「サイトへの不正ログインが急に増えた」
「お問い合わせフォームに大量のスパムが届く」
「セール開始と同時に在庫が一瞬で消えた」
こうした現象の裏側には、多くの場合「Bot（自動化プログラム）」が潜んでいます。「うちのサイトはまだ大丈夫」と思っている方ほど注意が必要です。Bot攻撃はここ数年で急増し、しかも年々巧妙化しています。
本記事では、Bot攻撃の最新動向と、企業が取るべき現実的な対策の考え方を整理します。
2026年6月、Cloudflare社のCEOが「インターネット上のHTTPリクエストのうち57.4%がBot、42.6%が人間」というデータを公表し、話題になりました。人間がWebの多数派ではなくなったという、象徴的な転換点です。
もちろんBotのすべてが悪意あるものではありません。検索エンジンのクローラーや、近年急増しているChatGPTなどのAIエージェントによるアクセスも含まれます。問題は、この中に紛れ込む「悪質なBot」です。
実際、国内でもECサイトへの不正プログラム設置や、パスワードリスト攻撃による不正ログインが相次いで報じられています。攻撃者側のハードルも下がっており、生成AIを使って攻撃ツールを自作するケースや、10代の未成年者が愉快犯的にサービスを妨害する事件も出てきました。「攻撃は高度な専門家だけが行うもの」という前提は、もはや通用しません。
WAF（Web Application Firewall）を導入していても不正ログインを防げなかった、という事例も出ています。これは、WAFが得意とするSQLインジェクションやXSSといった「攻撃パターン」の検知と、正規のログイン画面を装って人間らしく振る舞う「高度なBot」の検知とでは、防御の性質がまったく異なるためです。
こうした背景から、セキュリティ対策の考え方は「一つの壁で全部防ぐ」から「攻撃の性質に応じて段階的に防御層を重ねる」方向にシフトしています。
Bot攻撃・不正対策は、大きく3つの防御層に分けて考えると整理しやすくなります。
SQLインジェクションやXSS、DDoS攻撃など、通信のパターンから機械的に判別できる攻撃を入口で遮断する層です。攻撃通信そのものをブロックすることで、サーバーの負荷も軽減できます。ただし、正常な通信を装う「高度なBot」はこの層をすり抜けてしまうことがあります。
WAFをすり抜けた悪質なBotを、クリック速度やマウスの動き、通信の癖といった「振る舞い」から検知して弾く層です。クレジットマスター攻撃やリスト型攻撃、買い占めBotなどへの対策に有効で、reCAPTCHAやCloudflare Turnstileといった認証ツールのほか、人間とBotの違いをAIで自動分析し、見えない裏側で悪性アクセスを弾くBot管理機能なども該当します。一方で、人間による「なりすまし」行為そのものは、この層だけでは防ぎきれません。
偽アカウント作成、不正ログイン、不正カード利用など、高度なBotや人間による不正行為を、ユーザーの属性や行動パターンから分析して検知する層です。購入や決済といった重要な取引を守る「最後の砦」として機能します。トランザクション単位の従量課金が一般的なため、全アクセスを通すとコストが増える点は考慮が必要です。
Bot攻撃は今後さらに増加・巧妙化していくことが見込まれます。大切なのは、すべてを一度に導入することではなく、自社のリスクに応じて「どの層の対策が足りていないか」を見極めることです。
現状の課題を整理するところから、無理なく始められます。
このようにお悩みの際は、お気軽にDGビジネステクノロジーまでご相談ください。