新連載：迷惑bot事件簿

「アクセスの約86％がbotだった」　航空会社の予約サイトが悩むbot（1/2 ページ）

公開 2018年10月31日 08時02分

更新 2018年11月13日 13時31分

著者

中西一博

[ITmedia]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

新連載：迷惑bot事件簿

さまざまなタスクを自動化でき、しかも人間より早く処理できるbot。企業にとって良性のbotが活躍する一方、チケットを買い占めるbot、アカウントを不正に乗っ取るbot、アンケートフォームを“荒らす”botなど悪性のbotの被害も相次いでいる。社会や企業、利用者にさまざまな影響を及ぼすbotによる、決して笑い事では済まない迷惑行為の実態を、業界別の事例と対策で解説する。著者は、セキュリティベンダーの“中の人”として、日々、国内外のbotの動向を追っているアカマイ・テクノロジーズの中西一博氏。

　「全アクセス数の約86％がbotだった」――日本航空（JAL）のインバウンド向け（海外の人向け）国際線予約サイトのトランザクションを、2017年に分析したところ、そんな実態が明らかになった。何者かの利用するbotが空席・運賃といった情報を頻繁に自動収集しようと試みていたとみられるが、近年このような売上にはつながらないbotアクセスの増大にJALは悩まされていた。

　この予約サイトで利用者が空席照会、座席予約をすると、JALが外部の国際線共通予約エンジンサービスにリクエストを出してデータを照会している（この外部サービスは、国際線を持つ世界中の航空会社が利用している）。このリクエスト量に応じ、JALは外部サービスに料金を支払っている。しかし空席を参照するだけで、直接購入に結び付かないアクセスが増えると、その分、JALの負担額が増えていく。

　そこで、アカマイ・テクノロジーズ（以下アカマイ）のbot検知システムを導入したところ、全アクセスの約86％がbotによるものだったと判明した。

著者紹介：中西一博

1992年、日立情報ネットワークにシステムエンジニアとして入社。日立グループを統合するネットワークで各種のインターネットセキュリティサービス、モバイルアクセスサービスなどを開発し、当時黎明期にあった企業のサイバーセキュリティ運用のひな型を築いた。その後2000年にシスコシステムズに入社。セキュリティスペシャリストとしてシステムエンジニア、プロダクトマネジャー、マーケティングを担当し、新技術を元IT部門の視点を生かして分かりやすく解説するソリューション提案でネットワークセキュリティの業界を15年間にわたりリードした。2015年1月からはアカマイ・テクノロジーズ合同会社でプロダクト・マーケティング・マネジャーとして、同社のクラウドセキュリティソリューションを担当。TVニュースや記事、セミナーなどで最新のサイバー攻撃動向などを解説している。

旅行、ホテル業界を襲う「作りこまれたbot」

　このようなbotは、日本をはじめ世界中の航空会社の予約サイトを狙っている。LCC（格安航空会社）も例外ではない。ファイアウォールでのアクセス制御対策を突破するチューニングやカスタマイズも行われており、その作り込みからは、利益を得るために攻撃側が組織的に活動していることが想起される。

写真はイメージです

　“迷惑なbot”は、航空会社に断りなく、価格比較などを目的とした情報収集を高い頻度で繰り返すほか、航空券を高額転売する目的で使われているケースも考えられる。

　例えば、botを使って空席情報を照会、購入手前の画面のままキープし、仮抑えしている間、まだ購入（決済）していないチケットを転売するという流れだ。予約サイトでは、一定時間が過ぎると、仮押さえを開放し、強制的にログアウトをさせるなどの対策をとっているが、そのタイミングを熟知した上で、時間前にbotが座席を抑え直し、席が未購入のままキープされ続けてしまうといった事態も起きているという。

　その都度、外部システムへのトランザクションが発生するため、航空会社の負担は膨れ上がる。しかも転売している何者かは、買い手が付かなければチケットを購入しない。席をキープされ続けた結果、正規の手順で席を取れなかったユーザーにはもちろん、空席だらけで飛行機を飛ばすことにになってしまうと航空会社にとっても大きな痛手だ。

　こうした迷惑な「チケットbot」は、航空会社などの運輸業のサイトにとどまらず、旅行予約サイト、スポーツやライブイベントのチケット予約サイトなどで猛威を振るっている。

次ページへ無法地帯の状態