アジア太平洋の金融機関に集中するレイヤー7 DDoSとAPI攻撃、狙われる理由と備え

金融のデジタル化が進むほど、アプリ層攻撃の比重が高まる

金融サービスは、モバイルやクラウド、API連携の拡大で利便性が増しています。一方で攻撃対象領域も広がり、可用性を狙う攻撃が目立ちます。

特にレイヤー7 DDoSは、WebやAPIなどアプリ層を狙い、通常アクセスに紛れて負荷をかけます。単純な帯域枯渇より検知や切り分けが難しい傾向です。

最近の脅威レポートでは、特定地域・業種に攻撃が集中する状況が示されました。経営影響が大きい領域だけに、可用性と不正アクセスの両面が論点です。

アジア太平洋の金融機関で顕在化するレイヤー7 DDoSの集中

公開レポートでは、2025年の金融サービス向けレイヤー7 DDoS攻撃のうち、アジア太平洋地域が52%を占めたとされています。4年連続で最大の標的地域です。

標的の内訳としては、銀行が44%、フィンテックが38%とされ、サービス提供形態の多様化が攻撃面の拡大に直結しています。API公開の増加も背景にあります。

またレイヤー3/4 DDoSでは、同地域で銀行が92%を占めるとされました。ネットワーク層とアプリ層を組み合わせた多層攻撃が継続している状況です。

背景として、デジタルバンキングやリアルタイム決済の普及に対し、監視・ガバナンスが追いつかないケースがあると指摘されています。攻撃側の自動化も脅威を押し上げます。

サービス停止と不正利用を同時に想定した防御設計が重要

可用性低下は、取引機会の逸失だけでなく、障害対応コストやブランド毀損にもつながります。さらにDDoSに紛れて、認証情報悪用やAPI探索が併発するリスクもあります。

対策としては、アプリケーションレイヤーを含むDDoS耐性の強化に加え、APIトラフィックの可視化が欠かせません。平時の正常系を把握し、異常検知の精度を上げます。

ボット識別と制御、ゼロトラストを意識したアクセス制御も有効です。認証・認可の設計、レート制限、異常時の自動遮断など運用と技術の両輪で整備します。

加えて、リアルタイム決済やモバイル基盤を含む監視体制、脅威インテリジェンスの活用、インシデントレスポンス計画の整備と演習が重要です。多層攻撃を前提に復旧力を高めます。

まとめ

ネットワークベンダーとして、PSIでは可用性と不正アクセスを分けて考えず、ネットワーク層からアプリ層まで多層防御で設計することを推奨します。

特にAPIは事業拡大の要ですが、可視化不足がリスクになります。ゼロトラストの考え方で最小権限と継続的検証を徹底することが重要です。

攻撃の集中が示された地域・業種ほど、監視と復旧の運用力が差になります。セグメンテーションや冗長化も含め、レジリエンスを平時から高めていくべきです。

会社概要

社名：株式会社ピーエスアイ（PSI）
所在地：〒160-0022 東京都新宿区新宿5丁目5-3 建成新宿ビル4階
設立：1994年
TEL：03-3357-9980
FAX：03-5360-4488
URL：https://www.psi.co.jp
事業内容：サイバーセキュリティ製品の販売および導入支援、運用サポート、ITコンサルティング

報道関係者様からのお問合せ先

株式会社ピーエスアイ
広報担当：内藤
電話番号：（03）3357-9980
Eメールアドレス：psi-press@psi.co.jp