防御せよ：ゲームのセキュリティ確保は真のバトルロイヤル
データ分析：Camila Cabrera Camacho
コピー編集：Maria Vlasak
専門知識を提供してくださったChris Finch、Alan Evans、Dan Greer、Ken Eaton、Todd Loewensteinに感謝いたします
ゲーム業界は、現代の最も影響力のある業界の1つと言えます。全世界で25億8,000万人のビデオゲーマーを抱え、1,844億米ドルの市場規模があると評価されているこの巨大産業は、成長の一途をたどっていると同時に、世代を経るたびにテクノロジーへの依存を強めています。この3部構成のブログ記事シリーズでは、いくつかの異なる視点からゲームのすばらしい世界について検討します。
🔒この第1部の記事では、過去18か月間（2023年1月～2024年6月）の統計データを振り返りながら、セキュリティ上の課題に着目します。
👾第2部の記事では、3Dへと話題を移し、ゲームの背後（画面の両側）にいる人々について論じます。
☁️最後の記事となる第3部では、シリーズの締めくくりとして、クラウド分散型ゲームの技術面について取り上げます。
セキュリティ専門家が知っておくべきこと
ゲーム業界の最も興味深いことの1つは、セキュリティに関して独自の立場にあることです。プレイヤーと開発者の両方にとって、至るところにサイバーの地雷が埋まっています。平均的なゲーマーは、他の業界のほとんどの消費者よりもテクノロジーに精通しています。つまり、ゲーム業界の「インサイダー脅威」は、ネットワーク内またはデジタル世界内から発生する可能性があります。
また、この業界に特有の攻撃者プロファイルがあります。それは、トラブルメーカーです。配信者が気に入らないことを言ったら、トラブルメーカーはその配信者をオフラインにするボットを構築します。また、トラブルメーカーはゲーム内で味方のふりをして信頼を築き、チャット機能を使って悪性のペイロードやURLを配信することもあります。
テクノロジーに精通した人々の良い面、悪い面、醜い面
ゲーム業界はプレイヤー間のオープン性とコラボレーションを大事にしています。また、その性質上、テクノロジーに対する考え方が、厳しいセキュリティ情勢とは対極にあります。セキュリティ分野では怪しいまたは悪性であるとみなされるふるまいが、ゲーム業界では一般的に行われているだけでなく、受け入れられ、奨励されています。たとえば、Modはゲームカルチャーから切り離せない要素であり、ボットはゲームプレイの一部とみなされる場合があります。
セキュリティコミュニティは、自分たちにとって魅力的な戦術、テクニック、手順が悪行に利用される可能性があることをよく知っています。ゲームに関心のある人々と技術的なノウハウのある人々のベン図は重なっており、そのためルール破りと技術的発見の両方の機会が生まれます。
また、それは攻撃者の目標がさまざまであることを意味し、その違いが攻撃の傾向に影響を及ぼします。2つの異なる領域の通貨を狙うことができるところが、ゲームの世界以外にあるでしょうか。その気になれば、それを同時に実行することさえできます。
このブログ記事では、過去18か月間にゲーム業界で見られたセキュリティ上の課題について説明します。
オンラインとオフラインでの略奪
プレイヤー対プレイヤーのサイバー上の懸念だけでなく、ゲーム業界は世界が直面しているその他すべてのセキュリティ上の課題に対処する必要があります。金銭目的の攻撃者が金を追うことは誰もが知っており、この業界は宣伝にネオンのドルマークを使用しているようなものです。
ご存知のとおり、サイバー脅威は必ずしも技術的なものではなく、悪性のふるまいは攻撃者だけのものではありません。一部のモバイルゲーム広告ターゲティングは、違法ではなくても、悪性または非倫理的であるように見える場合があります。しかし、もちろん、それは広告全般に当てはまることであり、ゲーム業界に固有のことではありません。目的にかかわらず、ターゲティング広告はプレイヤーの支出習慣に影響を与え、さらには攻撃者が次に向かう先にも影響を与えます。
サブスクリプション
ゲームメーカーはトリプルA（AAA）のタイトルを作成するのに何百万ドルもの費用がかかることを予想でき、そのコストは消費者にまで波及します。1タイトルの価格が60米ドルから70米ドルに値上がりするのは軽微なことではなく、特に多数のサブスクリプションサービスが利用可能であることもあり、予算重視のゲーマーがゲームを購入するタイミング（またはすぐに購入するかどうか）に影響を及ぼす可能性があります。
類似のメディアジャンルと同様に、サブスクリプションサービスはゲームの世界でも一世を風靡しています。市場に出回っているゲームの数が非常に多いため、すべてを購入するのは経済的に不可能です。モバイルオプションを含め、現在利用可能なゲーム・サブスクリプション・サービスは10種類以上あり、117億米ドルの市場を奪い合っています。
攻撃に関する数学的考察
ここで、数学的に考えてみましょう。サブスクリプションサービスが増加すると、ユーザーアカウントが増加し、Credential Stuffingやアカウントの悪用の機会の増加につながります。さらに、偽装の対象となるブランドが増加するため、攻撃者がフィッシングキャンペーンなどの詐欺行為を行うために模倣するコンテンツが増えます。
サブスクリプション疲れが現実のものとなり、サービスのコストが増大します。また、占有する必要のある物理ストレージまたは仮想ストレージの容量の問題があります。
レイヤー7 DDoS攻撃が台頭
レイヤー7分散型サービス妨害（DDoS）攻撃は、前年比で94%増加しました。攻撃数は高止まりしており、18か月の調査対象期間のうち4か月（2023年6月、8月、12月、2024年5月）では、単月で250億件以上のレイヤー7 DDoS攻撃が発生しました（図1）。
図1：月別のレイヤー7 DDoS攻撃数
2023年1～3月はレイヤー7の攻撃数が最も少なく、各月150億件未満でした。このベクトルは著しい増加傾向にあります。2024年2月には一時的に減少し、これまでのところ2024年で最も攻撃数の少ない月となっていますが、それでも190億件を超えています。つまり、これまでのところ2024年で最も攻撃数の少ない月でも、2023年1月、2月、3月、4月より攻撃数が多いということです。
APJがレイヤー7 DDoS攻撃数でトップを独走
アジア太平洋・日本（APJ）地域は、2023年のゲーム業界のグローバル収益が最も多く（858億米ドル）、この地域だけで世界の総人口の23%に相当する17億9,000万人のプレイヤーがいます。これを考慮すると、ゲーム業界に対するAPJの影響力は甚大です。
APJ地域にはそのような華々しい実績がありますが、今年はそれにレイヤー7 DDoS攻撃が最も多いという事実が加わり、過去18か月間の攻撃数は1,860億件を記録しました（図2）。
図2：2023年1月1日から2024年6月30日までの地域別のレイヤー7 DDoS攻撃数
ボットリクエストが発生しやすい時期
1月と6月
2023年第1四半期から2024年第1四半期にかけて、ボットリクエストは391%増加しました。その水準には早い段階で達しており、ゲーム業界では1,470億件という記録的なボットリクエスト数と共に2024年の幕が開けました。たった1か月でこの数です（図3）。
図3：ゲームを標的とした月別のボットリクエスト数
6月は1月に匹敵しており（1,450億件）、2023年6月の3倍以上でした。これらの数字を大局的に見ると、この調査対象期間全体で欧州・中東・アフリカ（EMEA）地域のボットリクエスト数はたったの590億件でした（図4）。
図4：過去18か月間の地域別のボットリクエスト数
夏と冬
Steamサマーセールが毎年6月と7月に行われるため、この2か月間で引き続き大量のボットトラフィックが発生する可能性があります。この説は、2023年12月と2024年1月のSteamウィンターセール期間に同様の傾向があったことにより裏付けられています。また、北米からのボットリクエストが最も多い（正確には8,450億件）ことも裏付けとなっています。
この2つの期間（6～7月と12～1月）は支出の多い季節であり、オンラインアクティビティが増加する傾向があるため、攻撃者が飛びつくほど利益の出やすい時期です。これらの時期に、ゲーマー自身とゲーム会社は特にデジタル包囲攻撃にさらされます。
Webアプリケーションファイアウォール攻撃
ゲーム業界では、2023年第1四半期から2024年第1四半期にかけてWeb攻撃が94%増加しました。最も着実に増加したのは、Webアプリケーションファイアウォール（WAF）攻撃です。2023年5月に大きく下落した後、前月比できれいな一貫した上昇トレンドを描いており、2024年6月は10億件を突破しています（図5）。
図5：ゲーム業界に対する月別のWAF攻撃数
2024年5月と6月の前年比増加率は驚異的で、ぞれぞれ451%と504%でした。アプリケーションとAPIの使用が増加するにつれて、これらの数値は増加し続けると予想されます。
内訳：従来のWeb攻撃
これらの数字をさらに細分化して、従来のWeb攻撃（Structured Query Languageインジェクション（SQLi）、コマンドインジェクション（CMDi）、ローカル・ファイル・インジェクション（LFI）、クロスサイトスクリプティング（XSS）、リモート・ファイル・インクルージョン（RFI）、サーバーサイド・リクエスト・フォージェリー（SSRF））だけを見てみると、調査対象期間においてゲーム業界にとって最大の脅威だったWeb攻撃はSQLiであり、攻撃数は7億件以上だったことがわかります（図6）。これはゲーム会社に限った話ではなく、SQLiによって特定のゲーマーをランキングのトップにすることができます。
図6：ゲーム業界におけるタイプ別の従来のWeb攻撃数
LFIは過去数年間でさまざまな業界において着実に増加してきました。LFIは他のWebベースの攻撃（XSSなど）につながる可能性があり、場合によってはリモートコード実行にもつながる可能性があります。これは確かにゲームメーカーが注意しなければならないことです。
SQLiは単に件数が多いだけでなく、驚くほど散発的であり、これはゲーム業界の性質を表しています。図7は、図6に示されている数字の月ごとの内訳を示しています。SQLiの線グラフを見ると、ぎくしゃくと動く一人称視点ゲームのプレイヤーのように酔ってしまいそうです。
図7：ゲームに対する月別の従来のWeb攻撃数
2023年第1四半期にはゲームが急速にリリースされました。これは、COVID-19によって発生した滞りの一部です。パンデミックの影響でリリース日が次々と先送りされたため、それらのタイトルに対する需要が高まり、その期間中にSQLiが大幅に増加した可能性が高いです。また、SQLiの散発的な性質は、攻撃者の目標の違いを示している可能性があります。
北米のWeb攻撃数は桁違いに多い
人間にとって100万件と10億件の違いを推し量るのは困難であり、3億3,200万件と約90億件の大きさの違いを気にする必要はありません。しかし、2023年1月1日から2024年6月30日までにEMEAとAPJで発生したWeb攻撃の総数と北米で発生したWeb攻撃の総数には、それほど大きな差異があります（図8）。
図8：2023年1月1日から2024年6月30日までの地域別のWeb攻撃数
クレジットロール
ゲームなどのオタクっぽいジャンルは、マイクロレベルとマクロレベルの両方で現実世界のイノベーションを刺激することがよくあります。コスプレから自動運転車まで、デジタル世界の高級品やライフスタイルがゲームコミュニティのおかげで現実のものとなりました。
生活のデジタル化が進むにつれ、ゲームスキルを磨く価値が高まり、キャリアにプラスの効果をもたらす可能性があります。ビデオゲームではある程度の好奇心と問題解決能力が求められ、それは間違いなく企業の成功に転換することができます。企業や大学はそのことに注目し、行動を起こしています。
