DDoS攻撃は、複数の場所から通信などの負荷を与え、サービスの利用を妨げる攻撃です。ページが開かない、反応が遅いといった状態だけでは、攻撃なのか、情報が漏れたのかは判断できません。
「サイトが止まった」と聞くと、自分の情報も盗まれたのではと心配になるかもしれません。まず、サービスを使えなくすることと、保存されている情報を盗むことを分けて見てみましょう。
DDoS攻撃とは多数の通信などで利用を妨げる攻撃
DDoSは「ディードス」と読み、Distributed Denial of Serviceの略です。日本語では「分散型サービス拒否攻撃」などと呼ばれます。
「拒否」という言葉は、あなたが利用規約に違反して断られるという意味ではありません。通信や処理に使える余裕を奪われ、普通の利用者へサービスを提供しにくくなることを指します。
JPNICも、複数の場所にある機器を使い、ネットワークやWebサービスを意図的に利用できなくする攻撃として説明しています。JPNICのDDoS解説
DoSとDDoSの違いは「分散」にある
DoSは、サービスの利用を妨げる攻撃の呼び方です。そのうち、複数の場所から分散して行うものがDDoSです。単に「強い攻撃になったらDDoS」と名前が変わるわけではありません。
Webサーバーには、同時に処理できる量や、通信を受け取れる量に限りがあります。そこへ大量の要求を送る、処理待ちを増やすなどして、普通の要求を扱う余裕を減らします。
いくつもの送信元から、利用を妨げる要求が届く
通信経路やサーバーの処理に負担がかかる
ページが遅くなる、機能を使えなくなる場合がある
利用妨害を示す模式図です。情報流出を示すものではなく、実際の攻撃方法や影響範囲は異なります。
大量のデータで通信経路を埋める方法もあれば、接続の待ち状態や重い処理を利用する方法もあります。攻撃の強さは、通信量の数字だけでは決まりません。
複数の機器を不正に操る「ボットネット」が使われる場合もあります。ただし、DDoSのすべてが同じ仕組みではありません。ニュースでは、まず「分散して利用を妨げる攻撃」と理解すれば十分です。
DDoS攻撃と普通のアクセス集中はどう違う？
人気の販売開始に人が集まったときも、画面が開きにくくなることがあります。利用者から見える症状が似ていても、正当な利用の集中と、利用を妨げる攻撃は同じではありません。
| 状態 | 起きていること | 利用者の画面だけで分かる？ |
|---|---|---|
| 普通のアクセス集中 | 利用したい人が同じ時間帯に増える | 遅さだけでは原因を確定できない |
| DDoS攻撃 | 複数の場所から利用を妨げる負荷が加えられる | 攻撃かどうかの調査が必要 |
| 別の障害 | 機器や設定、通信経路などに問題が起きる | 同じように接続できなくなることがある |
運営側は、平常時と比べた通信の変化、要求の内容、送信元の分布などを調べます。「多くの人がつながらないと言っている」という投稿だけで、攻撃と決めつけることはできません。
逆に、一つの場所からの通信を止めれば、すべて解決するとも限りません。攻撃が分散しているうえに、普通の利用と区別しにくい場合があるからです。対策のために通信を広く制限すると、正当な利用者にも影響が出ることがあります。
DDoS攻撃で情報漏えいも起きたといえる？
DDoSという発表だけでは、情報漏えいが起きたとは言えません。DDoSが直接狙うのは、サービスを利用できる状態を妨げることです。
| 被害の種類 | 困ることの例 |
|---|---|
| 利用の妨害 | 予約画面や注文画面を開けない |
| 情報漏えい | 許可されていない相手へ情報が渡る |
| 改ざん | 保存情報や表示内容を勝手に変えられる |
これらは同じ事件で重なる可能性があります。しかし、画面が止まったことだけを根拠に「情報が盗まれた」と考えるのも、DDoSだから「ほかの被害は絶対ない」と決めるのも早すぎます。
発表の「確認した」と「調査中」を分けて読む
公式発表では、原因、影響した機能、情報への影響が、別々に書かれることがあります。たとえば、接続障害の原因が分かっても、他の影響は調べている途中かもしれません。
「情報漏えいは確認されていない」という案内は、確認時点で分かっている範囲を示します。続報や利用者への依頼が出ていないかも、発表日時と一緒に確認してください。
ただし、DDoSのニュースを見ただけで、すべてのパスワードを慌てて変更する必要があるとは言えません。対象のサービスから、どの利用者に何が求められているかを読み分けます。
DDoS攻撃のとき利用者は公式の障害情報を見る
サービスが使えないときは、接続を何度も試す前に、公式の障害案内を確認します。サイト本体が開けなくても、別に設けた状況案内や、普段から案内されている公式アカウントで知らせている場合があります。
- 自分の接続だけの問題かを分ける。 他の普段使うサイトも開かないなら、端末や回線側の問題も考えられます。これだけで原因が確定するわけではありません。
- 公式発表の日時と対象を見る。 どの機能が、いつから使えないのかを確認します。
- 必要な用事の代わりの方法を探す。 期限のある手続きなら、公式に案内された窓口や受付方法を使います。
注文や支払いの途中で止まった場合は、同じ確定操作を繰り返す前に、履歴や公式案内を確認します。画面が返ってこなかったことと、処理が行われなかったことは、同じとは限らないためです。
接続全体の切り分けは、インターネットが遅い理由でも説明しています。
DDoS対策はサービス側と通信側が協力して行う
運営側は、不要な通信の制限、処理の分散、通信事業者との連携、障害時の案内などを組み合わせます。警察庁と内閣サイバーセキュリティセンターの資料も、平常時の監視に加え、代替手段や別の場所から利用者へ知らせる準備を挙げています。DDoS攻撃への対策について（2023年5月、PDF）
利用者の端末へ対策アプリを入れれば、相手のサーバーのDDoSが直る、という関係ではありません。「障害を直すためにここからログインして」と届く不審な案内にも、普段どおり注意が必要です。見慣れない案内の見分け方は、フィッシングとは何かで確認できます。
DDoSのニュースでまず見るのは、使えない機能、公式に確認された影響、今使える代わりの方法です。分かっていることを一つずつ分ければ、原因の分からない不安に振り回されにくくなります。
