ボットネット

ボットネット（英: Botnet）とは、一般にサイバー犯罪者がトロイの木馬やその他の悪意あるプログラムを使用して乗っ取った多数のゾンビコンピュータで構成されるネットワークのことを指す^[1]。サイバー犯罪者の支配下に入ったコンピュータは、使用者本人の知らないところで犯罪者の片棒を担ぐ加害者（踏み台など）になりうる危険性がある^[2]。ボットネットにおいて、指令者（ボットハーダーまたはボットマスターもしくは単にハーダーという）を特定することは、ボットネットの性質上非常に困難である。そのため、近年では組織化された犯罪者集団がボットネットを構築し、多額の金銭を得ている^[3]。

動作原理

もともと「ボットネット」は「IRCボットが接続された状態」を指していたように、今日のボットネットにおいてもIRCが使われている。ボットネットの文脈において、IRCサーバが「C&Cサーバ（Command and Control server）」と呼ばれることがある。

ボットネットのノードは感染するとダイナミックDNSや応答の速いドメイン登録業者のサービスを使って登録されたドメイン名を使って、IRCサーバに接続する。 IRCに接続したノードはそのIRCの然るべきチャンネルに参加し、自分の存在をチャンネルの参加者に伝え、命令を待つ一種のIRCボットとなる。命令はユーザとして参加している指令者のIRCの発言として為され、命令を受け取ったノードはその命令を実行する。IRCサーバもまたコンピュータウイルスに感染したコンピュータによって構成されていることが多く、ひとつのIRCサーバが止められてもボットネット全体が止まることは無く、指令者の接続元を突き止めるのは困難になっている。このように、ノードの生成/消滅にかかわらず接続性を保証するためにDomain Name Systemに依存しているため、対応にはドメインの提供者の協力が必要になる。

類似の事例として、通信手段に2ちゃんねる等の掲示板を使った例もあった。ある一定の規則でスレッドを立て、そのスレッドにエンコードされた書き込みを行うと、そのスレッドを監視している感染ノードが対象のスレッドを荒すと言うものである。^[4] (Sufiage.C) など^[5]。また、Twitterやインスタントメッセンジャーや他のピア・ツー・ピアファイル共有プロトコルを通信手段に使った例も存在する。

攻撃の種類

ボットネットは多様な攻撃や不正行為に利用される。欧州連合サイバーセキュリティ機関（ENISA）の2025年脅威報告書によれば、ボットネットを利用したDDoS攻撃がインシデント全体の77%を占め、最も頻度の高い攻撃手法となっている^[6]。

DDoS攻撃

分散型サービス妨害（DDoS）攻撃は、ボットネットの最も代表的な用途である^[6]。ボットマスターは配下の多数のゾンビコンピュータに対し、標的のサーバやネットワークへ一斉にリクエストを送信するよう指令を出し、サービスの提供を妨害する^[7]。2007年にはエストニアの政府機関や民間ウェブサイトに対するDDoS攻撃にボットネットが使用され、国際的な注目を集めた^[8]。

スパムメール

ボットネットは大量のスパムメールの送信基盤として広く利用されている^[9]。世界各地に分散した感染端末から送信されるため、特定の地域に偏らず、ブラックリストによるフィルタリングを回避しやすい。送信元ホストのDNS逆引きが未設定であるか、DSLやCATV回線と思われる機械的な命名規則のFQDNである場合が多い^[10]。2000年に発覚したEarthlink Spammerボットネットは、1年間で125万通以上の不正メールを送信した最初の著名な事例とされている^[9]。

認証情報の窃取

ENISAの2020年ボットネット脅威報告書は、ボットネットの活動の多くが利用者の認証情報（IDやパスワード）の窃取に関連していると報告している^[11]。ボットネットに組み込まれたキーロガーや情報窃取型マルウェア（インフォスティーラー）が感染端末上で動作し、オンラインバンキングや電子メールなどの認証情報を収集して指令者に送信する^[7]。Emotetは当初バンキングトロイの木馬として2014年に確認されたが、後にボットネット基盤へと進化し、窃取した認証情報や感染端末へのアクセスを他の犯罪者に販売するMaaSモデルを運用した^[12]。また、別のサイトから流出した認証情報を使い大量のログインを自動試行するクレデンシャルスタッフィング攻撃にもボットネットが利用されている^[7]。

ランサムウェアの配布

ボットネットはランサムウェアの配布手段としても機能する。EmotetボットネットはTrickBot経由でRyukランサムウェアを配布していたことが確認されている^[12]。ENISA 2025年報告書ではランサムウェアを「EU域内で最も破壊的かつ経済的被害の大きい脅威」と位置づけており、その拡散にボットネットが利用されている^[6]。

暗号資産の不正マイニング

感染端末の計算資源を利用して暗号通貨をマイニングする手法は「クリプトジャッキング」と呼ばれ、ボットネットの収益化手段として増加している^[13]。2023年に発見されたNoaBotは、Miraiの亜種をベースにSSH経由で拡散し、感染端末にMoneroマイニング用のXMRigを設置するボットネットであり、849以上の攻撃元IPが世界各地で確認された^[14]。

クリック詐欺

ボットネットを利用し、成功報酬型広告に対して偽のクリックを自動生成することで、広告主から不正に収益を得る手口がある^[7]^[9]。分散した多数の一意なIPアドレスからアクセスが行われるため、不正検知が困難になる。

違法サイトの構築

ボットネットの感染端末をリバースプロキシとして利用し、フィッシングサイトや違法な商品販売サイトを構築する手口もある。複数の感染ノードをDNSラウンドロビンで切り替えることで、特定のサーバが停止されても即座に別のノードに切り替わる。この手法はファスト・フラックスと呼ばれる^[15]。

アドウェア・スパイウェア

分散した多数の感染端末にアドウェアを配置し、広告を強制表示させたり広告サイトにアクセスさせることで、不正な広告収入を得る用途がある。また、スパイウェアをインストールすることで、利用者の行動やブラウジング履歴などの情報を収集する^[10]^[7]。