実装例

APIのエンドポイントごとにレート制限を設定
時間窓（1分間、1時間など）ごとの上限を定義
超過した場合は HTTP 429（Too Many Requests）を返す

認証の強化

多要素認証（MFA）の導入
パスワードポリシーの強化
ログイン試行回数の制限
アカウントロックアウトの実装
異常なログイン試行の検知と通知

トークンやセッション管理

CSRF トークンの利用
セッションのタイムアウト設定
ワンタイムトークンの使用
トークンの定期的なローテーション

運用面での対策

監視とログの活用

監視すべき項目

アクセス頻度とパターン
エラーレートの増加
特定エンドポイントへの集中
異常なトラフィックの急増

ログの記録と分析

アクセスログの保存と定期的な分析
異常検知アラートの設定
インシデント発生時の追跡可能性の確保

定期的なセキュリティ診断

脆弱性スキャンの実施
ペネトレーションテストの実施
セキュリティパッチの適用
最新の攻撃手法への対応

まとめ

生成AIでアプリケーションが簡単に作れる時代だからこそ不正bot対策をしましょう！！