悪意あるボット攻撃とは？その脅威と3つの対策を徹底解説

インターネット上でボットは、歓迎されないながらもすっかり身近な存在となっています。多くのボットは無害、あるいはむしろ便利なものですが、悪意を持つものも年々増加しており、サイバー攻撃のかなりの割合を占めるようになっています。

これほど普及しているにもかかわらず、悪意あるボット（バッドボット）による攻撃は、フィッシングやランサムウェアなどの他のサイバー犯罪ほど注目されてきませんでした。では、バッドボット攻撃とはどのようなもので、なぜ問題になるのでしょうか。そして、被害を防ぐためには何ができるのでしょうか。

バッドボット攻撃とは？

バッドボットとは、悪意のある目的を持って動作する自動プログラムのことです。目的はさまざまで、人気商品を実際のユーザーより先に買い占めるといった比較的単純なものから、Webサイトから個人情報を収集してアカウントへ不正侵入したり、機密データを漏えいさせたりするような深刻なものまであります。

バッドボットは、本物の人間や無害な通常のプログラムのように振る舞うことが多いため、Webサイトの防御をすり抜けてしまいます。その結果、フィッシングやランサムウェア、トロイの木馬などのようにニュースで大きく取り上げられることは少ないものの、驚くほど蔓延しています。

実際、あるレポートによると、2020年には全Webトラフィックの25.6％がバッドボットによるものでした。これは2019年から6.2ポイント増加した数字です。

なぜバッドボットが深刻な問題なのか

バッドボット攻撃は急速に拡大しているだけでなく、深刻な結果をもたらす可能性もあります。その一つが「ドクシング」です。これは、収集した個人情報を公の場で悪意をもって公開する行為を指します。

バッドボットは、さまざまなサイトから集めた情報を使ってユーザーをドクシングできます。ドクシングは必ずしも違法ではありませんが、精神的なダメージは非常に大きく、場合によっては人身の危険にさらされることさえあります。

また、一部のバッドボットは、収集した情報をドクシングではなく、競合他社に対するマーケティング上の優位性を得るために利用します。データセキュリティ関連の法律が整備されていない地域では違法にならないこともありますが、プライバシー侵害であることに変わりはありません。さらに、流出した情報がより深刻な被害につながる可能性もあります。

小売業界を標的としたサイバー攻撃においても、バッドボットは大きな役割を果たしており、その損害額は1億6200万ドルを超えるとも言われています。バッドボットはWeb上の複数の情報源から情報をかき集め、それらをつなぎ合わせて実際のユーザーのアカウントにログインし、なりすましやクレジットカード情報の窃取を行うのです。

バッドボット攻撃を防ぐ方法

多くの場合、バッドボット攻撃を防ぐ責任は、攻撃対象となるWebサイト側にあります。サイト運営者は、CAPTCHA（画像認証）や行動分析などの認証手段を用いて、ボットと本物の人間を区別できます。また、メールアドレスではなくユーザー名でのログインを求めることも有効です。

一方で、私たちユーザー自身にも、情報をボットから守るためにできることがいくつかあります。ここでは、バッドボット攻撃を防ぐのに役立つ3つの習慣を紹介します。

多要素認証（MFA）を活用する

バッドボットから守る最も効果的な方法の一つが、多要素認証（MFA）、いわゆる二段階認証（2FA）です。MFAは通常任意の設定ですが、SMSで受け取るワンタイムパスコードの入力など、ログイン時に追加の手順を要求します。このシンプルな対策だけで、自動化された攻撃の99.9％を防げるとされています。

ボットは、他のサイトからデータを収集するだけで、あなたのメールアドレスとパスワードを推測するのに十分な情報を手に入れられるかもしれません。しかし、多要素認証を設定していれば、そのような場合でもアカウントを乗っ取られることはありません。ボットが乗っ取りを成功させるには、リアルタイムであなたのSMS（または選択した別の認証手段）にアクセスする必要がありますが、それはまずあり得ません。

認証情報の管理を徹底する

同様の観点から、Webサイトごとに異なる認証情報（ユーザー名・パスワード）を使い分けるのも良い習慣です。ボットがアカウントに侵入する典型的な手法が「クレデンシャルスタッフィング」です。これは、他のアカウントやダークウェブで入手した情報を次々と試し、ログインできるまで繰り返す攻撃です。

クレデンシャルスタッフィングが有効になってしまうのは、多くの人が複数のサイトで同じユーザー名とパスワードを使い回しているからです。サイトごとに異なる認証情報を使えば、この攻撃はすぐに通用しなくなります。他のサイトに情報がなければ、ボットがそこから認証情報を学ぶことはできないのです。

自分の情報の扱いに注意する

そして、ネット上に公開する個人情報を減らすことでも、バッドボット攻撃への備えになります。「当たり前」「単純すぎる」と思われるかもしれませんが、これは多くの人が犯しがちな、しかも危険なミスです。さまざまなサイトに登録した情報が多いほど、ボット攻撃を受けたときの被害も大きくなります。

逆に、ネット上にあまり情報を出していなければ、ボットがあなたのデータでできることは限られます。そのため、SNSへの投稿やWebフォームへの入力内容には常に注意しましょう。特に、住所や金融情報などの詳細は、絶対に公開しないことが重要です。

小売サイトでの決済時にPayPalなどの仲介サービスを利用すれば、こうしたデータを安全に保てます。あるいは、購入後にアカウントから機密情報を削除するのも一つの方法です。

バッドボットから身を守ろう

バッドボット攻撃は懸念すべき傾向ですが、避けられないものではありません。安全を確保する第一歩は、これらの攻撃がもたらす脅威を正しく認識することです。

注意すべきポイントと予防策を理解していれば、安心してインターネットを活用できます。そうすれば、機密情報の漏えいを心配することなく、自由にネットを楽しめるでしょう。