悪質ボットトラフィック、人間の成長率の9倍に—DataDomeレポートが明らかに
サイバーセキュリティ企業DataDomeの新しい調査によると、悪意ある自動化トラフィックは、ウェブ上の人間の活動をはるかに凌ぐ速度で拡大している。レポートによれば、2025年7月から2026年6月の間に悪質ボットトラフィックは124%急増し、同期間における正規の人間トラフィックの成長率の9倍の速さだった。一方、AIシステム由来と識別されたトラフィックは82%以上増加し、自動化がインターネットの基盤的なトラフィックパターンをいかに急速に再形成しているかが浮き彫りになった。
この調査結果は、75,000以上の顧客ウェブサイトにわたる1兆件を超えるリクエストの分析に基づくもので、これまでで最も広範なボット活動の調査の一つである。データは、自動化エージェントが増殖するだけでなく、ユーザーアカウント、取引、個人情報を扱うウェブサイトの機密領域により深く侵入しているオンラインエコシステムの姿を描き出している。
レポートは、ウェブトラフィックの性質における根本的な変化を強調している。人間のユーザーが比較的安定したペースでインターネットを閲覧する一方、自動化スクリプトやAI駆動のエージェントは前例のない速度で増殖している。この急増は単なる迷惑行為ではなく、オンラインサービスのセキュリティと完全性に対するシステム的な課題を表している。
スクレイピングとスキャルピングの急増
最も顕著な傾向の一つは、スクレイピング活動の爆発的な増加で、前年比185%以上増加した。ウェブサイトからコンテンツ、価格データ、その他の情報を抽出するために設計されたボットは、より攻撃的かつ高度になっている。さらに、スキャルピング—転売目的でチケットやその他の高需要商品を素早く買い占める行為—に従事するボットは、前年に見られた率のほぼ3倍で活動していた。これは、自動化ツールが消費者市場で不当な優位を得るためにますます武器化されていることを示唆している。
セキュリティ専門家にとっておそらく最も懸念されるのは、AIボットが現在、DataDomeが2025年レポートを実施した時の8倍の率でログインページを標的にしているという調査結果である。この変化は、自動化トラフィックがもはやウェブの表面をかすめ取るだけでは満足せず、顧客体験を定義する中核的なフローにまで進出していることを示している。
AIエージェントとボットパワーの集中
調査期間中、DataDomeはAIエージェントおよび大規模言語モデル由来の527億件のクローラーリクエストを検出した。これらのボットを誰が送信しているかには、顕著な集中が現れた。Meta関連システムが全体の46%以上を占め、OpenAIが2番目に多い送信元で、ほぼ35%を占めた。この少数の大手テクノロジー企業による支配は、AI開発が広範なボットトラフィックの状況にとっていかに中心的になっているかを浮き彫りにしている。
DataDomeの脅威リサーチ担当バイスプレジデントであるJérôme Segura氏は、問題の性質が進化していると強調した。同氏は、自動化トラフィックはもはやインターネットの端における単なる量の問題ではないと説明した。代わりに、急速に成長し、顧客体験の中心にあるログイン、アカウント、取引のフローにより深く入り込んでいる。企業にとって、課題はもはや単に自動化を識別することではなく、その活動が有益か有害かを判断することだと同氏は述べた。
広がる保護ギャップ
脅威が高まるにもかかわらず、多くのウェブサイトは依然として著しく準備不足のままだ。DataDomeは20,000のウェブサイトをテストし、65.3%が調査に含まれた10種類のボットに対してまったく保護がないことを発見した。完全に保護されていたサイトはわずか2.4%で、2024年の8.4%から大幅に減少し、昨年の2.8%をわずかに下回った。この低下は、ボットの戦術が進歩するにつれて、防御策が追いつくのに苦労していることを示唆している。
Segura氏はこの脆弱性の下流への影響について警告した。同氏は、自動化トラフィックが顧客体験の機密部分に移動していると指摘した。ログインページ、アカウント作成フロー、カート、決済エンドポイントは、顧客アカウント、個人情報、在庫、プロモーション、取引に直接接続している。これらのエンドポイントでの悪用は、認証情報テスト、アカウント乗っ取り、カードテスト、在庫悪用、プロモーション悪用、不正取引など、一連の問題を引き起こす可能性がある。
企業ができること
レポートの調査結果は、組織がボット管理へのアプローチを再考する必要があることを示唆している。ネットワークエッジで大量攻撃をブロックすることだけに焦点を当てた従来の防御では、もはや十分ではないかもしれない。代わりに、企業は、検索エンジンクローラーや正規のトラフィックを生み出すAIアシスタントなど、有益な自動化と、脆弱性を悪用しようとする悪意あるボットを区別できる戦略を採用する必要がある。
重要なポイントの一つは、すべてのボットが悪意あるものではないということだ。例えば検索エンジンクローラーはウェブのインデックス作成に不可欠な役割を果たし、AIアシスタントはウェブサイトに価値あるトラフィックをもたらすことができる。課題は、これらの正規のアクターと有害な意図を持つものを区別することにある。技術、ポリシー、継続的な適応を組み合わせたきめ細かなアプローチが不可欠である。
- 詳細な検査：ホームページのトラフィックだけでなく、ログイン、アカウント作成、決済フローに自動化による悪用の兆候がないか監視する。
- 行動分析：ボットが人間の行動を模倣している場合でも、人間のユーザーとボットを区別するパターンを機械学習を用いて特定する。
- レート制限とチャレンジ：重要なエンドポイントに適応型レート制限とCAPTCHA形式のチャレンジを実装し、自動化攻撃を遅らせる。
- 継続的な監視：ウェブサイトの保護レベルを定期的に監査し、ボットの戦術の進化に合わせて防御を更新する。
今後の道のり
AIの能力が拡大し続けるにつれて、有益な自動化と有害な自動化の境界はさらに曖昧になるばかりだろう。DataDomeのレポートは、ボットトラフィックが静的な問題ではなく、急速に加速している問題であることを明確にしている。悪質ボットが人間のトラフィックの9倍の速さで成長し、AIエージェントがウェブの最も機密性の高い部分をますます標的にしている中、適応できない企業は、目に見えない自動化アクターの軍勢に圧倒されるかもしれない。
今後数年は、ボット活動に対する規制当局の注目が高まり、サイバーセキュリティ企業とプラットフォームプロバイダー間の協力も強化される可能性が高い。今のところ、データは厳しい警告として機能している。インターネットの自動化された暗部は、これまで以上に強く、深く、重大なものへと成長している。
この記事はFast Companyの報道に基づいています。元の記事を読む。
Originally published on fastcompany.com