Q2、F5で成功を継続：自動化された攻撃の99%を阻止

Q2は、金融サービス向けデジタルトランスフォーメーションソリューションの大手プロバイダーとして、米国内外の銀行、信用組合、オルタナティブファイナンス企業、フィンテック組織にサービスを提供しています。自動化された攻撃と不正行為による損失が急増する中、同社はF5 Distributed Cloud Servicesを活用し、悪意のある自動化を99%削減しています。F5のソリューションは、管理しやすいボットセキュリティと、不正行為への対策強化に役立つユーザーインサイトを提供します。

課題

2024年には、3.4兆米ドルを超える金融取引がQ2プラットフォームを通じて処理されました。このソフトウェアソリューション企業は、米国本社と海外拠点から、世界各地の1,200を超える金融機関にサービスを提供しています。顧客には、米国の大手銀行上位100行の40%超と、同国の大手信用組合上位100組合の40%が含まれます。Q2は、音声バンキングを含め、地域やデバイスを問わず、約3,700万人の個人および法人の口座保有者に常時利用可能で一貫した体験を提供する金融取引テクノロジーを提供しています。Q2プラットフォーム上の口座取引は、残高照会から住宅購入や商業融資に伴う高額な電信送金まで多岐にわたります。

巨額の資金と顧客からの信頼がかかる中、Q2にとってセキュリティに妥協の余地はありません。米国連邦取引委員会は、金融詐欺による年間損失額を100億ドルと推定しており、その額は増加を続けています。損失の大部分はアカウント乗っ取りによるもので、その多くはクレデンシャルスタッフィングやその他の悪意あるログイン試行を通じて行われます。2020年までに、Q2は月間5億件ものログイン試行への対応を迫られ、その82%がクレデンシャルスタッフィング攻撃でした。この状況を放置することはできませんでした。

Q2の最高可用性責任者であるLou Senko氏は、次のように述べています。「攻撃者によって、当社のリソースの多くが消費されていました。攻撃に対処し、サービスの可用性への影響を防ぐためだけに、インフラストラクチャを当初の何倍もの規模に拡張せざるを得ませんでした。防御戦略を変える必要があることは明らかでした」

このソリューションには、高度な機能が求められました。信頼性が極めて重要である一方、金融サービスの利用者は、アクセスの遅延や中断に敏感です。さらに、銀行や信用組合は、厳しい規制環境に対応しながら、新しく、よりパーソナライズされたユーザー体験を継続的に提供する必要があります。Q2は、こうしたイノベーションの多くを担い、新機能の提供とパーソナライゼーションの強化を絶えず進めています。しかし、このような変更は攻撃対象領域を拡大させる可能性もあります。特に、ログインの約4分の3がモバイルデバイスから行われているため、そのリスクは高まります。

新たなセキュリティには、正規ユーザーのパフォーマンスに影響を与えることなく不要なトラフィックを遮断し、誤検知を最小限に抑えることで、これらの課題に対応することが求められました。また、Senko氏のチームが防御に費やす時間を減らし、パフォーマンスの向上や新機能の開発により多くの時間を充てられるよう、管理が容易であることも必要でした。

幸いにも、Q2は緊密なパートナーシップを活用し、こうした相反する要件への対応を図っています。データセンターにF5 BIG-IP製品を導入していたことから、F5はすでにそのパートナーの1社でした。

ソリューション

他の選択肢も検討した結果、Q2はF5 Distributed Cloud Bot Defenseを採用しました。このソリューションは、SaaSベースのセキュリティ、ネットワーキング、アプリケーション管理ソリューションで構成されるDistributed Cloud Servicesファミリーの一部です。このボット対策ソリューションは、優れた有効性と事業成長に応じた拡張性を備えているだけでなく、Q2が予定していたクラウド専用アーキテクチャへの移行方針にも合致していました。

Q2がDistributed Cloud Bot Defenseを初めて検討した当時、同社はプライベートクラウド、パブリッククラウド、データセンターを利用する大規模なハイブリッドクラウド環境を運用していました。規制方針の変化などを受け、間もなくデータセンターの廃止に着手する予定でした。顧客へのサービスやサイバーセキュリティに支障をきたすことなく、数十万ものワークロードを移行する必要がありました。Distributed Cloud Bot Defenseは、ワークロードのホスト先を問わず、3年間の移行期間を通じてシームレスな保護を提供できました。導入と管理の容易さ、誤検知の少なさ、口座保有者に影響を与えない透過性、総合的な価値も、Q2がF5を選定する決め手となりました。

「私たちも他社と同様、価格には敏感です」とSenko氏は語ります。「競合他社も検討しましたが、ボット対策ではF5がトップであり、投資に対して最も高い価値を得られると考えています。また、F5チームとは常に円滑に仕事を進めることができました」

導入時、同社のシステムに流入する悪意のあるトラフィックは、1時間あたり400万セッションを超えることもありました。Q2は、F5ソリューションがトラフィックをいつ、どのように検知、ブロック、緩和するかを制御するポリシーを設定しました。その成果は目覚ましいものでした。

成果

悪意のある自動化の99%を阻止

導入後すぐに、自動化トラフィックは、全トラフィックの最大88%（金融サービスアグリゲーターによる正規の自動化を含む）から、2022年後半までに3%へと減少しました。

「年間約400億件のセッションをブロックしていました。つまり、1分あたり約70,000件が当社のアプリケーションサービスに到達する前にブロックされていたことになります」とSenko氏は述べています。

Senko氏が「目まぐるしい」と表現する事業成長にもかかわらず、自動化されたトラフィックは減少を続け、現在では1%未満となっています。Q2プラットフォームでは、わずか2年前と比べてアクティブユーザー数が22%増加し、トランザクション数も45%増加しています。同社が消費者向け銀行に加えて法人向け銀行へのサービス提供を拡大していることから、取り扱う総額は2倍以上になりました。Senko氏は、「1分間に約1,000万ドルを処理しています」と述べています。

それでも、ブロックが必要な自動攻撃は平均で1分あたり2,000件未満に減少し、攻撃の継続時間もピーク時から90%以上短縮されています。

「攻撃者は、こちらが防御していると気づくと、別の標的へ移ります」とSenko氏は語ります。「また、問題が発生しても、F5は迅速に対応してくれます。わずかなチューニング調整を行うだけで対処できます。非常に大きな成果を上げてきたため、今ではお客さまもそれを当然のこととして期待するようになっています」

コストを抑えながらユーザー体験を保護

ボットを阻止することは、ほんの始まりにすぎません。「ここでは多くの関係者がユーザーエクスペリエンスの品質に注目しています」とSenko氏は述べています。Q2は可用性と品質を小数点以下4桁の精度で追跡しており、2024年には全顧客の平均可用性が99.9822%に達しました。Distributed Cloud Bot Defenseを導入する前の4年間は、この数値が平均99.9312%でした。この改善は、これらの可用性水準ではダウンタイムが50%短縮されることを意味するため、Q2の顧客にとって重要です。しかし、ユーザーエクスペリエンスはほかの要因にも左右されます。

Senko氏は次のように述べています。「稼働時間とは、単にマシンが動いている時間ではありません。ユーザーがログインし、素晴らしい体験を通じて、余計な障害に妨げられることなく目的を達成できる時間です」。正当なトラフィックをブロックする誤検知があれば、こうした体験が損なわれる可能性があります。しかし、F5ソリューションについて、Senko氏は「誤検知が問題になったことはありません」と述べています。

また、F5のセキュリティによってアプリケーションの応答が目立って遅くなることもありません。Distributed Cloud Bot Defenseがより多くの攻撃をブロックするほど、ユーザーエクスペリエンスは向上します。自動化された攻撃は、たとえ侵害に至らなくても、1件だけで他のトランザクションを妨げる可能性があります。

「悪質なボットによるログインは、1日あたり10万件増えるだけでなく、1秒間に400件近く発生します」とSenko氏は述べています。「その結果、ユーザーエクスペリエンスが低下し、過負荷によってコンポーネントが利用できなくなります」

このようなピークに対応するためにインフラを過剰に増強するのは、コスト効率がよくありません。幸いにも、Senko氏は次のように述べています。「Distributed Cloud Bot Defenseを導入すれば、そのトラフィックが当社のインフラに到達することはありません。ユーザーエクスペリエンスに影響はなく、対応のためにインフラを増強する必要もありません。当社にとって明確なコストメリットがあります」

戦略の変化に応じて俊敏に拡張

Q2のクラウド移行が完了に近づく中、Distributed Cloud Bot Defenseは一貫した保護を提供してきました。Senko氏は次のように述べています。「プラットフォーム移行を急ピッチで進めていた際、問題が発生すると、F5はすぐに問題を特定し、電話で対応して解決してくれました」

これは重要な点です。事業が成長しても、Senko氏のチームの規模は拡大していないからです。「ワークロードは数千%増加しています」とSenko氏は述べています。「データセンターからの移行に伴い、約12,000台のサーバーから400,000個のコンテナへと移行します。そのために人員を増やすことはありません。ツールと自動化によってスケールすることがすべてです」。Distributed Cloud Bot Defenseも、それに合わせてスケールします。

実際、このソリューションを利用した経験について要約を求められると、Senko氏はまずスケーラビリティを挙げます。

「F5 Distributed Cloud Bot Defenseにより、拡張性、スピード、精度を確保できます」とSenko氏は述べています。「この3つがなければ、当社のソリューションと評判に悪影響が及びます」

柔軟なサブスクリプションオプションで変化に対応

最近、Q2はF5 Flexible Consumption Program (FCP)を導入し、俊敏性をさらに高めました。このサブスクリプションオプションにより、ニーズが明らかになった時点で、Q2は他のDistributed Cloud Servicesのライセンスを自ら取得したり、必要に応じて新しい環境へ拡張したりできます。

Senko氏は次のように述べています。「F5が取り組んでいる新しい技術を試せる選択肢を確保し、利用状況の変化に応じて支出先を変更できるようにしたいと考えていました。」たとえば、同氏のチームは最近Distributed Cloud Data Intelligenceを導入しました。これは、異常なユーザー行動、ログインなどの操作パターン、インフラストラクチャの特性を特定し、不正防止を支援します。

高度なデータインテリジェンスで不正を削減

「お客さまが被る不正被害は急増しています」とSenko氏は述べています。「前年比で14%増加し、業界全体でついに100億ドルを超えました。そのため、現在は不正対策分野に大きく注力しています」

Distributed Cloud Data Intelligenceは、既存の意思決定ツールやプロセスと連携し、不正行為が発生する前にその疑いを特定できるよう支援します。また、Q2がお客さまに提供する高度なパーソナライゼーションを補完します。

「ユーザーごとにより固有の体験を提供するために把握する行動や特性は、不正検知にも役立ちます」とSenko氏は説明します。「F5のエンドポイントインテリジェンスを活用し、そのユーザーとセッションに関するデータを拡充することで、より的確な判断につなげています」

理想的には、これまで以上に早い段階で不正を阻止できるようになります。Senko氏は次のように述べています。「疑わしいと判断した場合、そもそもログインを許可すべきではなかったということですよね。現在F5から取り込んでいるインテリジェンスを活用し、ログイン時点でセッションのブロックを開始します。現在、この取り組みを進められることをうれしく思っています。今後、ブロックした不審なセッションと不正事案の減少との相関関係を測定できるようになることを期待しています」

Q2という社名は会計年度の第2四半期を意味しているのかもしれませんが、同社のサイバーセキュリティへの取り組みは、はるか先の未来を見据えたものです。Senko氏は次のように述べています。「当社は、稼働率、成長、そしてこうしたテクノロジーの活用方法において業界をリードしており、近い将来、売上高10億ドル規模の企業になるための態勢も整っています。F5は当社にとって素晴らしいパートナーであり、データインテリジェンスの取り組みによって、両社の関係はさらに深まっていくでしょう」

2022年の事例で、Q2とF5の歩みをご覧ください ›