狙われているログイン画面

ボットによる不正ログインの真実の一つめはこちらです。Bot（ボット）はRobot（ロボット）から派生した言葉と言われており、同じ作業を繰り返すプログラムという意味で使われています。このボットがWEBサイトのログイン画面にIDとパスワードの入力を繰り返しているってご存知でしたか？ボットは疲れ知らず、どこかで漏洩した何万件にもなるIDとパスワードの組み合わせをログイン画面に入力し続けるなんて、ボットにはとっても簡単です。

ボットは何を狙っているのか

ボットに繰り返しログイン作業をさせているのはもちろん人間です。どこかで漏洩された何万個ものIDとパスワードの組み合わせを、人の手で入力するのが大変なので、わざわざプログラムを作ってログインを試させているのです。ボットがログインできるIDとパスワードの組み合わせを見つけたら、その後ログインしてくるのは人、ログインできたアカウントのポイントの残高や登録されているクレジットカードを使って商品を詐取したり、ポイントを別のポイントサイトへ変換したり、個人情報やお友達情報を盗み出すのが目的です。何万件、何十万件も漏洩しているIDとパスワードの組み合せから、ログインできるものを選び出すために、ボットが使われている。ということなのです。この攻撃をボットによるリスト型攻撃と言います。

なぜログインできてしまうのか！？

ボットが入力している何万件ものIDとパスワードの組み合わせは、一体どんなリストなんだと思いますか？これらはどこかのWEBサイトで使われていたIDとパスワードが漏洩したものと考えられています。漏洩したサイトではない別のWEBサイトで、この漏洩したIDとパスワードが使われていないかをボットが試しているのです。ボットによる事前調査とも言えますね。サイトのユーザーがIDとパスワードの組み合わせを別のサイトに全く同じ組み合わせで使っているとログインできてしまうのです。異なるWEBサイト同士では、ユーザーが同じIDとパスワードを使っていることなど知ることができません。これがログインできてしまうというボット問題の一つなのです。

パズルCAPTCHAは人間には簡単

パズルCAPTCHAはパズルのピースを図画のピース穴にはめるという単純なモノなので人間には簡単なのですが、ボットには難しい仕掛けなんです。それでも、もちろんパズルCAPTCHAは日々進化しています。ボットも年々悪質さが増しているので対応するパズルCAPTCHAは進化し続ける必要があるからです。

CapyではパズルCAPTCHAをあなたのWEBサイトのセキュリティに活用していただきやすいように、簡単に導入できる方法でご提供しています。試用検証や導入方法についてはお問合せをお待ちしております。

狙われるWEBマーケティング

ボットによる不正ログインの真実の二つめは、WEBでのマーケティング活動が被害にあうケースです。総務省情報通信白書によると日本のスマホ普及率は世帯当たりでは約95％にもなっており、各種サービス、消費財メーカー、販売店はECショップでの販売活動や、お店への来店促進のためにWEBを通じたマーケティングを積極的に行うようになってきました。ここでもボットによる想定外の不正ログインが発生しています。

マーケティングとは販売促進の活動のこと、よく見かける例としては、

• 「今なら新規会員登録で500ポイント差し上げます！」
• 「アンケートにお答えいただけた方にもれなくカタログお送りします」
• 「モニターに応募してくれたら抽選で商品をお届けします」

などがあります。この新規会員登録やアンケートへの回答をボットが行うことがあり大きな問題となっているのです。

思い付きや工夫の延長との誤った認識

最初は本人自身がアンケートに答えたり、新規会員登録を行なっていたと思いますが、家族の分をまとめて登録したりするうちに、「いいこと思い付いた！」と思って複数のアカウントを作って回答や登録を行うなど、ポイントや優遇を受けるための飽くなき欲求に負けて不正アカウントを作ってしまったのかもしれません。

さらに工夫のひとつとしてなのでしょうか、複数アカウントを作るプログラムが開発されて、このプログラムがボットとして不正アカウントを大量に作り始めたのです。そのプログラムを他人に使わせたりするような行為もまたボットによる不正ログインが増加する一つの要因であると言われています。

狙われるスマホアプリ

3つ目の真実はスマホアプリを狙ったボット攻撃です。スマホアプリにボットが攻撃できるの！？と不思議に思われる方も多いかもしれませんが、最近特に攻撃が増えているのがこのスマホアプリなんです。 どんな攻撃が多いかというと、アプリの新規利用のキャンペーンを狙ったものや、アプリ経由でのリスト型攻撃のご相談が増えてきました。まさかアプリが攻撃されるとは、、、という落胆されたお声を聞くことが多いのですが、アプリをなんどもインストールされる場合はサーバー負荷が高まってしまい通常のユーザーのアクセスにも影響が出てしまったり、新規アプリインストール特典を詐取されてしまったり、WEBマーケティングの担当者さんが思いもしなかったようなインシデントが発生しています。

その他にも毎日アプリを見てもらうことでユーザーに来店や購入を働きかけるマーケティング活動を行なっているにも関わらず、ボットが自動的にアプリにログインして何ページかを回遊し、毎日のログインポイントを取得してしまうのでは人の目に触れないばかりか、購入やお申し込みにつながることが無く、閲覧数に対するコンバージョン率といったKPI指標もおかしくなってしまいます。