eコマース企業は、検索エンジンのクローラーや監視ツールから決済サービスやビジネスパートナーに至るまで、正当な目的で自動化されたトラフィックに依存しています。しかし、悪意のあるボットは、同じWebサイト、API、ログインページ、チェックアウトフローを利用して、価格をスクレイピングし、顧客アカウントを乗っ取り、在庫を買い占め、不正を働き、購入体験を妨害する可能性があります。
ボット対策ソリューションとeコマース向けの戦略は、正規の購入者や承認された自動化と、不要または悪意のあるボットを区別するのに役立ちます。効果的なボット対策は、既知のIP アドレスを単にブロックするだけではありません。行動やその他のリクエストシグナルを分析し、高度な自動化を特定して、トラフィックの種類とリスクに基づいて異なるレスポンスを適用できます。
小売業者にとっての目標は、すべてのボットをブロックすることではありません。これは、実際の正当な顧客に不要な摩擦を加えたり、有益なボットを妨げたりすることなく、自動化されたトラフィックを管理するためのものです。
eコマース企業にボット対策が必要なのはなぜですか？
eコマースアプリケーションは、攻撃者に多くの価値ある標的を提供します。アカウントのログインページには、顧客情報や保存された支払い方法へのアクセスがあります。プロダクトページには、競争上重要な料金プランと在庫データが含まれています。チェックアウトシステムは、価値ある取引を可能にします。在庫が限られている商品は、利益を得るために転売される可能性があります。プロモーション、ギフトカード、ロイヤルティプログラム、APIも悪用される可能性があります。
自動化により、攻撃者はこれらのリソースを大規模に標的にできます。eコマースが攻撃者にとって魅力的な標的となる要因は次のとおりです。
ボットは正規の買い物客を装うことができます。
悪意のあるリクエストが、必ずしも明らかに悪意があるとは限りません。ボットは、顧客と同じアプリケーション機能を使用して、プロダクトを閲覧したり、商品をカートに追加したり、アカウントを作成したり、ログインを試みたりできます。高度なボットは、単純なブロック手法の効果を低下させるために、IP アドレスをローテーションし、その他の特性も変更することがあります。
自動化された攻撃は大規模に実行されます。
攻撃者は、何千件ものログインや購入を手動で試行する必要はありません。自動化により、アクションを迅速に実行し、多くのクライアントに分散できます。そのため、個々の IP アドレスや静的なリクエストしきい値のみに基づく防御では、多くの高度な攻撃に対しては不十分です。
ボットは収益に影響を与える可能性があります
悪意のある自動化は、トランザクションを直接妨害する可能性があります。たとえば、在庫を買い占めるボットは、ボットの運営者が最終的に購入を完了しない場合でも、正規の顧客に対してプロダクトを利用不可に見せることがあります。
アカウント乗っ取りは不正行為やカスタマーサポートのコストにつながる可能性があり、スクレイピングは競合他社や再販業者に料金プランやプロダクト情報への迅速なアクセスを与える可能性があります。
ボットトラフィックはインフラストラクチャを消費します
悪意のあるリクエストは1件ごとに、CDN、アプリケーション、API、データベース、検索、またはサードパーティのリソースを消費する可能性があります。アプリケーションの侵害に成功しないボットであっても、インフラストラクチャのコストを増加させ、正当な顧客のパフォーマンスを低下させる可能性があります。
eコマースサイトはどのようなボット脅威に直面していますか？
ボット攻撃は、オンライン・ショッピング・ジャーニーのほぼすべての段階を標的にする可能性があります。
1. クレデンシャルスタッフィングとアカウント乗っ取り
クレデンシャルスタッフィングは、盗まれたユーザー名とパスワードの組み合わせ（多くの場合、無関係なサービスのセキュリティ侵害によって取得されたもの）を使用して、自動的にログインを試みます。顧客がパスワードを使い回している場合、一部の試行は成功する可能性があります。
アカウント乗っ取りが成功すると、個人情報、ロイヤルティポイント、注文履歴、ギフトカード残高、保存された支払い機能が漏えいする可能性があります。
2. 在庫の買い占め
ボットは、高需要のプロダクトを自動的にカートに追加したり、在庫を確保したりできます。これにより、ボットがチェックアウトを完了しない場合でも、正当な顧客が商品を購入できなくなる可能性があります。
在庫の買い占めは、特に限定リリース、チケット、スニーカー、電子機器、収集品、その他の需要の高いプロダクトにおいて問題となります。
3. スキャルピング・ボット
スキャルピングボットは、人間の顧客よりも速く望ましいプロダクトを購入しようとします。その後、プロダクトは大幅に高い価格で再販される場合があります。
スキャルピングは、正当な買い物客の販売機会を失わせるだけでなく、顧客の信頼を損ない、ローンチをめぐるネガティブな体験を生み出す可能性があります。
4. 価格とプロダクトのスクレイピング
スクレイピングボットは、次のような情報を体系的に収集します：
料金
プロダクトの説明
画像
在庫状況
レビュー
SKU
プロモーション
一部のスクレイピングは正当なものであり、検索エンジンのインデックス作成や承認済みパートナーによるものが含まれます。ただし、望ましくないスクレイピングは、インフラストラクチャリソースを消費しながら、競合他社や権限のない第三者に価値あるビジネスデータを提供する可能性があります。
5. カーディングおよび決済詐欺
攻撃者は、自動化されたチェックアウトの試行を使用して、盗まれた決済カード情報が有効かどうかを判断できます。成功しなかった取引であっても、支払い処理コスト、不正行為のAlerts、チャージバックのリスク、アプリケーションの負荷を生成する可能性があります。
6. 偽のアカウント作成
ボットは、多数の**アカウント**を作成して、新規顧客向けプロモーション、紹介プログラム、クーポン、ロイヤルティ**メリット**、その他のインセンティブを悪用する可能性があります。
7. ギフトカードおよびロイヤルティ詐欺
自動化された攻撃は、ギフトカード残高、プロモーションコード、リワードアカウント、ロイヤルティポイントを標的にする可能性があります。これらの資産は金銭的価値を持つ可能性があるため、攻撃者にとって魅力的な標的になることがあります。
8. チェックアウトの不正利用
ボットは、トランザクションを繰り返し開始したり、ショッピング・ワークフローを操作したり、運用上または財務上のコストを生み出すアクションを自動化したりする可能性があります。
9. アプリケーションレイヤー DDoS 攻撃
ボットネットは、プロダクトページ、検索機能、API、ログインサービス、またはチェックアウトシステムにリクエストを大量送信する可能性があります。純粋なトラフィック量ベースの攻撃とは異なり、アプリケーションレイヤーのDDoS 攻撃トラフィックは、高コストなバックエンドリソースを消費しながら、正当なHTTPアクティビティに似ている場合があります。
10. 脆弱性スキャン
攻撃者は、自動化ツールを使用して eコマース・アプリケーションや API のセキュリティ上の弱点を調査できます。脆弱性が発見されると、自動化によってそれを悪用する試みも加速する可能性があります。
eコマース企業は、なぜすべてのボットを単純にブロックできないのでしょうか？
多くのボットは有用であり、さらには不可欠でもあるためです。検索エンジンのクローラーは、プロダクトが検索結果に表示されるのに役立ちます。監視サービスはアプリケーションの可用性を確認します。ビジネスパートナーは、承認されたリソースにアクセスするために自動化ツールを使用する場合があります。決済、分析、その他のサービスも自動化されたトラフィックを生成する場合があります。
AI クローラーとエージェントは、企業が独自のポリシーに従って許可、制限、監視、または収益化を行いたいと考える可能性がある、もう1つのカテゴリを追加します。したがって、効果的な Bot Management では、次の点を区別する必要があります：
人間のユーザー - 有益なボット - 許容される自動化 - 疑わしいボット - 悪意のあるボット
一律の"ボットをブロック"ポリシーは、正当な業務機能を妨げる可能性があります。
eコマースボットを阻止するには、IP ブロックだけでは不十分なのはなぜですか？
IP レピュテーションは依然として有用なセキュリティシグナルですが、高度な攻撃者はリクエストの送信元を変更できます。Bot オペレーターは、住宅用プロキシ、クラウドインフラストラクチャ、侵害されたデバイス、または大量の IP アドレスプールを使用する場合があります。そのため、分散型攻撃は無関係な多数のクライアントから送信されているように見えることがあります。一度に 1 つの IP をブロックすることは、いたちごっこのようなものです。
より高度なボット対策では、クライアントの動作、リクエストの特性、ブラウザ情報、既知のボットID、複数のリクエストにまたがるパターンなどの追加シグナルを考慮できます。
どのようなソリューションがボットからeコマースサイトを保護できますか？
効果的な eコマースのボット対策では、通常、複数のテクノロジーを組み合わせます。
ボット管理
専用のBot Management サービスは、自動化されたトラフィックを識別し、それをどのように処理すべきかを判断します。プラットフォームによっては、検出手法には行動分析、ブラウザまたはデバイスのシグナル、ネットワーク特性、レピュテーション情報、既知のボットの識別、機械学習が含まれる場合があります。その後、ポリシーによってトラフィックを許可、モニタリング、チャレンジ、レート制限、またはブロックできます。
クライアントサイド検知
高度なボットは、ブラウザを模倣しようとする傾向をますます強めています。クライアント側のシグナルは、リクエストが本物のブラウザ環境から発信されたかどうかや、クライアントがどのように動作するかについての追加情報を提供できます。
これらのシグナルは、いずれか 1 つの特性に依存するのではなく、サーバー側の検出を補完できます。
課題
不審なクライアントは、保護されたリソースへのアクセスを受ける前に、確認を求められることがあります。チャレンジは、自動化されたクライアントと正当なユーザーを区別するのに役立ちますが、使用は慎重に行う必要があります。過剰なチャレンジや CAPTCHA は摩擦を生み、コンバージョン率を低下させる可能性があります。
レート制限
レート制限は、クライアントが機密性の高いオペレーションを実行する頻度を制御できます。eコマース企業は、以下を含むエンドポイントに特化した制限を適用できます。
/ログイン
/search
/cart
/checkout
パスワードリセット API
ギフトカードサービス
プロモーションエンドポイント
ルールは、サイト全体に1つの普遍的なしきい値を適用するのではなく、各機能の想定される動作を反映する必要があります。
Web アプリケーションファイアウォール (WAF)
WAF は、悪意のあるリクエストや脆弱性の悪用からアプリケーションと API を保護するのに役立ちます。Bot Management と WAF による保護は、異なるものの相互補完的な問題を解決します。ボットは悪用目的で技術的には有効なリクエストを送信する可能性がある一方で、人間の攻撃者はアプリケーションの脆弱性を悪用するように設計されたリクエストを送信する可能性があります。
DDoS 対策
ボットネットは、eコマースアプリケーションを利用不能にするために使用される可能性があります。DDoS Protection は、ネットワークレイヤーおよびアプリケーションレイヤーの攻撃がアプリケーションインフラストラクチャを圧倒する前に軽減できます。
強力な認証
多要素認証、安全なパスワードリセットプロセス、漏えいしたパスワードに対する保護、および適切なセッションコントロールにより、認証情報に対する攻撃の影響を軽減できます。ボット対策は、これらのコントロールを置き換えるのではなく、補完するものであるべきです。
アプリケーション固有のビジネスルール
小売業者は、一般的なセキュリティシステムよりも、自社の通常の取引をよく理解しています。コントロールは、異常な購入速度、過剰なカート追加、プロモーションの繰り返し利用、通常とは異なるアカウント作成、またはその他のアプリケーション固有の指標に基づいて設計できます。
eコマースのボット対策のベストプラクティスとは？
カスタマージャーニー全体を保護します
ログインページだけに注目しないでください。ボットはプロダクト検索、アカウント作成、カート、在庫確認、プロモーション、ギフトカード、チェックアウト、API を標的にする可能性があります。攻撃者にとって最も価値の高いワークフローを特定し、それに応じて保護してください。
複数の検知シグナルを使用する
IP アドレス、User-Agent 文字列、または単純なしきい値のみに完全に依存することは避けてください。高度なボットは個々の特性を操作できます。複数のシグナルを組み合わせることで、回避がより困難になります。
リスクに基づいて異なるレスポンスを適用します
すべての不審なリクエストに対するデフォルトのレスポンスをブロックにする必要はありません。組織は、既知のボットを許可し、不確実なトラフィックを監視し、悪用するクライアントにレート制限を適用し、不審なリクエストにチャレンジを実施し、明らかに悪意のある自動化をブロックすることを選択できます。
顧客の負担を最小限に抑える
セキュリティコントロールが正当な購入者を妨げると、コンバージョンに影響します。チャレンジは選択的に使用し、誤検知を監視してください。目的は、顧客の負担を不必要に増やすことなく、攻撃者に対する摩擦を増やすことです。
API を保護。
現代のeコマースのオンラインストアは、モバイルアプリケーションやブラウザのフロントエンドが直接呼び出すAPIに依存していることがよくあります。攻撃者もそれらのAPIを呼び出すことができます。したがって、ボット対策は、表示されるWebページだけでなく、APIとバックエンドアプリケーションサービスも対象にする必要があります。
重要なビジネスメトリクスをモニタリングする
セキュリティ・メトリクスだけでは、全体像はわかりません。ボットセキュリティのテレメトリとあわせて、ログインの失敗、カート離脱、在庫の引き当て、チェックアウトの失敗、プロモーションの利用、アカウント作成、支払いの拒否といった指標をご覧ください。
これらのメトリクスの変化により、トラフィック量だけでは明らかでない自動化された不正使用が明らかになることがあります。
需要の高いイベントに向けた対策
プロダクトのローンチ、ホリデーセール、チケットのリリース、大規模なプロモーションは、正規のトラフィックのトラフィックスパイクとボットアクティビティの増加の両方を引き起こす可能性があります。こうしたイベントの前にセキュリティコントロールをテストし、正規の需要が攻撃と誤認されないようにしてください。
ボット対策はアカウント乗っ取りの防止にどのように役立ちますか？
Bot Managementは、攻撃者による認証の成功前に、自動化されたログイン試行やその他の不審なアクティビティを特定できます。これは、レート制限、漏えいした認証情報の検出、多要素認証、強力なパスワードポリシー、アカウントレベルの監視と組み合わせることができます。
この多層的なアプローチが重要なのは、クレデンシャルスタッフィング攻撃では、多数のIP アドレスにログイン試行が分散される可能性があるためです。「IPごとに5回の試行」のような単純なルールでは、数千のクライアントがそれぞれ数回しか試行しない攻撃を検出できない場合があります。
ボット対策は、在庫の買い占めや転売にどのように役立ちますか？
Bot Managementは、需要の高いプロダクト、カート、またはチェックアウトプロセスとのやり取りを試みる自動化を特定できます。その後、小売業者はレート制限、チャレンジ、ブロック、またはアプリケーション固有の購入ルールなどのコントロールを適用できます。
購入プロセスの複数の段階を保護することは重要です。チェックアウト時点でのみボットをブロックしても、カスタマー・ジャーニーのより早い段階で、ボットが在庫を確保したり、アプリケーション・リソースを消費したりすることを許してしまう可能性があります。
ボット対策はどのようにスクレイピングを減らせますか？
Bot-管理システムは、プロダクトや料金プランの情報を収集する自動化クライアントを識別し、組織の設定に基づいてポリシーを適用できます。適切なレスポンスは、必ずしもブロックすることとは限りません：小売業者は、検索エンジンを許可し、特定のパートナーを許可し、不明なクローラーにレート制限を適用し、攻撃的な商用スクレーパーをブロックする場合があります。
これにより、単にボットをブロックするよりも、Bot Management の方が有用な概念になります。
企業は eコマースのボット対策サービスに何を求めるべきですか？
主な機能は次のとおりです。
リアルタイムのボット検知
動作分析
既知のボットの識別
クライアントサイド検知
API 保護
柔軟な許可、ブロック、レート制限、チャレンジの各アクション
顧客の負担が少ない
誤検知の管理
ボットアクティビティの可視性
WAF および DDoS Protection との統合
エッジベースの緩和
大規模なトラフィックスパイクに対応する能力
AI クローラーおよびエージェントポリシーのサポート
組織は、自社のトラフィックを使用してボット対策を評価する必要があります。これは、小売業者ごとに顧客、有益なボット、悪意のある自動化、およびビジネス・ワークフローの組み合わせが大きく異なるためです。
eコマースのボット対策には、どの Fastly のサービスが役立ちますか？
Fastlyは、eコマース企業がアプリケーションのパフォーマンスを保護しながら自動化された脅威を防御するのに役立つ、複数の相互補完的な機能を提供します。
Fastly Bot Management
Fastly Bot Management は、エッジで自動化されたトラフィックを検知して管理するように設計されています。Fastly のソリューションはキャッシュ前のボット検知を提供し、企業がキャッシュ参照前にリクエストを検査できるようにします。また、Fastly Next-Gen WAF と連携して、オリジンインフラストラクチャに送られるリクエストをキャッシュ後に検査することもできます。これにより、キャッシュされた eコマース体験と動的な eコマース体験の両方を柔軟に保護できます。
Fastly Bot Management には、既知のボットや AI ボットを識別するためのメカニズムに加え、高度な自動化を特定するよう設計された高度なクライアントサイド検出機能が含まれています。これにより、小売業者は、すべての自動化されたクライアントを同じように扱うのではなく、トラフィックのさまざまなカテゴリに対するポリシーを構築できます。
クライアントの課題
Fastlyは、従来のCAPTCHAをすべての購入者に自動的に表示することなく、不審なクライアントの検証に役立つクライアント・チャレンジをサポートしています。チャレンジは、自動化された攻撃者に対しては摩擦を加えつつ、正当な顧客がセッションを継続できるようにします。
eコマース・アプリケーションでは、閲覧中またはチェックアウト時の追加の手順がコンバージョンに影響する可能性があるため、不必要な顧客の摩擦を最小限に抑えることが特に重要です。
Fastly Next-Gen WAF
ボットだけが eコマースアプリケーションに対する脅威ではありません。Fastly Next-Gen WAF は、SQLインジェクション、クロスサイト・スクリプティング、コマンド・インジェクション、その他のアプリケーションレイヤーの脅威などの攻撃からWeb アプリケーションとAPIを保護します。
WAFとBot Managementの機能を組み合わせることで、自動化されたビジネス悪用と、アプリケーションの脆弱性を悪用しようとする試みの両方から、小売業者を保護するのに役立ちます。
Fastly DDoS Protection
ボットネットは、オンラインストアやAPIを過負荷状態にするためにも使用される可能性があります。 DDoS Protection は、悪意のあるトラフィックがオリジン・インフラストラクチャを圧倒する前に、エッジでそれを検出して軽減するのに役立ちます。
これは、セキュリティ・システムが悪意のある攻撃と正当なトラフィック急増を区別する必要がある大規模な小売イベントの際に、特に重要になることがあります。
レート制限
Fastly のレート制限機能は、小売業者が認証、検索、カート、API、その他のリソースを大量に消費する機能などの高リスクなエンドポイントを保護するのに役立ちます。レート制限は、悪意のあるクライアントが消費できるアプリケーションリソースの量を減らすことで、ボット検知を補完できます。
CDN キャッシュとエッジデリバリー
Fastly's CDN は、対象となる eコマースコンテンツをアプリケーションオリジンに繰り返しリクエストするのではなく、キャッシュから配信できます。キャッシュはボット対策に取って代わるものではありませんが、バックエンドへの負荷を軽減し、キャッシュ可能なコンテンツに対するリクエストによって消費されるリソースを制限することで、レジリエンスを向上させることができます。
Fastly の高速なキャッシュパージ機能により、小売業者はプロダクト、プロモーション、またはその他のコンテンツが変更された際に、キャッシュされた情報を迅速に更新することもできます。
Fastly は、eコマースビジネスをボットから保護するうえでどのように役立ちますか？
eコマースのボット対策では、悪意のある自動化を阻止することと、正当な顧客の購入体験を高速でスムーズに保つことという2つの目的のバランスを取る必要があります。
Fastlyは、Bot Management、Next-Gen WAF、DDoS Protection、レート制限、CDN配信、およびリアルタイムのセキュリティ可視性を、そのEdge Cloud Platform上で統合します。
この多層的なアプローチは、小売業者に次のようなメリットをもたらします：
悪意のある不要な自動化トラフィックを特定します。
ログインとアカウントのワークフローを自動化された攻撃から保護します。
スクレイピングと自動化されたアプリケーションの悪用を削減
需要の高いプロダクト・ローンチを保護
Web アプリケーションと API を保護します
ボットネットによる DDoS 攻撃を軽減
悪意のあるリクエストがオリジンインフラストラクチャに到達する前にコントロールを適用します
有益なボットと不要な自動化を区別する
新たな AI クローラーのトラフィックを管理
不要なインフラストラクチャ消費を削減する
正当な買い物客に高速な体験を提供
eコマースのボット対策の目的は、単にブロックされたリクエスト数を最大化することではありません。より有用な指標は、正当な顧客が不必要な摩擦なく買い物できるようにしながら、企業が顧客アカウント、在庫、データ、インフラストラクチャ、取引を保護できるかどうかです。
FastlyのエッジベースのBot Managementおよびアプリケーション・セキュリティ機能は、小売業者がそのバランスを実現するための複数のレイヤーを提供します。