2022年8月18日10:33
細江商事は、米国・HUMAN社と2022年8月に販売代理店契約を締結し、HUMAN社の主力ソリューションで、自動化プログラムを悪用した大量の不正アクセスをブロックできるITセキュリティーソリューション「Humanボットガードサービス」の国内販売を本格的に開始する。同社では、金融機関や大手ECサイト、チケット予約サイト、オンライン旅行サイトなどをターゲットに、初年度20件の導入を目指す。
EC利用増とともに高まるフィッシングなどの脅威
エンドユーザーの操作に影響を与えずにボット対策
2019年3月に設立の細江商事は、不正検知・防止ソリューション・マーケティングソリューションを提供するスクデットの代表取締役でもある細江啓太氏が設立した。細江氏は、SIerでクレジットカード会社向けの不正対策、スクデットで航空会社やECサイト、決済代行向けの不正対策など、約30年にわたり不正対策に取り組んできた。グローバルスタンダードの優れたITサービスを日本国内で販売している。
パンデミックもあり、ECの需要が増加している。その一方で、決済代行をはじめ、オンライン加盟店からログインやパスワードの流出が増加している。また、フィッシングメールの増加が問題となっており、ログインやパスワード、クレジットカード番号や有効期限、セキュリティコードなどが抜き取られることも増えている。フィッシングでは、データを大量に入手できるため、不正者は人的にアタックすることなく、アタックそのものを自動化させているという。さらに、フリマサイトなど、CtoC取引が増加しており、転売行為が行われている。
ボットとは、特定の作業を自動的に実行できるプログラムだ。特定のページで在庫や価格情報を取得し、ログイン、カード番号入力、購入などを自動で行ってしまう。現在、ボット対策としては、「私はボットではない」をチェックして、信号機や横断歩道などの画像を選択する「CAPTHA（キャプチャ）」が用いられているが、多くのボットプログラムはこれを打破する前提で作られているという。「キャプチャ」はインターネットに慣れないユーザーが失敗して離脱してしまうリスクもあるほか、最近はキャプチャをすり抜ける攻撃も出てきている。
現状の不正アクセスの多くは一般的なキャリアのIPアドレスを利用する傾向があり、正規ユーザーも混同する可能性が多い。特定のIPを遮断するソリューションを導入してもすり抜ける対策を不正者がとっているそうだ。
『Humanボットガードサービス』は、エンドユーザーの操作に影響を与えることなくボット対策を施すことができる新しいソリューションとなっています」と細江氏は話す。ゴールドマンサックスポートフォリオカンパニーのHuman Securityは、不正検知・防止ソリューションを提供している。同社には、ホワイトハッカーが多数在籍しており、オンラインメディアを中心にボット検知サービスを提供している。グーグル（Google）が広告不正対策に採用しているように大手企業でも導入されている。また、米国ランサムウェアの大元を暴くなどグローバルにおける難解事件を多く解決しているそうだ。
カード番号やログインがサーバを通過する前に検知
導入から運用までをサポート
同サービスは、「Human Verification Engine（ヒューマン・ベリフィケーションエンジン）」を活用して、さまざまなデータ入力を「人」が実際にしたものか、プログラムが自動入力しているかを判定できるサービスだ。ヒューマン・ベリフィケーションエンジンは、アプリ、API、デジタルメディアをボットアタックから守ることができる。これにより、本物の人間のデジタルエクスペリエンスやユーザーエクスペリエンスを向上させる。
メリットとして、リアルタイムにカード番号やログインがサーバを通過する前に検知して抑止できる点が挙げられる。また、CAPTHAなど不要でユーザビリティを損なうことなく、各種ボットによるアタックへの対策が可能だ。主な特徴として、「IDやパスワードのログイン試行を事前に検知」「大量のカード番号の有効性チェックとしてボットによるカード番号試行（通称・リストカードアタックを事前に検知）」「大量にアカウントを作成するプログラムからのアクセスを事前に検知」といった点がある。
細江氏は「ボットは最新在庫情報を確認する手段にも活用されており、Webへのアクセスを許すだけでも、ホストをする企業にとっては多大なコスト負担となっています。また、チケット販売時や人気ゲーム機などの予約開始時などアクセスが集中するときのサーバ停止を引き起こす要因にもなっています。Humanボットガードは、ボットのアクセス元をリアルタイムに判定してアクセスを遮断することで、お客様のさまざまな課題を解決することが可能です」と強みを述べる。
細江商事では、ユーザー企業の導入から運用までをサポートする。まず、現状のボット調査では、タグマネージャおよびログイン・カード入力ページ、申し込みページにJavaScriptを実装してもらい、3週間モニタリングする。ボット調査報告・導入可否判断・導入の場合挙動設計では、調査結果を報告し、実装可否を判断してもらう。実装する場合、判定結果の挙動をコンサルティングする。さらに、ログイン時、カード決済時、申し込み時においてボット判定経過のRest呼び出しのコールを追加。ボット判定結果に対する挙動やフラグを開発する。導入が完了したら、運用を開始。状況を確認しながら、ボット判定をモニタリングするそうだ。導入費用は100万円（消費税別）から、月次費用は75万円から。また、ボットがそもそも存在するかチェックする診断サービスを期間限定で低価格にて提供するそうだ。
