私はボットトラフィックを研究する元CIAサイバー作戦担当官です。Twitterアカウントの80%以上が実際には偽アカウントである可能性が十分に考えられる理由、そしてこの問題がTwitterだけに限らない理由を解説します。

F5エコシステム | 2022年7月14日

この時点で、買収されることを望んでいなかったTwitterと、同社への買収提案を撤回したElon Musk氏との間で、買収計画が頓挫しかけ、法廷闘争の様相を呈し始めていることは、おそらくすでにご存じでしょう。

この対立の中心にあるのが、私もよく知るボットトラフィックの問題です。私は過去6年間にわたり、Web上のやり取りを分析し、ボット、その標的となるアプリケーション、そしてボットの目的を特定するデータサイエンティストのチームを率いてきました。

F5のボット防御インフラストラクチャでは、1日平均約20億件のトランザクションが処理されています。また、ほぼすべての業界にわたる数百社の企業に対し、各社のボットトラフィックについて説明してきました。

この経験に基づけば、Twitterのボットトラフィックは、同社が公表している数値をほぼ確実に大幅に上回り、社内で認識している数値さえも上回っていると考えられます。公平を期すなら、悪意のあるボットや望ましくないボットの標的となっていながら、それらを排除するための最高水準のテクノロジーを利用していない組織すべてに、後者が当てはまる可能性があります。

ここ数年でボットについて得た知見の一部と、なぜこの結論に容易に至ったのかをご説明します。

ボットは常に何らかの目的を達成しようとします。

顧客がオンラインアカウントにログインできるようにしている組織では、何らかの不正行為を目的としたログインアプリケーションへの自動化されたアクセスが発生します。オンラインで特別価格を提供している組織では、再販を目的に価格、運賃、料金をスクレイピングする自動化が行われます。このような例はほかにも数多くあります。

Twitterの場合、主な動機の1つはフォロワーを増やすことです。フォロワーが多いほど、その人のツイートは興味深いはずだと見なされる傾向があり、実際、フォロワーの多いアカウントほど影響力も強い傾向にあります。

影響力を増幅することが目的になると、このモデルは懸念を招きかねません。公人や一般市民の実在するアカウントとやり取りする数百万ものTwitterアカウントを自動制御できれば、どれほどの影響力を及ぼせるか想像してみてください。これは、事実上無制限のリソースを持ち、強い動機を有する国家主体を引き付ける可能性があります。

動機と手段があれば、ボットはさらに増える。

Twitterには大きな動機があるだけでなく、そのための手段も存在します。インターネット上には、ダークウェブやディープウェブのマーケットプレイスを含め、Twitterアカウント、フォロワー、「いいね」、リツイートを有料で提供するサービスが無数にあります。

調査目的で、自分で作成したTwitterアカウントを使ってこれらのサービスを試しました。テストを続けた結果、1,000ドル未満の費用で、現在このアカウントのフォロワーは10万人近くに達しています。以前、まったく意味不明な内容をツイートし、有料でフォロワーにリツイートさせたことがあります。実際にリツイートされました。こうしたアカウントにはTY19038461038のような名前が付けられており、ほかにも多数のアカウントをフォローしています。

自動化を使えば、Twitterアカウントをどれほど簡単に作成できるのだろうと思い始めました。私はプログラマーではありませんが、YouTubeやStack Overflowで自動化フレームワークについて調べました。実際、簡単にできることが分かりました。

テストをさらに進めるため、週末を使ってTwitterアカウントを自動作成するスクリプトを書きました。かなり単純なスクリプトでしたが、いずれの対策によってもブロックされませんでした。IPアドレスやユーザーエージェントを変更するなど、活動を隠すための操作は一切行っていません。

限られたスキルしか持たない人でもこれほど簡単にできるのですから、高度なスキルと強い意欲を持つ人々で構成された組織なら、どれほど容易か想像してみてください。

企業は、ボット問題の規模を過小評価しがちです。

数年前、米国のあるソーシャルネットワーキングサイトがF5のボット対策を導入したところ、ログイントラフィックの99%が自動化されたものであることが判明しました。そう、見間違いではありません。99%です。

実際、多くのアプリケーションでは、トラフィックの80～99%が自動化されていることが確認されています。これは特殊な事例ではなく、小売業者、金融機関、通信事業者、クイックサービスレストランなど、多くの組織で一般的に見られます。

これは当然ながら、同社にとって衝撃的な知らせでした。ボットの問題があることは認識していましたが、これほど深刻だとは想像もしていませんでした。そして、その事実が意味するところをすぐに理解しました。顧客アカウントのうち、実在する人間の顧客によるものはごくわずかで、残りはすべてボットだったのです。

ソーシャルネットワーキング企業の評価では、全アカウントの一部に当たるデイリーアクティブユーザー（DAU）数が大きな役割を果たします。実際のDAUが想定のごく一部にすぎなかったと公表したことで、企業価値は大幅に下落しました。

ボットの恩恵を受ける企業が、必ずしも実態を知りたいとは限りません。

その組織が真実を知らないまま、ボット問題は5%未満だと言い張っていたほうが、その企業の株主にとってはよかったという見方もできます。

このプレッシャーは、DAU数によって企業価値が決まるソーシャルネットワーキングサイトだけにかかるものではありません。コンサートチケット、スニーカー、デザイナーズバッグ、次期iPhoneなど、在庫が限られた需要の高い商品を販売する企業にも当てはまります。

こうした商品がボットによって数分で買い占められ、その後、二次流通市場で大幅に値上げされて転売されると、顧客の不満を招きます。しかし、企業側は依然として在庫を短時間で完売できます。

このような場合、企業は、実際にはほとんど対策を講じていないにもかかわらず、ボットを阻止するためにあらゆる手を尽くしているように見せたいと考えることがあります。

Twitterだけではありません。ボット問題はすべての人に関わる問題です。

現在見られる自動化の規模とスピード、特定のインセンティブによって引き寄せられる可能性が高いボットの巧妙さ、そして私自身の調査で確認した対策の相対的な少なさを考えると、導き出せる結論は1つしかありません。Twitterアカウントの80%以上は、実際にはボットである可能性が極めて高いということです。もちろん、これは私個人の見解です。

Twitterも他の企業と同様に、プラットフォーム上で望ましくない自動化を防ごうとしているはずです。しかし、非常に強い動機を持つ攻撃者による高度な自動化への対応を迫られている可能性があります。このような状況では、ボット対策を自力で行うことはできません。同等に高度なツールが必要です。

しかし、ここではそれよりもはるかに重要なものが危機にさらされています。ボットの問題は、広告収益や株価、企業価値をはるかに超える問題です。この問題を放置すれば、デジタル世界全体の基盤が脅かされます。

ボットが場所を問わず増殖するのを放置すれば、数十億もの損失をもたらす大規模な不正につながります。人々の生活を破壊するだけでなく、国家や悪意ある組織に、誤情報の拡散、対立の創出、さらには政治プロセスへの介入を可能にする手段を与えることになります。その結果、不正や誤情報、対立がさらに増え、世界中の人々が互いに意思を通わせ、関係を築く力に影響が及びます。

社会として、インターネットやモバイルでつながる世界がもたらす利便性、知識、エンターテインメントなどの恩恵を享受し続けるには、オンラインの自動化トラフィックに対処しなければなりません。ボットに対抗する唯一の方法は、私たち自身も高度な自動化技術を活用することです。

F5グローバルインテリジェンス責任者、Dan Woods執筆

注目のブログ記事

F5、NVIDIA Cloud Partnerリファレンスアーキテクチャで大規模なAI推論を高速化・保護

妥協のないAIモデルとエージェントのセキュリティ：F5によるCalypsoAIの買収で実現する、エンドツーエンドのAIランタイム保護

量子時代への備え：F5でPQCを有効化するための実践ガイド

タグ： 2022