Imperva 悪性ボットに関する報告（2023年版）の概要

Imperva 悪性ボットに関する報告（2023年版） が公開されました。第10回目となるこの年次レポートでは、昨年の悪性ボットに関する統計や傾向について深く掘り下げているほか、各ボットの性質と、それらがもたらす影響について、有意義な情報と指針が述べられています。

管理されていないボットトラフィックがもたらすリスクを理解する

このレポートでは、管理されていないボットトラフィックに潜むリスクが分かりやすく説明されています。ボット管理のリーダーにも選出されているImpervaは、12年以上にわたって悪性ボットと向き合ってきました。その経験も踏まえ、過去10年間のボットを振り返ります。
本文では、悪質な自動攻撃がどのように進化したかについて解説されており、過去10年にわたるボットトラフィックの傾向や、これまでのレポートで言及された主な事柄についてもまとめられています。こういった過去の統計や歴史が、私たちが直面している現在の悪性ボットの動向に繋がっているのです。

2022年のボットトラフィックは大幅に増加

2022年は、インターネットにおける全トラフィックの約半数（47.4％）をボットが占めていました。この数値は、前年と比べて5.1％増加しています。

悪性ボットに関する報告（2023年版）における主な調査結果

4年間連続で悪性ボットのトラフィックが増加

2022年は、インターネットにおける全トラフィックの30.2％を悪性ボットが占めていました。この数値は、2021年の27.2％から2.5％増加しています。また、良性ボットが占める割合も増え、全トラフィックの17.3％となりました。「良性ボット」と聞くと全く心配する必要がないようにも思えますが、こういったボットも問題を引き起こす可能性があります。ボットの活動自体がウェブやマーケティングに関する分析を歪める場合があるため、正確な情報に基づいたビジネス上の意思決定が行いにくくなるのです。

高度化し続ける悪性ボット

高度な悪性ボットは、悪性ボットトラフィックの半分以上を占めています。2022年には、回避型の悪性ボットが悪性ボットトラフィック全体の66.6%を占め、前年（65.5%）からわずかに増加しました。回避型の悪性ボットとは、中度および高度な悪性ボットをグループ化したもので、より長い時間をかけて正体を隠す性質があります。回避型のボットの量はそこまで増加していません。しかしその内訳を見ると、中度のボットを犠牲にして高度なボットの割合が実質的に倍増しています。また、「低度」に分類される悪性ボットの割合は、2021年の34.4%に対して33.4%と、比較的横ばいで推移しています。つまり、単純な悪性ボットと回避型の悪性ボットの割合はほぼ同じであるものの、回避的な悪性ボットがより高度化しているということがわかります。

2022年、悪性ボットの主な標的となったAPI

APIを標的とした攻撃のうち、17％がビジネスロジックを悪用する悪性ボット、21％がその他のタイプの自動的な攻撃でした。ビジネスロジックを悪用した攻撃は、APIやアプリケーションの設計や実装における欠陥を狙って、正当な機能を操作して機密データを盗んだり、不正にアカウントにアクセスしたりすることを目的としています。さらに、2022年にImpervaが記録したアカウント乗っ取り攻撃の35%は、主にAPIを標的としたものでした。

データ侵害が引き起こすアカウント乗っ取り攻撃が増加

アカウント乗っ取り攻撃は、2021年から2022にかけて155％増加しました。2022年第3四半期には、データ侵害とアカウント乗っ取り攻撃の間に直接的な相関関係があることが確認されています。この時期には世界中で報告されたデータ侵害が70%増加し、Impervaが記録したアカウント乗っ取り攻撃も40%増加しました。データが流出した際、攻撃者はユーザーが気づく前にその認証情報を利用しようとしたため、こういった相関関係に繋がったと思われます。

モバイル版Safariに偽装するボットトラフィックが増加

これは偶然ではありません。モバイル版Safariでは、ユーザーのプライバシー設定が改善されたことで、ボットの行動を隠すことが可能になり、検知がより難しくなりました。ユーザープライバシー設定では、ブラウザが報告する属性の数が制限されるため、ボットと人間の正規ユーザーを区別しにくくなったのです。この仕組みに気づいたボットオペレーターは、正当なユーザーのプライバシーを保護するために設計されたこの一連の機能を悪用し、正体を隠そうとしました。

あらゆる業界や機能に広がる悪性ボット

旅行（24.7％）、小売（21％）、金融サービス（12.7％）では、ボット攻撃の量が過去最大になりました。一方、2022年に悪性ボット攻撃の件数が大幅に増加したのは、医療と法律・政府機関です。また、ゲーム（58.7%）と通信（47.7%）は、ウェブサイトやアプリケーションにおける悪性ボットトラフィックの割合が最も高くなりました。

悪性ボット活動に関する最新の統計とトレンドについては、レポート本文をご確認ください。また、カスタマーエクスペリエンスに影響を与えずに自動化された攻撃を軽減する方法については、ウェビナーBad Bots: Balancing Protection Against Customer Experience（カスタマーエクスペリエンスとのバランスをとりながら悪性ボットに対処）をご覧ください。

mpervaで悪性ボットとオンライン詐欺を防止する

場をリードするImperva Advanced Bot Protectionは、ボットオペレーター、攻撃者、悪質な競合他社、詐欺師によるアプリケーションの悪用、誤用、攻撃を防ぎます。また、OWASPで指定されている自動的な脅威がWebサイト、モバイルアプリ、APIで実行されるのを阻止することで、高度化した現代のボット攻撃からビジネスを保護します。Advanced Bot Protectionでは、きめ細かいサービス、優れたテクノロジー、業界の専門知識を組み合わせた総合的なアプローチからなる複数の対応オプションが用意されており、人間、良性ボット、悪性ボットのトラフィックを完全に可視化し制御することができます。さらに最も重要なこととして、正当なユーザーに不必要な影響を与えることなく、ビジネスにとって重要なアプリケーションのトラフィックを維持します。

Advanced Bot Protectionは、市場をリードするImperva Application Securityプラットフォームの一部を担うものです。自動的な攻撃からビジネス資産を保護するため、ぜひApplication Security無料トライアルにお申し込みください。