従来型WAFだけでは防ぎ切れない、「アカウント乗っ取り攻撃」に有効な対策とは

　近年、アカウント乗っ取り（ATO）攻撃は激化の一途をたどっている。ある調査によると、保険やeコマースなどの業界では、ATO攻撃によって年間65～70億ドルの損失が発生しているという。特に今日行われている攻撃では、企業だけでなくユーザーまでもがその対象となっている。

　しかし、全てのWebアプリケーションを保護できるような万能な対策は存在しない。ATO攻撃を防御するには、ユーザーの行動やパターンを詳細に把握・分析することが重要だ。そのためにはまず、通常の認証トラフィック量、平均的な認証失敗率、失敗によって起こり得る事象など、自社のアプリケーションの基準値を知ることから始めるべきだろう。

　本資料では「認証失敗率」「認証試行に対するレスポンス」「ユーザーの認証ソース」という3つの領域に焦点を当て、多様なアプリケーションの違いを明らかにしている。併せて、計測機能と保護機能を統合することで、認証プロセスやアプリケーションコードを一切変更することなく短期間でATO攻撃に対処する、信頼性の高い保護対策を紹介する。