AIボットがECトラフィックの約半数を占める：Akamaiが2026年セキュリティレポートで警鐘

サイバー犯罪者にとって、EC業界は今や世界で最も標的にされる業界となり、その主な武器がAIボットです。Akamaiが2026年7月15日に発表した最新のState of the Internet（SOTI）セキュリティレポート『Securing the Agentic Storefront: Attacks on Commerce』 によると、ECプラットフォームのトラフィックのほぼ半数をAIボットが占めています。その規模は前例がなく、2025年だけでEC業界は1京7,000億件以上のボットリクエストに襲われました。

ECトラフィックの約半数がAIボットに

2025年12月時点で、Akamaiのグローバルネットワーク上のECトラフィックの47.9% がAIボットによるものでした。最も観測されたAIボットのソースは上位からOpenAI、ByteDance、Anthropic です。AIボットトラフィックは2025年に前年比19%増加し、その大部分は小売業によるものです。2025年7月から8月のわずか2ヶ月間で、AkamaiはEC業界を標的にした250億件以上のAIボットリクエストを観測しました。

攻撃ベクトル：APIが主戦場に、Layer 7 DDoSは104%急増

レポートは、APIが主要な攻撃ベクトルになったことを確認しています。2025年には組織の87%がAPI関連のセキュリティインシデントを経験しました。EC業界は2024年から2025年にかけて2,000億件以上のアプリケーションおよびAPI攻撃に直面しました。APIへのWeb攻撃は2024年第4四半期から2025年第4四半期の間に9%増加し、従来のWebアプリケーション攻撃の数を上回りました。

Layer 7 DDoS攻撃も急増しています。Akamaiによると、これらの攻撃は2023年から2025年の2年間で104%急増し、2024年から2025年の1年間だけでも前年比61%増加しました。EC業界は2024年から2025年にかけて約3兆件のLayer 7 DDoS攻撃に直面しました。最も打撃を受けたのは小売業で、EC業界へのLayer 7 DDoS攻撃の84%を占めました。

地域別の急増：APACが最大の増加率

地域別の傾向には大きな差が見られます：

• APAC — 爆発的な増加：ボット数は63%増と、他地域を大きく引き離しました。APACの断片化された旅行市場とロイヤルティプログラムが主要な標的となっています。
• LATAM — ボット活動は48%急増しました。
• EMEA — 自動化されたボット活動は16%の緩やかな増加を示しました。
• 北米 — 7%の緩やかな増加でしたが、生のAIボット活動数では北米が330億件と最多でした。

エージェンティック・コマース：「味方」と「敵」の境界線を曖昧にする新たなリスク

AIエージェントがユーザーに代わって自律的に買い物や取引、やり取りを行うエージェンティック・コマースの台頭は、脅威の状況を根本的に変えました。攻撃者は、人間と機械によるインタラクションの間の信頼ギャップを積極的に悪用しています。

脅威アクターは、セッションフロー、認証メカニズム、APIのビジネスロジックを悪用する高度な攻撃を自動化し、大規模に偽のアイデンティティを構築・管理するためにAIボットを武器化しています。2025年11月から2026年4月にかけて、マルウェアはエンドポイント脅威活動の56.5% を占め、エージェンティックワークフローがエンドポイントの攻撃対象領域を拡大していることを示しています。

レポートは、良性のAIショッピングエージェントと悪意のあるボットが今やほぼ同一に見えるため、従来のボット検出だけでは不十分であると警告しています。

Akamaiのエージェンティック・セキュリティ・フレームワーク：Visa、Experianと連携した統合トラストレイヤー

これに対応するため、Akamaiは2026年6月15日、Bot & Agent Controlソリューション向けの統合型エージェンティック・セキュリティ・フレームワークを発表しました。このフレームワークは、アイデンティティ、可観測性、信頼性、エッジセキュリティを一つのリアルタイム判断レイヤーとしてエッジに結合します。これは、以下の6つの密接に連携した柱で構成されています：

• 検証済みアイデンティティと人間の帰属
• ユーザー中心の認証
• 適応的信頼分析
• エッジベースの強制
• コンテンツのマネタイズと価値交換
• 運用の可視性とトラフィック分析

エコシステムパートナーには、Visa、Experian、Skyfire、Ping Identity、Auth0、Tollbitが含まれます。特筆すべきは、VisaがそのTrusted Agent Protocol（TAP） を提供し、Akamai Cloud上でAIショッピングエージェントを暗号的に検証して不正を防止することです。このフレームワークは、AIエージェントがユーザーに代わって行動する際に生じる、アイデンティティ、意図、信頼性に関する中核的な問いに答えるために設計されています。

CISOが今すぐ取るべき戦略的推奨事項

レポートの調査結果に基づき、Akamaiはセキュリティリーダーに対して以下の優先事項を推奨しています：

• エージェント認識型セキュリティフレームワークの採用 — 従来のボット検出に頼るのではなく、リアルタイムのアイデンティティ、可観測性、信頼判断を実装する。
• 主要な攻撃対象領域としてAPIを保護 — APIセキュリティを単なる技術的な問題ではなく、事業継続上の必須事項として扱い、継続的なAPI発見と行動監視を実施する。
• ピーク時のEC期間に備えたLayer 7 DDoS対策 — 小売業がEC向けLayer 7 DDoS攻撃の84%を占めることから、大型商戦期に先立ってDDoS防御策を拡張する。
• 地域に特化した防御への投資 — 63%のボット急増が見られるAPACを優先しつつ、EMEAや北米もおろそかにしない。
• 新たな認証標準の採用 — VisaのTrusted Agent Protocol（TAP）、Web Bot Authentication、Know Your Agent（KYA）などのプロトコルは、ボットやエージェントとのやり取りに暗号検証をもたらす。
• ボット制御と不正対策の統合 — AIボットが正当なスクレイピングと悪意のある不正の境界を曖昧にしているため、セキュリティチームと不正対策チームは戦略を統合する必要がある。