近年、ゲーム産業が繁栄し、ゲーマーも急激に増加しており、世界中の何億人ものゲーマーがオンライン ゲームで幅広いインタラクティブな体験を楽しんでいます。
ゲーム業界はさまざまな理由からサイバー攻撃者にとって魅力的な標的となっており、結局のところ、オンライン ゲームは世界中で毎年数百億ドルの収益を生み出しており、金銭的利益を得る絶好のターゲットとなっています。同時に、ゲーマーの巨大なユーザー ベースはハッカーに大量の個人情報を提供し、個人情報の盗難やその他の悪意のある目的に使用される可能性があります。
また、ユーザーは MOD、チート、その他のサードパーティ プログラムを使用してゲームを変更したい場合が多いため、サイバー ハッカーの攻撃対象領域がさらに拡大します。ゲーム業界の競争は激しいため、一部のプレイヤーはバグを成功させると多額のボーナスを受け取ります。これにより、攻撃者は競合他社を破り、確実に勝つためにサイバー攻撃を使用する動機が与えられます。
この業界には、人気のオンライン ゲームに加えて、ギャンブルやオンライン賭博も含まれており、攻撃者はこれらを賭けを操作したり、賭けやオッズに関する内部情報を入手したりする方法として利用できます。これらのサイトのアカウントには、支払いを受け取るための銀行情報が含まれていることが多いため、これは ATO やデータ盗難にとって非常に貴重な情報となります。ギャンブル業界は政治的および道徳的動機に基づく攻撃にもさらされており、たとえば中国ではギャンブルが厳しく禁止されているため、一部のハッカーは DDoS や DNS を通じてギャンブル Web サイトをブロックします。
ハッキングや競争に加えて、この業界はランサムウェアなどの他の一般的な攻撃の標的にもなっています。2021年、人気ゲーム「ウィッチャー」や「サイバーパンク」を制作したCD Projekt Redがランサムウェア攻撃を受け、ソースコードを含む内部データが流出した。この侵害により、プロジェクトのリリースに大幅な遅れが生じ、会社に経済的な影響が生じました。ソース コードや内部データを公開すると、企業が重要な知的財産を失う可能性があり、人気ゲームのセキュリティに重大な影響を与える可能性があります。ゲーム サイトの価値と人気により、ゲーム サイトは攻撃者の一般的な標的になります。
DDoS 攻撃:プレイヤーのゲーム体験を大きく破壊する
分散型サービス拒否 (DDoS) 攻撃は、ゲーム業界で一般的な脅威です。これらの攻撃には、ターゲットのネットワークまたはサーバーに大量のトラフィックが溢れ、ターゲットが正当なリクエストを処理できなくなり、サービスが中断されます。攻撃者は、金銭的利益や復讐、あるいは単に混乱を引き起こしてユーザーのゲーム体験を妨害する目的で、DDoS 攻撃でゲーム ネットワークを標的にすることがあります。
ゲーム業界は、マルチプレイヤー ゲームのプレイや高品質のコンテンツの読み込みを安定したインターネットに依存しているため、ネットワークの中断は深刻な結果を招く可能性があります。
スポーツブックの場合も、時間どおりに賭けるために信頼できるインターネット接続が不可欠です。昨年12月の2022年ワールドカップと2023年5月のNBAファイナルの間、スポーツ賭博サイトは非常に頻繁に標的にされた。DDoS 攻撃は、運用を中断するだけでなく、他のより深刻な攻撃から注意をそらす煙幕としても機能します。
2022 年後半には、保護されたゲーム サイトに対するアプリの DDoS 攻撃が顕著に増加すると予想されます。この時期は人気ゲームがリリースされることが多く、DDoS攻撃の量も増加することが多いためです。
2020 年、欧米の人気ゲーム会社ユービーアイソフトは、試合を妨害して優位に立つことを目的として、レインボーシックス シージ ゲームを実行しているサーバーに DDoS 攻撃を行うソフトウェアを販売したインターネット攻撃者に対する訴訟で勝訴しました。プレイヤーは頻繁にこの DDoS ソフトウェアを利用して、ゲームに負けたり、オンラインランキングを台無しにしたりすることを避けます。これらのサービスは、DDoS-for-hire、ブートストラップ、またはプレッシャー サービスと呼ばれることがあり、ゲーム業界では一般的です。これらのサービスを使用すると、誰でも DDoS 攻撃機能を使いやすい形式でレンタルでき、技術的なスキルを持たない人でもゲーム サーバーに対して攻撃を実行できるようになります。これにより、ユーザーはゲームを中断したり、相手プレーヤーの接続を強制的に切断したりすることで簡単に勝つことができます。これは、不正行為やその他の侮辱とみなされたものに対する報復の試みである可能性もあります。
DDoS 攻撃はレンタル目的でよく使用され、ゲーム業界では一般的な脅威となっています。攻撃者は、特定のゲーム機能をターゲットとするアプリケーションではなく、ネットワーク DDoS を選択して最大限の混乱を引き起こそうとする場合もあります。
ゲーム業界の保護: Web アプリケーションと API の保護
Web アプリケーションと API はゲーム業界にとって不可欠な部分であり、オンライン マルチプレイヤー ゲーム体験からゲーム内購入に至るまで、あらゆるものを支えています。ただし、これらのテクノロジーには、攻撃者が悪用できる脆弱性が常に存在します。攻撃者は、ユーザー データの窃取、ゲーム システムへの不正アクセス、サービスの妨害など、さまざまな目的でゲーム業界をターゲットにします。したがって、Web アプリケーションと API のセキュリティは、ゲーム業界のセキュリティを確保し、ユーザー データを保護するために重要です。
2022 年、ゲーム業界で最も一般的な攻撃はクロスサイト スクリプティング攻撃で、すべての攻撃タイプの 32.2% を占めています。根本的な原因は、2022 年 6 月に人気のオンライン ロールプレイング ゲームに対する標的型攻撃でした。ユーザー作成コンテンツの蔓延により、攻撃者が悪意のあるスクリプトを入力する機会が与えられるため、XSS はゲーム業界で一般的な脅威となる可能性があります。昨年の上位ランクの CVE は主に、Log4Shell (CVE-2021-45105 および CVE-2021-44228) などのリモート コード実行の脆弱性と、Oracle および ThinkPad のバグでした。これらの脆弱性により、攻撃者はゲーム サーバーを制御し、データを盗み、ゲームプレイ中に利益を得るためにチート コードを実行することが可能になりますが、特定のゲームで見つかった他のゼロデイ脆弱性が悪用されて、ユーザー データにアクセスしたり、ゲームプレイを操作したりする可能性があります。
ソーシャル エンジニアリング攻撃はゲーム業界でも一般的です。多くのプレイヤーが使用するオンライン コミュニティ、仮想チャット ルーム、メッセージング プラットフォームはソーシャル エンジニアリング攻撃に対して脆弱です。匿名性により、ハッカーはゲーム関係者やゲーム プラットフォームになりすまして攻撃することができます。資格情報やその他の貴重な情報を取得するため。
API (プログラムの相互作用を可能にするプロトコル) も一般的な攻撃ベクトルであり、シャドウ API や、通常の IT 管理およびセキュリティ プロセスによって文書化および保守されていないものの、削除されていない API などの脅威に対して脆弱です。ビジネス ロジックの悪用 ゲーム サイトに対する脅威。2022 年には、ゲーム内のすべての API トラフィックの 28% がシャドウ API としてマークされた API エンドポイントに送られることになります。これらの忘れられ、メンテナンスされていない API は、攻撃者にネットワークの残りの部分へのアクセスを提供し、悲惨な結果をもたらす可能性があります。ゲーム会社はユーザーの資格情報や財務情報などの機密データを扱うことが多いため、API の脅威に対してより脆弱になる可能性があります。さらに、ゲーム会社は API を使用してゲーム サービスを提供する可能性が高く、API は攻撃者にとって魅力的な標的となっています。
API に対するもう 1 つの一般的な攻撃は、ビジネス ロジックの悪用です。ビジネス ロジック攻撃はすべての API 攻撃の 65% を占めており、アプリケーション ロジックの欠陥を悪用しようとするため、ゲームおよびギャンブル サイトにとって大きな脅威となっています。これらの攻撃は、オンライン ゲームの仕組み、支払いポータル、ユーザー インタラクション、またはゲームやオンライン ギャンブルの運営を侵害するその他の手段を標的とする可能性があります。
悪意のあるボットと自動化攻撃がゲームに与える影響
悪意のあるボットは、データのスクレイピング、DDoS 攻撃の開始、Web アプリケーションや API の脆弱性の悪用など、悪意のあるタスクを実行するように設計された自動ソフトウェア プログラムです。ボットは、ユーザー データを盗み、サービスを妨害し、ゲーム内経済を操作することにより、ゲーム業界に大混乱を引き起こす可能性があります。攻撃者は悪質なボットを使用して、金銭的利益や競争上の優位性を得るためにゲーム業界をターゲットにします。
通常、ボットは簡単、中、上級の 3 つのレベルに分けられます。単純なボットは自動スクリプトを使用して Web サイトに接続し、ブラウザとして自己報告しません。一方、中程度のボットはブラウザ テクノロジをエミュレートし、高度なボットは人間の動作を模倣します。
2022 年には、ほとんどのボット攻撃は単純なボットによるものとなり、55% を占めるようになるでしょう。スパム、DDoS、ゲーム内通貨マイニングなどの一般的なゲーム攻撃は非常に簡単に記述でき、より徹底的な攻撃に比べて複雑さが少ないからです。ギャンブル サイトではより特殊な攻撃が必要なため、中程度のボット (7%) の割合が高くなります。
アカウント乗っ取りは、貴重な情報を明らかにすることを目的として、盗んだ認証情報を使用してアカウントへのアクセスを取得する、もう 1 つの一般的なボット攻撃です。多くのブラック マーケット サイトでは、盗まれたゲーム アカウント、仮想アイテム、またはゲーム内通貨を現実世界の通貨に変換するため、ATO はゲーム業界では一般的です。さらに、ゲーム サイトは、厳しく規制されているオンライン バンキング アカウントなどのサイトよりもセキュリティ対策が低いことが多く、攻撃者の参入障壁が低くなります。以下のグラフが示すように、ハッキング フォーラムで販売されるゲーム認証情報の数は、昨年にわたって着実に増加しています。
ATO 攻撃はホリデー シーズンにピークに達しました。これは、オンライン アクティビティの増加とゲーム関連のギフト製品への高い需要が原因と考えられます。
結論: ゲーム業界の経済的成功とユーザーベースの多さにより、ゲーム業界はサイバー犯罪者の主要な標的となっています。DDoS、Web アプリケーションおよび API 攻撃、悪意のあるボットなど、さまざまな攻撃手法が使用されており、これらの攻撃の背後にある動機と手法を理解することで、ゲーム会社はネットワークを保護し、業界の安全を確保できます。警戒を怠らず、強力なサイバーセキュリティ対策を実施することで、ゲーム業界は引き続き繁栄し、世界中のゲーマーに楽しい体験を提供することができます。