インパーバ、小売業界のセキュリティトレンドを解説–“転売ボット”に注意

今回は「インパーバ、小売業界のセキュリティトレンドを解説–“転売ボット”に注意」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Imperva Japanは11月18日、小売業界における脅威の潮流について説明会を開催した。同説明会には、米Imperva 最高技術責任者(CTO)のKunal Anand(クナル・アナンド)氏が登壇し、同社の調査レポート「The State of Security Within eCommerce(2022年版)」を基に、ECを展開する小売企業が抱える3つの脅威を解説するとともに、2022年末~2023年に企業が直面する脅威について予測を述べた。

 世界中のECサイトへの全トラフィックのうち、約40%(日本:27.9%)は人間ではなくボットによるアクセスである。サイバー犯罪者が悪用しているケースも多く、過去1年間におけるECサイトへの全トラフィックのうち、約4分の1(全世界:23.7%、日本:19.3%)が悪性ボットによるものだった。悪性ボットは、自動化機能を通してオンライン詐欺に加担する。中でも最新の手法を用いて人間の行動を模倣し、検知をすり抜ける高度なボットは、ボットトラフィックの31.1%を占め、前年の23.4%から増加した。

 分散型サービス拒否(DDoS)攻撃も急激に増えている。DDoS攻撃では、ネットワークやアプリケーションインフラストラクチャーに大量のトラフィックを送り、重要業務の妨害を試みる。こうした攻撃は、ボットをネットワーク化した「ボットネット」を活用して自動化しているケースが多い。DDoS攻撃を受けた小売企業は、アプリケーションにダウンタイムが発生し、ウェブサイトの障害や収益の損失につながる恐れがある。

 小売企業のウェブサイトとアプリケーションへの全トラフィックのうち、APIからのトラフィックは41.6%、うち12%は認証情報やID番号などの個人データを保存したデータベースなどのエンドポイントを送信先としている。APIトラフィックの送信先の3~5%は、セキュリティ担当者が存在を認識していない、もしくはセキュリティ保護の対象外となっている、文書化されていない「シャドーAPI」であると考えられるという。

 攻撃者はボットネットを使い、公開中のAPIや脆弱(ぜいじゃく)なAPIを標的に不要なトラフィックを送り、脆弱なアプリケーション、決済情報や認証情報などのデータを探し出す。APIへの攻撃は2021年9~10月にかけて35%、11月には22%増加している。

 小売企業では近年、SQLデータベースの代わりにデータウェアハウスやデータレイクを利用しており、この動きがセキュリティ上の課題となっている。「企業はデータがどこに保存されているのかを把握しきれていない。データの目録をきちんと取っておらず、データの抜き出しというリスクが高まっている」とAnand氏は指摘した。

 盗み出されているレコード(データベースにおける1行分のデータ)の量は、毎年224%増加している。攻撃者の手口も巧妙化しており、ランサムウェアなどを使って重要なデータを盗んでいる。

 データセキュリティの分野では、多くの法規制やそれに対する順守も注目されている。過去1~2年、日本の小売企業ではデータセキュリティに大きな注目が集まっており、同分野への投資は160%増加している。その背景には、個人情報保護法の改正があるという。同規制により、情報の開示やアクセスの管理が一層求められている。クラウドの普及も、データセキュリティへの投資増加を後押ししている。

 Impervaは、2022年末~2023年に小売企業が直面する脅威について、2つの予測を発表した。1つ目は、ボットによるECサイトへの攻撃。この攻撃は2021年10月に10%、11月には34%増加しており、小売業界の繁忙期であるホリデーシーズンに向けて拡大していると見られる。特に、アカウントの乗っ取りや人気商品を大量に購入して転売する「グリンチボット」が懸念されている。

 2つ目は、APIを介したデータの抜き出し。2023年には数百万ものレコードが盗まれると同社は推察する。APIはEC事業で普及しているため、ハッカーにとって最大の標的となる。APIはデータのすぐ上に存在するため、APIへの攻撃は企業が持っている大量のデータにアクセスすることを意味する。Anand氏は「既に世界各地において、APIを介したレコードの抜き出しが何千万という単位で確認されている。企業にはアプリケーションだけでなく、APIの保護にも注力してもらいたい」と述べた。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
Amazon RDSのMySQL/MariaDBがレプリケーションフィルターをサポート。特定のテーブルだけを選んでレプリカを作成
AWS
2021-02-18 08:13
アマゾンがトイレに行く時間もなく「ペットボトルに排尿」を否定したツイートについて謝罪と釈明
ネットサービス
2021-04-06 10:08
Zoom、約110億円のファンドを立ち上げ–開発者エコシステムの拡大に投資
IT関連
2021-04-20 06:48
認証サービスOkta、「LAPSUS$」による不正アクセスの影響は「想定よりはるかに小規模」
IT関連
2022-04-21 09:38
クラウドセキュリティを軽視しない–不十分な保護が招く多大なリスク
IT関連
2022-06-22 16:56
ビットコインが初めて法定通貨に–エルサルバドルで
IT関連
2021-06-10 01:12
在宅・被災地などの医療現場でリアルタイム検査が可能な免疫センサー機器を開発するイムノセンスが1.3億円調達
ヘルステック
2021-04-07 00:41
【コラム】暗号資産とDeFiを救うのは「内部告発者」だ! 
IT関連
2022-02-11 11:57
Amazonアプリで障害か、「すぐ落ちる」報告相次ぐ PrimeビデオやKindleも【解決済み】
企業・業界動向
2021-06-25 13:24
米国のiPhoneユーザーは2020年に平均1万5200円をアプリに支出
ソフトウェア
2021-04-03 20:25
親会社でのDXの中核になれる組織力を–NRI、情報・デジタル子会社の課題を調査
IT関連
2021-06-16 06:23
マイクロソフト「Edge 88」、「パスワードモニター」など複数の新機能
IT関連
2021-01-25 23:11
ネクストミーツが長岡技術科学大学と提携、マメ科植物を材料に代替⾁に適性のある原料の研究開発
バイオテック
2021-06-08 09:26
Coral Capitalが投資先スタートアップ向けに新型コロナワクチン合同職域接種の開始を発表
VC / エンジェル
2021-06-09 05:47