迷惑bot事件簿

1日数万通のスパムメール……狙われた「問い合わせフォーム」 「想定外」だったbot攻撃の広がり（1/3 ページ）

　これまでこの連載「迷惑bot事件簿」では、主にコンシューマー向けの製品やサービス（B2C：Business to Consumer）を提供する事業者のWebサイトで起きているbot被害の実態を取り上げてきた。しかし“迷惑bot”はこうしたB2C事業者だけではなく、企業間取引（B2B：Business to Business）を主な業態とする事業者をも苦しめている。

　日本の企業から寄せられるbot被害の相談内容を見ると、当初の想像より広い業種で迷惑botによるビジネス上の被害が起きていることが分かってきた。そこで今回は、さまざまな業種で起きている「迷惑botに起因する無視できないビジネス被害」の実態を取り上げてみたい。

狙われた「問い合わせフォーム」 「想定外」だったbot攻撃の広がり

　では、B2Bビジネスで起きている典型的な被害例をいくつか挙げてみよう。

• 問い合わせフォームを利用したスパムbot

　自社のサイトに問い合わせフォームを設置している企業は多い。このフォームに自動入力する「スパムbot」に、業種を問わず多くの企業のIT部門やサイト担当者が頭を抱えている。ある企業では、botによる繰り返しの投稿で問い合わせフォームから生成されたスパムメールが、企業の各部門の担当者のもとに一日数万通届き、その中から一つずつ人の目で内容をチェックし、正規の顧客の問い合わせを探し出す……という作業に毎日忙殺されていたという。

　日本企業へのスパムbotはアジア諸国がアクセス元となっていることがあるが、生成されるメールの内容は日本向けにカスタマイズされているものも多く、メールサブジェクトなどの単純なルールで機械的にスパムと判定することは難しいという。

　スパムメールは、オンライン詐欺に用いられるフィッシングサイトへの誘導や、マルウェアのダウンロードサイトへの誘導など、“サイバー攻撃の入り口”となるケースもあり警戒が必要だ。このため多くの企業では、社外から届くメール（自社と異なるドメイン名の送信元メール）を対象に、スパムメール対策機器を導入するなど対策を行っている。

　ところが、自社が運用するWebサーバが生成するメールは自社が送信元になる。このため構成上、社外からのスパムメール対策の対象外となっていることが多く、検知して排除できない。攻撃者はこの盲点を悪用してbotを使い、標的の企業内部に大量のスパムを送っている。

　問い合わせフォームからのスパムbot対策として、ユーザーにゆがんだ難読文字を入力させてbotを判定する「CAPTCHA」を用いている企業もあり、一定の効果は期待できるだろう。しかし、ECサイトでの人気商品やチケット買い占めbotと同様、CAPTCHAを突破する高度なbotによる被害が拡大しているのが実情だ。対抗するためには、攻め手を上回る高度なbot検知の仕組みが必要となる。

迷惑bot事件簿

さまざまなタスクを自動化でき、しかも人間より早く処理できるbot。企業にとって良性のbotが活躍する一方、チケットを買い占めるbot、アカウントを不正に乗っ取るbot、アンケートフォームを“荒らす”botなど悪性のbotの被害も相次いでいる。社会や企業、利用者にさまざまな影響を及ぼすbotによる、決して笑い事では済まない迷惑行為の実態を、業界別の事例と対策で解説する。

この連載の記事をもっと見る

この記事の著者