ボットとは？

それらはいたるところにあります！

ボットは、今日のインターネットの大部分を支える目に見えない原動力であり、世界中でその影響（良い面と悪い面の両方）を感じています。Google などの人気検索エンジンを支えるクローラー・ボットから、機密情報を狙ってアカウントへのアクセスを試みるクレデンシャルスタッフィング・ボットまで、Web トラフィック全体の少なくとも40％はボットによるものです。この記事では、ボットの世界を探りながら、ボットとは何か、どのように機能するのか、そして今後どこへ向かうのかをご紹介します。

ボットは、「ロボット」の略称であり、「インターネットボット」と呼ばれることもある、インターネット上で自動化されたタスクを実行するために設計されたソフトウェアプログラムです。データを収集するために自動的にWebサイトをクロールしたり、チャットインターフェイスを通じてユーザーとやり取りしたり、フォームに記入したり、反復的なタスクを実行したりするようにプログラムできます。ボットは通常、人間ができるタスクを実行しますが、人間よりもはるかに大規模なスケールで、より効率的かつ正確で、機能的でもあるため、その普及を示しています。

ボットの利用者

以前は、ボットの構築に必要な開発スキルを持つ人のみがボットを利用できました。現在では、個人や組織が目的を達成するために、正規の組織やマーケットプレイス、さらにはダークウェブを通じてボットを直接購入することもできます。技術的なノウハウまたは十分な資金があれば、誰でもそれらを使って正当または悪意のある行為を実行できます。ボットには次のようなものがあります。

インターネット上で Web ページを発見し、クローリングしてインデックス化するために検索エンジンが使用する Web クローラー。
さまざまなプラットフォームで盗んだログイン認証情報を使用してユーザーアカウントへの不正アクセスを行うプロセスを自動化するアカウントスクレイパーボット。
広告収入を人為的につり上げたり、競合他社の広告キャンペーンを妨害したりするために、オンライン広告のクリックをシミュレートするクリック詐欺ボット。

ボットには数十種類あり、こちらから確認できます。

正当なボットと悪意のあるボット

ボットについて説明するにあたり、ボットは正当なものと悪意のあるものに分類されることが多い点に注意することが重要です。どちらも同じ機能で動作しますが、正当なボットは合法的および/または倫理的なタスクに使用されており、日常的に利用している可能性があります！Google をはじめとするほぼすべての検索エンジンは、クローラー・ボットを利用して最適な検索結果を見つけて提供しており、Alexa や Siri などのアシスタントは、多くのタスクの実行を支援するチャットボットの例です。多くの人々の生活は、他言語のコンテンツを読むのに役立つ翻訳ボットや、株式市場を把握するのに役立つ金融ボット、または現代の生活を支えるそのほかの多くのボットに依存しています。

一方、悪意のあるボット（「悪質なボット」と呼ばれることもあります）は、違法なサイバー犯罪に関与するものだけでなく、アプリケーションの利用規約または Service や robot.txt の動作ルールに従わないものも含まれます。後者は本質的に違法ではありませんが、このような非倫理的な行為はサイト所有者の意図に反するため、これらのボットも悪意のあるものとして分類されます。悪意のあるボットは、Web 上で見られるトラフィックの非常に大きな割合を占めています。参考までに、2020年第3四半期だけでも、悪意のあるボットは 13億件を超える攻撃を仕掛けました！これは、数えている方のために言うと、1日あたり1,500万件以上の攻撃に相当します！

悪意のあるボットの利用方法

悪意のあるボット攻撃は、ハッカーの利益のために組織または個人に被害をもたらすことを最終目的として仕掛けられます。悪意のあるボットには多くの種類がありますが、多くが機密性の高い情報へのアクセスや、組織の正常なオペレーションを妨害するために使用されます。

悪意のあるボットは、氏名、社会保障番号、クレジットカード番号、ユーザー名、パスワードなどの個人を特定できる情報（PII）を盗む可能性があります。コンピューターでアクセスする機密データを思い浮かべてみてください。ハッカーはおそらくそれを狙っています。ハッカーはその情報を使って不正な購入を行ったり、プライベートアカウントにアクセスしたり、さらにはダークウェブで販売したりします。例として、haveIbeenpwned.com にパスワードの1つを入力してみてください。この人気サイトでは、リストとして販売されているパスワードをダークウェブでスキャンし、使用しているパスワードが侵害された場合に通知します。

また、悪意のあるボットによって通常のビジネスの流れが妨害されることもあります。一般的に、これらの攻撃は悪名を得ることや組織の運営能力を損なうことを狙うハッカーによって仕組まれ、売上の損失や市場での評判の低下につながる可能性があります。

ハクティビストは、政府機関や自らの立場と相反する企業を標的にすることが多い悪意のあるボットも仕掛けます。最近では、ロシア・ウクライナ戦争において、反ロシア派のベラルーシ人ハクティビストがボット攻撃によって鉄道システムのルーティングを侵害し、機能不能にした結果、ロシア軍の進軍を遅らせました。Anonymous のようなハッカー集団も、ここでよく言及されます。

攻撃の理由は一見すると際限がないように思われますが、ここで挙げているのは、攻撃者が目的を達成するためにそれらをどのように利用するかのほんの一例にすぎません。現在利用されている最も一般的なボットの種類については、悪意のあるボットの種類に関する学習記事をご覧ください。

悪意のあるボット攻撃はどのように仕掛けられるか

現在、このページには Fastly の Webサイトのフロントエンドからアクセスしていますが、悪意のあるボットは別の視点からアプリケーションにアクセスします。悪意のあるボットは、Command Line Interfaceまたは、ユーザーフレンドリーなオーバーレイを作成し、初心者のハッカーでも攻撃を開始できるグラフィカル・ユーザー・インターフェイス（GUI）から仕掛けられます。

Command Line Interfaceでは、ボットに指示がコード化され、通常のユーザーのようにインターネットにアクセスすることなくタスクを完了します。情報を抽出するボットの場合、結果もこのウインドウに表示されます。

GUI プラットフォームから攻撃を仕掛けることは、どのソフトウェア内で操作するのと同じように簡単です。インターフェースには必要な入力が表示され、ボタンをクリックするだけで、任意のアプリケーションへの攻撃を開始できます。下の例は、数万ものボットで構成されたボットネットを使用して、選択したアプリケーションに対して少なくとも500 Gbpsの攻撃を仕掛ける、購入可能な DDoS 攻撃-for-hire サービスを示しています。規模感を示すと、大規模な DDoS 攻撃は通常 50 Gbps 以上で測定されるため、このサービスは料金を支払える人であれば誰にでも、その10倍の規模を提供していることになります！

ボットの未来

AI と機械学習の継続的な進化は、あらゆるユースケースでボットの発展を促進すると考えられます。これらの分野における最新のブレークスルーを活用するボットは、会話したりタスクを自動化したりする中で、より人間らしく見え、振る舞うようになります。例えば、自然言語処理（NLP）における最新技術とその大規模言語モデル（LLM）を活用するチャットボットは、メッセージに応答するにつれて、より人間らしく感じられるようになるでしょう。映画『Her』のようなシナリオが現実のものとなり、AIチャットボットがあまりにも本物らしく感じられるために、人間が恋に落ちるような状況が見られるかもしれません（私たちは判断しません）。

AI や機械学習における飛躍的な進歩は、悪意のあるボットの検出がさらに困難になるため、アプリケーションセキュリティ担当者にとっても大きな懸念事項です。悪意のあるボットの検出とブロックに対する多くの信頼されてきたアプローチは、最新技術を活用するボットに対しては時代遅れとなり、セキュリティ担当者は安全を維持するためにアプローチを迅速に適応させる必要に迫られるでしょう。暗い未来を描いているようですが、現実はおそらくそれほど悲観的ではありません。セキュリティ担当者とハッカーのいたちごっこにおいて、技術的進歩は、両者が一時的な優位を得ようとしている新たなサイバー戦場を意味します。しかし、悪意のあるボットによる攻撃の中には成功するものもあるかもしれませんが、歴史が示しているように、セキュリティ担当者がいずれ封じ込められない脅威はありません。

Bot Managementに対する自動化アプローチ

悪質なボットは企業の収益とカスタマーエクスペリエンスに悪影響を及ぼします。Fastly の Next-Gen WAF は、悪質なボットのアクティビティを迅速に特定して軽減し、ボット主導のさまざまな悪意のあるシナリオからアプリケーションと API を保護します。これは、世界中のあらゆる規模の組織にとって有効であることが実証されたソリューションです。その機能をご覧ください。