今年4月に、ユーロポール（欧州刑事警察機構）が発表したプレスリリースが、業界の間で話題となった。webstresser.orgというウェブサイトの管理者が逮捕された、という内容だったのだが、このサイトはDDoS攻撃を“サービス”として提供しており、驚くべきことに13万6千もの登録ユーザがいたという。

「DDoS(Distributed Denial of Service)攻撃」は既に一般用語となっている感もあるが、ネットワーク上で大量のリクエストやデータを送り付けてサービスを利用不能にすることをいう。

各国の当局が協力して摘発したこのウェブサイトは現在差し押さえられ、アクセスすると当局の威圧感のあるページを見ることができる。しかし、こうしたDDoS攻撃をサービスとして提供するサイトは、匿名性の高いTorのようなダークネットで依然として多数存在している。彼らは、コンピュータウィルスで全世界にばら撒いたBOTを使って、対象に一斉攻撃を仕掛けるのである。

以前、筆者がネットワークサービスを提供する会社にいた際、ある顧客がDDoS攻撃を受けて大変な目にあったことがある。守秘義務があり詳細は明かせないが、この顧客はインターネット上で金融系のサービスを提供していた。ある時メールで、期限までに数百万円相当（の身代金）をビットコインで支払え、さもないとDDoS攻撃をしかける、との脅迫状が届いた。

当然その顧客は無視したわけだが、するとしばらくしてある日突然本当に攻撃されたのである。

インターネット上の通信データには、発信元のアドレスも含まれているのだが、DDoS攻撃をされる場合多数の発信元から送られてくる上に、アドレスは偽装されている。DDoS攻撃に対処するためには、これを短時間で解析して、正規の通信データはブロックせずに、攻撃データだけをより分けて緩和(mitigation)せねばならない。

この顧客はもともと我々の提供するDDoS防御サービスを契約いただいてはいたのだが、コストと通信遅延にセンシティブな顧客だったため対処策が限られ、DDoS攻撃によって顧客自身が提供するサービスにも多少の影響が出たのである。

そして、その後何度か繰り返し攻撃を受け、我々のネットワーク監視部隊も顧客への影響を最小限にするため、24時間厳戒態勢を取ることを余儀なくされた。

結局、身代金を払うことなく攻撃は収まったのだが、こうした場合決して身代金を支払ってはいけないのは言わずもがなである。（一旦支払うと、上客扱いでますます攻撃されることになる。）

ネットワークも高度化し、こうした攻撃に対する防御策も進化してはいるが、犯罪者も同様により高度な手段で攻撃を仕掛けてくる。ネットワークが完全に仮想化され、AIがそれをコントロールするようになるまで（いや、そうなったとしても）このいたちごっこは続くのかも知れない。