今、ンターネットトラフィックの 53%がボットである中、 ECリテール業界は何に備えるべきか？

サマリー

• 2025年のウェブトラフィック全体の53%はボットトラフィックです。そのうち40%は悪性ボットであることが明らかになりました。

• AIベースのボット攻撃は前年比12.5倍に増加し、単純なボット攻撃の規模も前年比230%以上増加しました。AIはボット開発の参入障壁を下げ、より多くのボットがより速く拡散する環境を生み出しています。

• リテール・ECは、AIボットの最優先ターゲットとなる業界です。商品閲覧、価格確認、在庫確認、クーポン、カート、決済など、金銭的価値を持つワークフローが多いため、ボットやマクロの主要な攻撃対象になります。

• ECのボットトラフィックは、単なるアクセス量の問題ではありません。ボットによるビジネスロジック悪用（Business Logic Abuse）の中で、リテールの割合は24%と最も高くなっています。価格、在庫、クーポン、決済など、金銭的価値の高いデータが集中しているためです。

• ボットトラフィックは、もはや遮断だけでは不十分です。遮断とトラフィック制御をあわせて設計する必要があります。悪性ボットは検知・ブロックし、実際の顧客トラフィックはサービスの処理能力に合わせて安定的に制御する構造が求められます。

インターネット上のボットトラフィックは、どの程度を占めているのか？

Thales（旧Imperva）の「Bad Bot Report 2026」によると、現在のインターネットトラフィックの53%はボットであり、2年連続でインターネット上のボットトラフィックが人間のトラフィックを上回っています。もはやボットトラフィックは一時的な現象ではなく、デジタルサービス運用において常時考慮すべき要素になっています。

ここで重要なのは、単にインターネット上で「ボットトラフィックが増えた」という事実ではありません。重要なのは、ボットの性質が変化しているという点です。近年のボットは、AIを基盤にアプリケーションの流れを学習し、遮断方式に合わせて行動を変えながら、複数の経路を繰り返し探索する形へと進化しています。

また、同レポートによると、AIベースのボット攻撃は前年比12.5倍に増加し、単純なボット攻撃の規模も前年比230%以上増加しました。これは、AIが技術的な参入障壁を下げ、より多くのボットがより速いスピードで生成・拡散される環境を作り出していることを示しています。

AIボットは、実際の人間と区別できるのか？

AIは、ボットを単純な反復ツールから、学習し適応する自動化システムへと変えています。従来のボットが決められたルールに従ってリクエストを繰り返していたのに対し、AIベースのボットはアプリケーションのワークフローを分析し、遮断方式に応じてリクエストのタイミングなどを調整しながら、回避可能な経路を探索します。

この変化は、セキュリティの観点で非常に重要です。従来は、異常に速いリクエスト、特定のIP帯域、反復的なアクセスパターンだけでも、ボットをある程度識別することが可能でした。しかし、近年のボットは実際のユーザーのように見えるよう偽装し、一般ユーザーと類似した形でログイン・検索・カート投入・決済の流れをたどります。

レポートによると、2025年の悪性ボットトラフィックの41%は、自身をChromeブラウザとして偽装していることが確認されています。これは、ボットトラフィックがもはや「異常なトラフィック」のようには見えないことを意味します。表面的には正常ユーザーのように見えても、実際には大量リクエスト、在庫の買い占め、価格スクレイピング、アカウント乗っ取りの試行といった悪意ある目的を実行する可能性があります。

そのため、今後のボット対策は、単に「ボットかどうか」を区別するだけでは不十分です。これからは、その自動化がビジネス目的に合致しているのか、あるいはサービスの流れを悪用しているのかまで、あわせて判断する必要があります。

なぜリテール・ECはAIボットの主要な標的になるのか？

同レポートによると、リテールは悪性ボットの上位標的業界の一つであり、その中でもAIボットが最も多く標的にしている業界群です。

特に、ボットトラフィックによる標的型ビジネスロジック悪用において、リテール業界は24%と最も高い割合を占めました。

リテール・EC業界がボットの主要な標的になる理由は明確です。ECサイトには、商品情報、価格、在庫、クーポン、会員アカウント、カート、決済など、金銭的価値を持つデータが集中しています。また、限定販売、先着順クーポン、フラッシュセール、人気商品のドロップのように、「スピード」が購入機会に直結するイベントは、ボットやマクロにとって有利な環境を提供します。

特にEC業界におけるボット攻撃は、単なる技術的な侵入ではなく、正常なサービスフローの中で活動するという点で、より大きな問題になり得ます。例えば、商品詳細ページの閲覧、カート投入、クーポン適用、決済試行は、すべて正常なユーザー行動です。しかし、こうした行動が異常な速度と規模で繰り返される場合、それはビジネスロジック悪用となります。

AIボットがEC業界にもたらす5つの被害

ボットは単にサーバーへ大量のリクエストを送るだけではなく、実際の顧客の購入機会を奪い、運用指標を歪め、ブランドへの信頼を低下させます。

A. インフラ・コンバージョン率リスク

1）インフラ：サーバー過負荷とサービス障害

AIボットは一般ユーザーとは異なり、大量のリクエストを短時間で繰り返し送信します。これによるAPIの反復呼び出しはサーバー負荷を急激に高め、サービス遅延や障害につながる可能性を高めます。

2）コンバージョン率：決済区間の妨害

ボットトラフィックが決済・カート区間に集中すると、実際の顧客の購入フローが途切れます。ページ読み込みが遅くなるだけでも、コンバージョン率には即時的な影響が生じます。

• 読み込みが1秒遅延すると、コンバージョン率は7%低下

• 読み込みが3秒遅延すると、コンバージョン率は20%低下

出典：Wiro Agency

3）データ：消費者行動分析の汚染

商品ページの反復閲覧、特定商品の高頻度確認、カート投入後の離脱など――こうした行動が蓄積されると、実際の消費者行動データが歪められます。広告効果測定、人気商品の判断、在庫予測に至るまで、連鎖的に誤りが発生します。

B. 公平性・セキュリティリスク

1）公平性：限定商品の購入機会の喪失

購入スピードが機会となる限定商品や先着順イベントにおいて、マクロによる購入やカートの買い占めが発生すると、実際の顧客には在庫切れメッセージだけが残ります。ブランドが設計したファン体験は崩れ、顧客不満やSNS上の炎上、信頼低下が連鎖的に発生する可能性があります。

2）セキュリティ：アカウント乗っ取りとランサムウェアへの露出

自動化されたクレデンシャルスタッフィング（リスト型アカウントハッキング）攻撃により、会員情報、クーポン、ポイントが悪用される可能性があります。

さらに、Verizonの2025 DBIRレポートによると、ランサムウェアは全侵害事故の44%で確認されており、前年比37%増加しました。特に英国のリテール業界では、Marks & Spencerをはじめ複数の企業が、高度なソーシャルエンジニアリング攻撃や連携システムの脆弱性を悪用したランサムウェア攻撃により、数週間にわたって業務に支障をきたし、営業利益の損失は約3億ポンド規模に達したケースもありました。

該当記事はこちら

ボット遮断だけでは十分ではない理由

ECにおけるボット対策は、悪性ボットを検知し遮断することから始まります。しかし、それだけでは十分ではありません。大型プロモーション、先着順クーポン、限定販売のように、実際の顧客が同時に集中する状況では、正常なユーザートラフィックもシステムに大きな負荷を与える可能性があるためです。

つまり、ECのピークイベントでは、2つの問題が同時に発生します。

1. 悪性ボットやマクロが、実際の顧客よりも速く購入機会を横取りする

2. 一般ユーザーも同時に集中し、サーバー、API、決済システムに過負荷が発生する

そのため、悪意のあるボットは検知・遮断し、実際の顧客トラフィックはサービスの処理能力に合わせて順次処理（トラフィック制御）する構造が必要です。ECにおけるボット対策は、セキュリティソリューション単体の問題ではなく、API保護、トラフィック制御、顧客体験管理をあわせて設計する必要があります。

ボット遮断とトラフィック制御は、ひとつの設計課題です。

2025年時点でウェブトラフィック全体の53%がボットであるという数字は、デジタルサービスの運用方式において変化に備える必要があることを示す明確なシグナルです。特にボットトラフィックは、AI技術を基盤に技術的な参入障壁が下がり、より精巧に偽装しながら、より容易にサービスフローを悪用するようになっています。

リテール・EC業界は、このようなトラフィック変化の影響を最も直接的に受ける領域です。そのため、今後のECにおけるボット対策は、単に人間とボットを区別するだけでは不十分です。ビジネスに役立つ自動化ボットと悪用する自動化ボットを区別し、悪性トラフィックは遮断しながら、正常なユーザートラフィックは安定的に制御する必要があります。

ボット遮断とトラフィック制御は、別々の問題ではありません。公正な購入機会、安定したサービス運用、正確なマーケティングデータ、コンバージョン率の保護、そしてブランドへの信頼をあわせて守るための、ひとつの重要な設計課題なのです。

FAQ

Q1. 2025年時点で、インターネットトラフィックに占めるボットの割合はどの程度ですか？

A. Thalesの「2026 Bad Bot Report」によると、2025年のウェブトラフィック全体の53%は自動化トラフィックであり、そのうち40%は悪意のある自動化ボット、13%は正当な自動化ボット（Good Bots）でした。

Q2. AIボットは従来のボットと何が異なりますか？

A. 従来のボットが反復作業を中心としていたのに対し、AIボットはアプリケーションのワークフローを学習し、遮断方式に合わせて行動を調整することができます。また、人間の代わりにウェブサイトやAPIへアクセスし、データを検索したりタスクを実行したりすることができます。

Q3. なぜECサイトはボット攻撃を多く受けるのですか？

A. ECサイトには、商品情報、価格、在庫、クーポン、カート、決済など、金銭的価値を持つデータが存在するためです。特に、スピードが勝負となる先着順イベントや限定販売では、マクロやボットが実際の顧客の購入機会を奪い、不正な利益を得ようとする攻撃者に狙われやすい構造があります。

Q4. ECのボットトラフィックは、どのような被害を引き起こす可能性がありますか？

A. 在庫の買い占め、価格スクレイピング、クーポン悪用、アカウント乗っ取り、カート占有といった直接的な被害に加え、サーバー負荷の増大、読み込み速度の低下、コンバージョン率の低下、マーケティング指標の歪みなど、ビジネス全体に悪影響を及ぼします。

Q5. ボット遮断ソリューションだけで十分ですか？

A. 十分ではないケースが増えています。悪性ボットは遮断はもちろん必須ですが、大型プロモーションや限定販売では、一般ユーザーのアクセスも殺到します。そのため、ボットの検知・ブロックに加えて、正常なユーザートラフィックをシステムの処理能力に合わせて制御する構造（例：仮想待合室）が必要です。