CAPTCHAや二要素認証も突破？　進化するbot攻撃の実態から考える対処のポイント

　Webアクセスにおける悪性botの割合は年々増加している。攻撃者はデータベースの設定ミスやマルウェア感染などの方法で認証情報を日々搾取しており、1日当たり平均100万人のID／パスワード情報が漏えいしていると言われている。悪性botの最も主要な攻撃手法であるクレデンシャルスタッフィング（パスワードリスト型攻撃）では、これらのID/パスワード情報を入手し、悪用することで0.5～2％が実際に不正ログインに成功しているという。

　ログイン時にはログイン元を偽装し、最後にbotなどの自動化ツールを使用し、入手した認証情報の有効性のテストを行う。攻撃者側はCAPTCHAや二要素認証の突破サービス、指紋防止スクリプトなどのツールキットを頻繁に更新しているため、従来型防御策では完全な阻止は難しい。

　本資料では、このクレデンシャルスタッフィングを含む代表的な6つのbot攻撃について、攻撃手順や利用している悪性bot、想定される被害などを解説する。併せて、これらの攻撃を含む高度な不正ログイン対策に有効なソリューションを紹介する。最新の攻撃手法を正しく理解し、被害を抑制するために役立ててもらいたい。