アカマイは、 ゲームウェブサイトを標的としたボットによる不正ログイン (Credential Stuffing ) 攻撃に関する詳細な調査結果を公表した。
「インターネットの現状(State Of The Internet, SOTI)/セキュリティ|Web攻撃とゲーム業界への攻撃」レポートによると、 ゲーム業界はハッカーの標的となっており、 調査対象となった17ヵ月間(2017年11月～2019年3月)で、 ゲームウェブサイトを標的としたボットによる不正ログイン (Credential Stuffing)攻撃が120億件も発生していたことが明らかになった。
このことから、 同レポートはゲーム関連業界において、 不正ログイン攻撃の脅威が急激に高まっており、 手っ取り早く利益を狙う犯罪者に格好の標的となっていると指摘している。
レポートでは、 現在、 SQLインジェクション(SQLi)攻撃が全ウェブアプリケーション攻撃の3分の2近く(65.1％)を占め、 ローカル・ファイル・インクルージョン(LFI)攻撃も24.7％に達していることも明らかにしている。データによると、 このSQLi攻撃は2018年の年末商戦期間中に急増し、 その後も増加傾向にあることから、 攻撃ベクトルとして警戒すべきレベルの成長を続けている。 2017年四半期の SQLi攻撃の割合は、 アプリケーションレイヤーへの攻撃全体の44％だった。
SQLi攻撃と不正ログイン攻撃には直接的なつながりがある。 闇サイトなどで出回っている不正ログイン用のリストの大半は、 世界最大規模のデータ漏えいの数々から得られたデータが悪用されており、 漏えいの根本原因は多くの場合SQLi攻撃だ。年初にAkamaiのリサーチチームは、 脆弱なウェブサイトに対してSQLi攻撃を仕掛ける方法や、 取得した認証情報からリストを生成する方法を解説した動画を見つけたという。 このような方法で不正に入手されたリストが人気オンラインゲームに対する不正ログイン攻撃に利用されていると考えられるとしている。
セキュリティ調査担当であり、 「SOTI /セキュリティ」レポートの解説者でもあるMartin McKeayは「ゲーム業界がハッカーにとって魅力的なターゲットである理由の1つに、 ゲーム内アイテムを犯罪者が簡単に換金できる点があります。 さらに、 ゲーマーはお金を使うことが知られている特殊な消費者層なので、 経済的にも魅力的なターゲットなのです。 」と語る。
攻撃の一例を見ると、 犯罪者は人気ゲームの有効なアカウントと個性的なスキンを標的としている。 スキンとは、 ビデオゲーム内のアイテムやアバターの外観を変えるもので、 プレーヤーのアカウントのハッキングに成功すると、 それらの取引や売却ができてしまう。
ハッカーにとってさらに価値が高いと見られるのが、 有効なクレジットカードなどの金銭取引情報が紐付けられているアカウントだ。 そのようなアカウントを取得すると、 ゲーム内で使う通貨などの追加アイテムを購入してから、 さらにそのアカウントを高値で取引または売却できる。
「ゲーム会社は継続的に防御策を新たに導入したり、 強化していますが、 同時にユーザーにも自身で身を守る方法を伝え続ける必要があります。 多くのゲーマーは若者です。 アカウント保護のベストプラクティスを教えることができれば、 今後それを実践するようになるでしょう」と McKeay は語る。
その他、 本レポートでは下記の地理的な特徴について取り上げている。
・アプリケーションレイヤー攻撃の67％近くが米国の組織を標的としている。
・ロシアはアプリケーション攻撃の発信元国として第2位である一方で、 標的としては上位10ヵ国に入っていない。 同様に、 中国も発信元国としては第4位だが、 標的としては上位10ヵ国に入っていない。
・英国は標的国として第2位である一方、発信元国としては順位が低く第10位。オーストラリア、 イタリアも標的国の上位だが、発信元となると上位10ヵ国に入っていない。
・全業種では米国が不正ログイン攻撃の発信元国として群を抜いてトップだが、 ゲーム業界を標的とした攻撃に限定すると、 ロシアとカナダが1位と2位を独占している。
・カナダは、 アプリケーションレイヤー攻撃の発信元国として上位10位に入っていないが、 不正ログイン攻撃の発信元国では第4位。
・ベトナムは、 不正ログイン攻撃の発信元国では第9位だが、 ゲーム業界を標的とした攻撃では第4位。
・日本は、 不正ログイン攻撃の発信元国としては16位となっている。
Akamaiの2019年「SOTI/セキュリティ|Web 攻撃とゲーム業界への攻撃」レポート
https://www.akamai.com/us/en/multimedia/documents/state-of-the-internet/soti-security-web-attacks-and-gaming-abuse-report-2019.pdf
