ハクソク

世界を動かす技術を、日本語で。

Yandexの障害：データが示すところによれば、悪意のあるボットは消えずに移動した

2026年10月15日原文(blog.cloudflare.com)

概要

  • Yandexデータセンター攻撃 後、ロシアのボット活動や影響工作が停止したとの噂が拡散
  • Cloudflareデータ分析 によると、ボット活動は停止せず、他のプロバイダーへ移行
  • Yandex Search と Yandex.Cloud で影響の内容が異なることを確認
  • 悪質な自動化は一時的に減少 したが、すぐに他のホスティングへ移動
  • 総トラフィック減少だけでは 脅威の実態把握は困難 であり、リクエストの詳細分析が重要

Yandexデータセンター攻撃とボット活動への影響

  • 2023年10月7日～11日、 ウクライナによるドローン攻撃 でYandexのデータセンターが複数停止

  • Yandex Search (AS13238) ：主に検索インデックス用クローラーのトラフィックが99%減少

  • Yandex.Cloud (AS200350) ：悪質な自動化（脆弱性スキャン等）が90%減少

  • 両ASNともにトラフィックが大幅減少したが、 影響の性質は異なる

    • Yandex Search ：ほぼ全てが正規クローラーによるインデックス取得
    • Yandex.Cloud ：未認証ボットによるアプリケーションアクセスや攻撃的リクエストが中心

  • トラフィック減少は ネットワーク停止の証拠 であり、ボットや悪質な活動の停止証拠ではない

トラフィック分析の詳細

  • 攻撃前、Cloudflare全体のHTTPトラフィックの約36%が自動化リクエスト

  • ロシア発トラフィックの約36%も自動化

  • 攻撃後、 Yandex Search のボットリクエストはほぼ消失

  • Yandex.Cloud の悪質な自動化は一時的に減少したが、 他のロシア系ホスティング（Radist、Selectel等）へ即座に移行

    • 特にギャンブル業界向けボットは、同一のリクエスト特徴（JA4 TLS指紋・User-Agent等）で他プロバイダーから発信継続

  • 業種別影響 ：

    • コンピュータソフトウェア と ギャンブル がYandex.Cloud発ボットの大半
    • ギャンブル業界のボットリクエスト総数は変わらず、 単に流入元が切り替わっただけ

ソーシャルメディア操作への影響

  • ロシア発IPのソーシャルメディア関連トラフィックは 0.6%減少、グローバルでは 1.2%増加
  • 投稿・返信・いいね等のボットリクエストも大きな変化なし
  • ソーシャルメディア操作が壊滅した証拠は見つからず

結論と考察

  • Yandex Search の停止は主に 検索インデックスの減少 に影響
  • Yandex.Cloud 経由の悪質自動化は、 他のクラウドに即座に移行 し、実質的な活動停止は見られず
  • インフラの停止＝脅威の消滅 ではなく、 クラウドワークロードの可搬性 により脅威はすぐ復活
  • ASN単位のトラフィック減少 は、自動化脅威の評価指標として不十分
  • 有効な防御策 は、リクエスト挙動の監視やWAFルール適用など、 ネットワーク起点に依存しない対策 が必要

まとめ：物理インフラ停止の限界と自動化脅威対策

  • 物理的なデータセンター攻撃は 一時的な影響しか与えない
  • 悪質な自動化はホスティングを変えて容易に復活
  • 防御には リクエスト内容の精査 と 動的なセキュリティ対策 が不可欠

Hackerたちの意見

どの他のプロバイダーに移行したの？ブロックできるように知りたいんだけど。

└

記事から: >ここでの分析は、クライアントのASNトラフィック量が自動化されたボットの行動を解釈するための信頼できない指標であることを思い出させるものだ。自動化された脅威に対抗するには、リクエストの行動を検査する必要がある。例えば、共有されたJA4フィンガープリントを特定したり、異常なリクエストレートを監視したり、敏感なエンドポイントにWAFルールを適用したりすることが必要だ。リクエストがどのネットワークから来ているかに関係なくね。物理的なインフラは静的だけど、悪意のある自動化は動くように作られてるから。もちろん、彼らは全てのボットをブロックするためには自分たちの高度な機能と専門知識が必要だと自慢してるけど、まあそれはある程度真実だよ。少なくとも、ASNだけでブロックするのはプライバシーを気にするユーザーに大きな collateral damage を与えるから難しいんだ（つまり、VPNを使ってる人たちね）。だって悪い奴らは同じ商業用VPNを使うことができるし、実際に使ってるから。

└

ほとんどのソーシャルメディアボットはデータセンターにホストされてないよ。普通の携帯ネットワーク上のモバイルフォンのラックで運営されてる。実際の電話と家庭用IPを使うことで、検出が難しくなるんだ。これらは世界中にホストされてることが多く、ロシアからリモートで操作されながら、あたかも自国にいるかのように見えるんだよ。

└

投稿で名前が挙がっている2つのホストは、RadistとSelectelだね。

└

レジデンシャルプロキシ

└

もし彼らがAWSに移ったらどうなる？

埋もれた重要な点: >Cloudflareのネットワーク全体で、攻撃がソーシャルメディアの操作をオフラインにしたり、悪意のある活動を妨げたりした証拠はなかった。これは、ロシアのトロールが攻撃のおかげで魔法のようにオフラインになったという流行のミームを直接否定してるね。

└

さらに、>報告された攻撃の後、Yandex.Cloudからのボットトラフィックは約40%減少した。…イベント期間中、CloudflareのYandex.Cloudトラフィックに対するブロックも70%減少したことから、このASNからCloudflareのWAFに到達する悪意のあるトラフィックが相対的に少なかったことを示唆してる。でもミームは止まらない。57チャンネルあっても何もない。

└

人気のあるミームは、人々の仮定や推測、または… Cloudflareのツイートに基づいているんだよね！ https://x.com/cloudflareradar/status/2108122893028671604 https://x.com/CloudflareRadar/status/2110113211059994638 それに、Cloudflareも言ってないけど、彼らの曖昧で誤解を招くツイートが、今彼らが否定しようとしている噂の原因なんだよね。10月8日から始まって、続いてるんだ。彼らが「そうそう、そのデータは一週間後にはそういう意味じゃなかったんだよ」って言い出すのがね。これが2026年の「ニュース」と「事実」の流れだよ。

└

CloudflareはX/TwitterやFacebook/Instagram、TikTok、さらにはRedditに関して何か関係があるのかな？おそらく、これらのボットはコメントの量に比べてトラフィックのごく一部を占めていると思う。彼らが最も人気のあるソーシャルネットワークを把握しているとは思えない。これらのボットが成功する理由は、普通の人がコメントや投票をほとんどしないからで、パワーユーザーと普通のユーザーの間に大きな変動があるからなんだ。パワーユーザーもそんなに珍しくないから、誰がパワーユーザーで誰がボットかを見極めるのは難しい（でも大半のパワーユーザーはボットだと思うけど）。非常に少ないトラフィックでも、コメントや投票のかなりの部分を占めることができるんだよね（特に特定のトピックに関して）。

└

実際にCloudflareを使って自分のボットトラフィックを管理している人は、あのグラフが回っているのを見て cringe したと思う。面白いのは、それが広まって、いろんな「証拠」とともにリミックスされたことだよね。ロシアの国家関係者やプロパガンダネットワークがYandexのASNを使ってるのは、まるでCIAがランリーのロビーの公衆電話から電話してくるようなものだよ。彼らのインフラの一部がそこにホストされていたと言えるかもしれないし、実際そうだと思うけど、「ボット」トラフィックの話はかなりバカげてたよ。

└

いくつかの政治討論グループに入ってるんだけど、伝統的な右派の投稿者たちがちょうどその頃に消えたのがすごく興味深かった。何人かは、何らかの工作員だと疑われていた人たちで、突然投稿しなくなって、今も戻ってきてない。関連があるかはわからないけど、タイミングが近すぎてちょっと気になった。

Hacker Newsで議論の続きを見る