悪質なボットがバランス シートに与える悪影響について役員会の理解を得るには

自動ボット攻撃が引き起こす以下のような被害は、経済的損失やビジネス チャンスの損失に直接的につながる可能性もあります。

• アカウント乗っ取りにより顧客の信頼を失う。組織のボット対策が不十分なためにアカウント乗っ取り（ATO）や高額な不正行為が発生すれば、顧客は当然不満を抱きます。これは、顧客満足度の低下、評判の悪化、関係の終了につながります。調査に回答した米国の消費者の4分の1以上が、不正行為に対する銀行の対応に不満があれば銀行を替えると答えています。 
  
• 不正行為やチャージバックにより損失が増大する。ボットによるATO攻撃や不正なアカウント作成は、犯罪者が盗んだ資格情報を使用して購入したり偽のアカウントを設定したりすることで収益に影響を及ぼします。チャージバックが生じると、クレジット カード会社での業者の評判が落ち、チャージバックのペナルティも科されます。
  
• 人件費が増大する。ATOにつながるクレデンシャル スタッフィングのようなボット攻撃が発生すると、不正対策アナリストによる調査が必要となり、彼らがより重要な調査を詳細に行うための時間が奪われることになります。クレデンシャル スタッフィング ボットは、アカウントの乗っ取りに失敗しても、多数のパスワードを次々に試してアカウントをロックアウトすることが多く、顧客がサポートに問い合わせることになり、そのたびにサポート コストがかさみます。
  
• 投資家の評価を歪める。上場企業の評価がフォロワー数、ユーザー数、エンゲージメント数に基づいている場合、人間ではないボット アカウントが存在すると、正確な評価を大幅に歪めかねません。その例として、人間が運用するアカウントとボットが運用するアカウントの数に基づいて正確な評価を行おうとするTwitterの最近の試みが2022年に大きく報じられました。 
  
• ボット軽減対策の信頼性が低いため、ボットと人間を取り違える。ボット軽減対策が不十分であるとこうした取り違えが発生しますが、これを抑制し、防止する必要があります。誤検知（ボット管理ツールが人間をボットと見なして検知する場合）と検知漏れ（ツールがボットを人間と見なす場合）はどちらも、売上と収益の両方に影響を与えます。一方は顧客を失う原因となり、もう一方は不正行為による経済的損失を引き起こします。実際には、重要な顧客の送金を妨げる誤検知は、不正行為やチャージバックにつながる検知漏れよりも、銀行に与える損失が大きくなる可能性があります。どちらの状況でも、不正対策アナリストが調査するための時間と労力が必要になります。
  
• 顧客データが保護されない。EU一般データ保護規則（GDPR）、カリフォルニア州消費者保護法（CCPA）、Payment Card Industry Data Security Standard（PCI-DSS）などの法律や基準は、消費者データのプライバシーを確保し、データ侵害が発生した場合には多額の罰金を科すように設計されています。このようなデータ侵害には、個人データをボットに漏洩するATOやコンテンツ スクレイピング攻撃などがあります。こうした規制の不履行により生じたデータ侵害は非常に大きな損失になります。EUのデータ保護監督当局は、GDPRに則り、最大2,000万ユーロまたは前会計年度の世界年間売上高の4％の罰金を科すことができます。

ボット攻撃は収益に影響するだけではありません。以下のような被害により、ビジネスの運用コストも増大させます。

• アプリケーションのパフォーマンスとアップタイムが阻害され、インフラストラクチャ コストが増大する可能性がある。ボットのスクレイピング攻撃は、その量の多さによって、アプリケーションとプラットフォームのパフォーマンスを低下させる可能性があります。さらに放置すると、インフラストラクチャ容量への多額の投資が必要になり、必要なパフォーマンス レベルを維持するためにクラウド使用料が追加で発生する可能性があります。
  
• アプリケーションの可用性とビジネスのレジリエンスが低下する。ボットの活動により過負荷状態に陥ったWebアプリケーションは、リアルタイムの顧客からの問い合わせやeコマース活動に利用できなくなるため、収益の損失、評判の悪化、顧客離れ、ユーザー エクスペリエンスの低下を引き起こします。
  
• サードパーティのエコシステム パートナーとの関係を損なう。プラットフォームやアプリケーションが不要なボット トラフィックで過負荷状態になっていると、APIエコノミー内のパートナーがSLAを順守できなくなり、契約義務違反を生じる可能性があります。
  
• ビジネス上の意思決定を歪める。価格設定や有料およびオーガニックのSEOの最適化など、企業がビジネス上の意思決定に利用している重要なWebサイト統計情報、ログ データ、顧客とのやり取りの指標を、ボットの活動が歪めてしまう可能性があります。
  
• 在庫管理を操作される。自動ボットはオンラインの商品やサービスが発売された瞬間に大量に購入できるため、犯罪者は大量の貴重な在庫を制御下に置くことができます。その多くは二次市場でかなりの高値で転売され、人為的な希少性、在庫拒否、消費者の不満を生じます。
  
• 顧客のサポート コストが増大する。自動ボットが攻撃に成功すると、カスタマー サポート チームへの負荷が高まり、アカウントの乗っ取り、ギフト カードやロイヤルティ ポイントの詐欺、その他、侵害されたアカウントに関する顧客の苦情の問い合わせや、これらに対処するためのやり取りも増えます。不正行為対策としてCAPTCHAツールや多要素認証（MFA）を使用している場合、これらのプロセスを正常に完了させることが難しく、正当な顧客のアカウント ロックアウトにつながる可能性があるため、ユーザーの不満やカスタマー サポートへの問い合わせが増大するという意図せぬ結果を招く恐れもあります。これは、カスタマー サポート センタの運用コストの増加、顧客離れ、ネット プロモーター スコア（NPS）やソーシャル メディア プラットフォームでの否定的なレビューや低評価によるブランド イメージの悪化につながります。
  
• ボット攻撃の軽減に費やす作業時間が増える。Web Application Firewall（WAF）を介してボット攻撃に対抗し、手動でIPアドレスをブロックする作業は、時間がかかり、訓練を受けたスタッフを増やす必要があります。基本的なWAFはリアルタイムで学習しないため、悪質なボットを検知するには事前に設定されたルールを必要とします。また、WAFを最新の状態に保つには、通常、段階的にパッチを適用し、ルールを設定する必要があります。こうした手動のプロセスを使用して防御を拡張するには、専任のITスタッフやセキュリティ スタッフを増やすしかありません。

定性的な影響は、定量的な指標に比べて測定が難しいかもしれませんが、組織にとって重要性が低いわけではありません。自動ボット攻撃が、次のような形でこうした主観的な価値ドライバーに直接的に影響することもあります。

• 従業員の体験に影響を与える。情報セキュリティの専門知識を持つ人材は不足していて、多くの組織がサイバーセキュリティ人材の確保に取り組んでいますが、その一方で自動ボット攻撃の数と巧妙さは増しています。多くのSOCチームや不正対策チームが最善を尽くしても、ボット攻撃の方向や手口を週に何度も、即座に変えるサイバー犯罪者に先手を打たれています。よりスマートで技術的精度の高いボット対策ソリューションを導入しなければ、優秀なセキュリティ専門家を確保することは難しく、彼らが疲弊して手に負えないと感じている場合はなおさらでしょう。

ボット管理の成功がもたらす価値を伝えるには、組織内の特定の役割や職務に関係する運用や指標に、ボット攻撃がどのような影響を及ぼすかを説明することが重要です。

CISOは、情報セキュリティとコスト管理、そしてITが会社の使命を実現できているかどうかに関心がありますが、ボットはこうした問題のそれぞれに影響を与えます。

ボットは情報セキュリティの3要素である機密性、完全性、可用性を侵害します。アカウントを乗っ取るクレデンシャル スタッフィング ボットは機密保持されるべきデータを暴露します。さらに、攻撃者はこれらのボットを使用してデータを改ざんし、トランザクションを実行し、整合性を侵害します。スクレイピング ボットは、偽のアカウントを作成するボットと同様にデータを歪めるため、これらはすべて主要なビジネス指標の整合性を侵害します。最後に、スクレイピング ボットとスキャルピング ボットはサイトのインフラストラクチャの負荷も増大させるため、サイトは利用できなくなります。

ボットはさまざまな形でコストに影響を与えます。

• クレデンシャル スタッフィング ボットは、アカウントのロックアウトによってサポート コストを増加させ、犯罪者が口座残高を持ち去れば経済的不利益も増大します。
  
• カーディング ボットはチャージバック料金を増加させ、さらに罰金が科せられることもあります。
  
• スクレイピング ボットとスキャルピング ボットは、トラフィックの負荷とインフラストラクチャのコストを増加させます。
  
• WAFのような効果のないツールでボットに対抗しようとすると、SecOpsコストが増加します。

また、ITがビジネスを実現する上でボットが障壁となることも、CISOにとっての懸念材料になります。CAPTCHAや、多要素認証への過度の依存といった、効果のないボット管理は、カスタマー エクスペリエンスの低下と収益の減少を招く摩擦を生み出します。ボットは、ビジネス戦略の評価が難しくなるほどビジネス指標を歪ませます。誰を相手にしているのかすらわからない状態で、どうやってビジネス戦略を導入するのでしょうか？

SecOpsチームは、ビジネスに対するサイバーセキュリティ リスクの効率的な管理を担当していますが、ボットはその任務の妨げになります。CISOと同様に、SecOpsチームは機密性、整合性、可用性に関心があり、これらすべてがボットの影響を受けます。こうした共通の問題に加え、セキュリティ リスクに効率的に対処する上で、ボットは多くのノイズを生じて信号をかき消し、悪意のある膨大なトラフィックに脅威を隠すという難題を突き付けます。

ボットがサイトへのトラフィックの大部分を占めている場合は、ログを分析して脆弱性スキャンやインジェクション攻撃の兆候を見つけることがさらに難しくなります。また、SIEMや侵入検知・防止システムのようなセキュリティ ツールが過負荷状態になり、コストが増加し、さらには調査しきれないほど多くの誤検知が発生します。正検知が極めて少数であれば、異常の追跡はほぼ不可能です。

ボット管理に成功すると、ノイズが除去され、SecOpsチームは残された脅威に効果的に取り組むことができるようになります。

SecOpsチームと同様に、ボットはノイズを劇的に増加させるため不正対策チームに影響を与えます。大量のボットがアカウントを乗っ取り、ロックアウトし、偽のアカウントを作成し、異常アラートをトリガーするため、作業量は非現実的なものになります。

不正対策チームとセキュリティ チームが協力してボットを管理すれば、双方がメリットを得られます。セキュリティ チームは、より小規模なセキュリティ インシデントに集中でき、不正行為の量が減ることで、不正対策チームは解決に専門家の判断が必要となる複雑な不正案件に集中できるため、取り扱い件数が減り、成功指標が向上します。不正行為を行う側から見ると、ボットは入口、つまり攻撃者がアクセスするための手段です。そのため、上流でボットをブロックすれば下流の作業量が軽減します。

NetOpsチームの役割は、ビジネスを支えるインフラストラクチャを運用し、コストを抑制しながらアップタイムとパフォーマンスを維持することです。

場合によっては、eコマース アプリケーションでスクレイピング ボットがトラフィックの90％以上を占めることがあり、これはインフラストラクチャの大部分をボットが使っていることを意味し、インフラストラクチャの予算の大半を無駄にしていることになります。この指標はクラウド サービスの請求書にはっきりと現れます。

このようなボットは、サイトのパフォーマンスやアップタイムに関係なく、前触れなしにいつでもトラフィックを急増させることができるため、予測できず、必要なスケーラビリティを確保するためのコストが増加します。

DevOps文化の中で、DevSecOpsチームは継続的統合/継続的開発（CI/CD）パイプラインにセキュリティを組み込み、セキュリティ バグについて開発者に迅速なフィードバックを提供し、テクノロジのバリュー ストリームへのセキュリティの統合を継続的に改善する責任を負っています。

DevSecOpsチームは、セキュリティのシフト レフトを行い、ワークストリームの早期にギャップへの対応が計画されるようにしています。ボットはここに関係があり、ボットが新しい機能をどのように悪用するか、どのような被害が発生するか、その被害を防ぐには導入時にどのような措置を講ずるべきかについて、機能を評価する必要があります。

DevSecOpsチームは、特にテレメトリに関心があります。The DevOpsハンドブック¹によると、テレメトリは複雑なシステムで問題を予測、診断、解決するために不可欠です。DevOpsが成功するには、テレメトリは、1つのレイヤの問題をスタック全体で追跡し、根本原因を迅速に特定できるように、ビジネス指標、機能使用率、ネットワーク パフォーマンス、インフラストラクチャ ロードを含む複数のレイヤに対応している必要があります。

ボットはテレメトリを大きく歪めます。F5 Distributed Cloud Bot Defenseをご利用の多くのお客様は、ユーザー アカウントのほとんどが偽のアカウントであり、ボットがログイン トラフィックの95％以上を占めていたことを検出しました。組織のインフラストラクチャの大部分を、スクレイピング ボットだけが使用している場合もありました。DevSecOpsチームがセキュリティ ミッションを遂行するには、テレメトリからこの歪みを排除する必要があります。

これは結局のところ、その数字の責任を持つ人です。不正行為、インフラストラクチャ、チャージバックのコストについて責任を負うのは、eコマース担当の副社長ですか？これらのコストが、オンライン ビジネスの利益に深刻な打撃を与えていますか？コンバージョン率と収益が、CAPTCHAなどのセキュリティの摩擦の影響を受けていますか？もしそうなら、この副社長は、ボット管理によって売上高と最終利益の両方がどのように改善されるかに高い関心を持つでしょう。

Webアプリケーションやモバイル アプリケーションを通じてオンラインで販売する製品やサービスを担当するリーダーにも同じことが言えます。利益の最大化を図るには、アプリケーションへのトラフィックの最大の発生源に対処する必要があります。

マーケティング担当者には、ボットに関心を持つ独自の理由があります。ボットによるサイトの速度低下、サイトのダウン、顧客アカウントの乗っ取りなど、すべてがブランドの失墜を招きます。さらにボットは、マーケティング担当者が意思決定に使用するWebサイト分析結果を歪めます。また、ボットによるクリック詐欺が発生すると、収益が生み出されず広告費が枯渇してしまいます。