OpenAIやMetaなどのAIボットがWebインフラに大打撃　“悪質DDoS攻撃”の実態と防御策

従来の手法では防御できない「レイヤー7」を狙ったDDoS攻撃の急増

　AI技術の発展は、サイバー攻撃者側にも大きな恩恵をもたらしている。2025年に入って特に増加が確認されているのが、AI支援型の脆弱性診断ツールの悪用だ。これらのツールは本来、企業が自社のWebサイトにおける脆弱性の診断に使用するものだが、攻撃者も同様のツールを使って脆弱性を探し、侵入テストまでAIで実行する状況となっている。

　加えて、従来のボット対策として広く使われていたCAPTCHA（文字認識や画像選択による人間判定）も、AIの進歩により突破される事例が増加している。「実際のユーザーなのかどうかの判定が、AIの登場により難しくなってきている」と東方氏は説明した。

　攻撃手法に関しても、WAFを回避する技術、なりすましやセッションハイジャック、従来のDDoS検知に引っかからない低速で持続的な攻撃など、AI技術を活用したより巧妙な手法が開発されている。さらに、AIプロンプトを悪用してペネトレーションテスト用のスクリプトを作成させる事例も確認されており、AIによって攻撃のハードルが下がっている現状だ。

　また東方氏は、DDoS攻撃についても重要な変化が見られると解説する。Fastlyが毎月発行しているレポート「DDoS Weather Report」の最新版^[2]によると、従来のネットワーク層（レイヤー3、4）への単純なDDoS攻撃から、アプリケーション層（レイヤー7）をターゲットにした、より高度なDDoS攻撃が急増しているという。同社の調査では、2025年6月にアプリケーション層へのDDoS攻撃が年初から数十倍に急増していることが確認された。

　「レイヤー7のDDoS攻撃は従来の防御手法では対応できないケースもあり、攻撃が成功しやすい傾向があります」（東方氏）

　また、データ漏えい事件の原因を詳細に分析すると、Webアプリケーションへの攻撃が原因となるケースが非常に多いことも判明している。これは従来のネットワーク境界防御だけでは不十分であり、アプリケーション層での包括的な防御戦略が必要であることの表れだ。

　これらの脅威に対抗するため、Fastlyでは多層的な防御ソリューションを提供している。まず、レイヤー7を中心としたDDoS攻撃への防御手法として、東方氏は「Fastly DDoS Protection」を挙げた。同ソリューションは、単純なDDoS攻撃から高度な攻撃まで対応できるものだ。

　また、従来型のWAFと比べて高い防御率を実現している「Fastly Next-Gen WAF」も有効だとする。一般的に、WAFは正常なアクセスを誤って攻撃と判定してしまう「誤検知」を恐れ、検知のみで実際のブロックを行わない「検知モード」で運用される場合が多い。しかし、Fastly Next-Gen WAFでは利用企業の約90％が攻撃を実際に遮断する「ブロッキングモード」で運用しているという。この数字は、同社のWAFが誤検知を極めて少なく抑えていることを示唆している。

　そして、Fastly Next-Gen WAFのオプションとして提供されているAIボット対策ツール「Fastly Bot Management」では、導入企業においてトラフィックを5分の1程度まで削減する効果が確認されている。東方氏は「ある企業の導入事例を見てみると、ボットからのアクセスをブロックするだけで、かなりのトラフィック数が削減される。トラフィックが下がれば当然コストも下がり、インフラコストも下がる。トラブルが減ることで、ユーザーには快適な環境を提供できる」と説明し、正規ユーザーへのサービス品質向上とコスト削減が同時に実現できることを強調した。

　さらに高度なAIボット対策として、Next-Gen WAFにはDeception（偽装）機能が実装されている。AIボットによる認証突破攻撃では、大量のログイン試行が行われるが、単純にブロックするだけでは攻撃者に防御が検知されたことが判明し、攻撃手法を変更される可能性がある。そこで同機能は、ブロックではなく「ユーザー名・パスワードが無効」という偽装レスポンスを返すことで、攻撃者に検知されたことを気づかせずに防御を継続する仕組みとなっている。

　また、高度なボットとAIクローラーの検出に関する機能も備わっている。具体的には、ヘッドレスブラウザやブラウザ自動化ツールを使ったAIボット攻撃を検知する技術を実装。これらのボットが人間のトラフィックに見せかけようとしても、専用のタグを挿入することにより検知できるとのことだ。

　さらにコンテンツ保護の観点では、AIクローラーによる知的財産の無断利用という問題にも対応しなければならない。実際、とある新聞社がAIサービス企業を著作権法違反で提訴する事例が発生している。そこでFastlyでは、Webサイトへのアクセスを正規のものか判定できるTollbitと連携することで、AIボットによる“適切な収益化”を可能にするソリューションを提供している。