生成AIで作られた攻撃コードと大量リクエストが突く会員アプリの弱点

会員制アプリを狙う不正アクセスが「自動化」で加速する

会員向けアプリやAPIは、利便性のために常時公開されます。ここが攻撃者にとっては、最初に探られやすい入口になります。

近年はボットによる大量リクエストが容易になり、短時間に膨大な試行が行われます。手作業では起きにくい規模で被害が拡大します。

さらに生成AIの普及で、コード作成の心理的・技術的ハードルが下がりました。攻撃の「量産」と共有が進む点が警戒材料です。

国内の会員制サービスで疑われた大量リクエスト型の情報窃取

報道では、国内の複合サービス事業者が提供する公式アプリのシステムが攻撃を受け、会員情報が不正取得された可能性が指摘されています。

不正な指令が短期間に繰り返し送られ、回数は700万回以上と報じられました。自動化されたアクセスで、情報取得を試みた構図がうかがえます。

また、生成AIを悪用して作成したプログラムが、オンラインコミュニティで共有されていたとされます。若年層を含む関与が疑われ、拡散性も論点です。

影響を最小化するために必要なAPI防御と運用設計

大量のリクエストにより、情報漏えいだけでなく、アプリ機能の一部停止など可用性面の影響も起こり得ます。事業継続の観点での備えが重要です。

技術面では、レート制限やWAF/ボット対策、異常検知の整備が要点です。加えて、ID連番など推測可能な設計を避け、認可を厳格にします。

運用面では、ログの保全と即時分析、影響範囲の切り分け、関係機関との連携が初動の中心になります。API変更時の脅威モデリングも有効です。

• 監視と制限：IP/アカウント単位のレート制限、異常トラフィック検知、段階的な遮断ルールを整備する。
• 認証・認可の再点検：認証後もエンドポイントごとに権限確認を行い、過剰なデータ返却を避ける。
• 証拠保全と初動：アクセスログの保持、攻撃手口の特定、影響範囲の確定と利用者対応を並行して進める。

まとめ

ネットワークベンダーとして、PSIでは、会員アプリやAPIを前提にした多層防御を推奨します。入口対策だけでなく、内部での権限管理も要です。

また、ゼロトラストの考え方で、リクエスト単位の正当性確認と最小権限を徹底します。大量試行を前提に、検知と抑止を組み込みます。

最後に、セグメンテーションとログ設計を平時から整え、インシデント時に影響範囲を即座に限定できる状態を目指すことが重要です。

会社概要

社名：株式会社ピーエスアイ（PSI）
所在地：〒160-0022 東京都新宿区新宿5丁目5-3 建成新宿ビル4階
設立：1994年
TEL：03-3357-9980
FAX：03-5360-4488
URL：https://www.psi.co.jp
事業内容：サイバーセキュリティ製品の販売および導入支援、運用サポート、ITコンサルティング

報道関係者様からのお問合せ先

株式会社ピーエスアイ
広報担当：内藤
電話番号：（03）3357-9980
Eメールアドレス：psi-press@psi.co.jp