最善を尽くすには：ホリデーショッピングを脅かすスニーカーボットの影響

スニーカーボットは違法？

弁護士に問えば、答えは「場合によりけり」となります。しかし、いくつかのデジタル・コマース・サイトの利用規約に違反していることは確かです。適切なノウハウさえあれば誰でも始められることから、二次業界も生まれています。それが「サービスとしてのスニーカーボット」です。

このサービスでは、すでに構築されているボットを有料で利用できます。個々の場合に応じて、ボットを購入して継続的に使用することも、レンタルで利用することも可能です。料金はかなり高額で、 最大 500 ドル に上るケースもあります。しかも、 こうしたサービスを利用しても、商品の入手が保証されるわけではありません。このようなサービスは可能性を高めるものであって、入手を保証するものではないのです。

リスクを取る価値はある？

しかし、ホリデーシーズンには、こうしたサービスのどれかを利用したくなる気持ちもわかります。お子さんがいつも話している限定版の Nike シューズを家に持って帰ってきたとしたら、あなたは「ペアレント・オブ・ザ・イヤー」並みの絶賛を受けるに違いありません。しかし、「入手可能性を高める」ために 500 ドル支払うのは、控えめに言ってもリスクがあります。そして、Akamai で膨大な量のボット・トラフィック・データを観察している私たちから見れば、これはリスクを取る価値のない行為です。

ボットが普及しているのはなぜ？

前述のとおり、ボットには良性のものと悪性のものがあります。ボットの種類に関係なく、速度はボットの普及に大きな役割を果たしています。ボットは、人間にはとうてい到達できないような速度で作業を実行できます。この速度によって作業が著しく効率化し、大幅なコストの削減が可能となります。だからこそ、企業はボットを使用するのです。 

また、日常生活において私たちの精神的な負担を軽減するボットもあります。リマインダー、情報、通知などを配信するボット（つまり良性のボット）は、私たちの生活を楽にしてくれます。そのため、このような良性ボットと悪性のボット（システムに害を及ぼしたり不正行為をもたらすように設計されているボット）を区別することが重要です。

データ漏えいの影響を受けた経験があっただろうかと悩む必要はありません。影響を受けていない可能性よりも受けたことがある可能性の方が圧倒的に高いのです。私たちは皆、よく考えることもなく、あらゆる場所でデータを共有しています。無料トライアルに申し込んだり、アカウントを作成したり、そうこうしているうちに、攻撃者に知られてしまいます。

Credential Stuffing は連続犯罪

周知の事実ですが、パスワードの再利用は、ほとんどの人が人生のどこかで犯したことのある、ありふれた罪です。この習慣をやめるようにという助言が続けられていますが、パスワードの要件が複雑化していることもあり、一部の人々にとってはパスワードの再利用が唯一の選択肢であるようにも思えます（この点に関して何か支援を必要とされている方は、"自身を守る 3 つの対策" セクションをご覧ください）。

パスワードの再利用は断ち切らねばならない習慣です。その大きな理由となっているのが Credential Stuffing と呼ばれる攻撃です。 Credential Stuffing が成立するのは、個人の認証情報が漏えいし、悪意を持った主体がその認証情報を取得し、それを使用して他の Web サイトへの認証を通過しようとした場合です。

たとえば、ソーシャル・メディア・アカウントのユーザー名とパスワードが漏えいした場合、その情報を入手した攻撃者は、銀行の Web サイトやその他の機微な情報が保存されているサイトにログインするために、その情報を使用する可能性があります。

このような認証情報を人間が手動で入力していたとしても十分に悪い行為ですが、この重労働にボットを加えてみたらどうでしょうか。図からわかるとおり、 この自動化プロセスを使用すれば、攻撃者は数分で何千もの認証情報の組み合わせをサイトで試すことができます。。同じ認証情報の組み合わせが使用されているサイトが多ければ多いほど、侵害されるリスクも高くなります。

自身を守る 3 つの対策

攻撃者は、一般的な防御策とその回避方法を知っているという意味で消費者よりも有利な立場にいます。だからこそ、用心が肝要なのです。サイバーセキュリティは全員の責任です。

自身を守るために役立つ対策が 3 つあります。スニーカーボットを利用するという誘惑に負けず、パスワードマネージャーを入手し、常に 多要素認証（MFA）を使用してください。

1.限定版の商品、人気のコンサートチケットなどを入手するためにスニーカーボットを利用するという誘惑に負けない 

特別な商品が手に入る可能性を高めるというのは非常に魅力的に思われるかもしれません。しかし、スニーカーボットを利用すれば、知らない相手に自分の支払情報と連絡先情報を渡すことになります。また、そもそもボットの存在自体の問題に直接加担することにもなります。

忘れないでください。商品の入手は保証されていません。実際、スニーカーボット自体があなたからお金を盗み取る詐欺である可能性もあります。

2.複雑なパスワードを作成し維持するためにパスワードマネージャーを取得する

オンラインで自分自身の情報の安全を確保するためには、パスワードの安全が不可欠です。このことは、いくら強調しても足りないほど重要です。要件が絶えず変化していることを考えれば、この目的に特化した製品に、手間のかかる作業を肩代わりしてもらうことが最良の策と言えます。その方が簡単で安全です。1 つのパスワードさえ覚えていれば、他のパスワードはパスワードマネージャーが記憶してくれます。

パスワードを忘れて頻繁に変更すると、パスワードの変更頻度が足りない場合と同程度のリスクが生じる可能性もあります。

3.どうか、どうか、必ず MFA を使用してください

できる限りあらゆることに MFA を使用できるようにして、実際に使用すること － これも重要かつ基本的なセキュリティ手段です。MFA を使用すれば、攻撃者は複数の手順を経ないと アカウントの乗っ取りを達成できなくなり、各段階で失敗する可能性が生じます。

SMS 以外の手段を使用することをお勧めしますが、SMS の 2 要素認証 であっても、何も使用しないよりはずっとましです。

いよいよ結論！

サイバー意識の向上も 1 年以上続くと、同じアドバイスが何度も繰り返されるようになります。これは、セキュリティ担当者が怠けているわけではなく、防御対策がいまだに十分に広まっていないからなのです。

フィッシング、ボット、Credential Stuffing は、基本的にインターネット黎明期からずっと存在している攻撃手法であり、攻撃者にとって最も効果的な手段でもあります。

単なる人間

攻撃者は人間です。ランサムウェアのオペレーターであろうと、ボットネットの作成者であろうと、国家組織であったとしても、皆、人間です。彼らは他の人々と同様に生活の糧を得ようとしています。このような悪人が人間であることを強調するのは奇妙に思われるかもしれません。しかし、ここで重要なのは、

敵は目的を達成するための最も効率的な方法を探しているということです。 つまり、攻撃者にとって困難な物事が増えれば、攻撃者は途中で諦める可能性が高くなります。