CC 攻撃（Challenge Collapsar、アプリケーション層 HTTP フラッド）の恐ろしさは、帯域を必要としないことだ。数千の一見正常なリクエストで高価なアプリサーバーを膝をつかせる。そして今日の CC 攻撃は、従来の「IP ブロック＋レート制限」が効かなくなった地点まで進化した。本稿は現代 CC の兵器庫と防衛のあり方を解剖する。

1.ボットネットから「綺麗な IP」経済へ

初期 CC は悪評の PC を使っていた——ブロック容易。攻撃者は今、住宅・モバイル・プロキシブールに向かう。

  • これらは実宅/実モバイル IP（Honeygain、Peer2Profit のような「帯域シェア」アプリ経由で集約）から来て、優秀な IP 評価を持ち従来の IP ブロックリストを無効にする。
  • 攻撃者はオンデマンドで借りる（GB 単位・IP 単位）。ボットネットが「綺麗なトラフィックのサブスクリプション」になる。
  • 商用プロキシ（Luminati/Bright Data の乱用版を含む）と組み合わせれば、実 ASN から数十万 IP を即時動員できる。

2.ヘッドレスブラウザ：擬装は「本物の人間」

現代 CC は ヘッドレスブラウザ（Headless Chrome / Puppeteer / Playwright）を多用する。

  • JavaScript を実行しページ全体を読み込み、フロント挑戦（JS パズル等）を自動突破する。
  • 本物の TLS フィンガープリント（JA3/JA4）とブラウザフィンガープリント（canvas、WebGL、フォント）を持ち、デバイス指紋を困難にする。
  • CAPTCHA 農場（人海 or AI 解読）と組み合わせればチューリングテストも突破。

結果：各リクエストが人間に見える——完全なセッション、正しいフィンガープリント、挑戦突破。ルールベース WAF はこうしたトラフィックに対しほぼ盲になる。

3. AI 生成リクエスト：異常を「正常」に見せる

最新トレンド：攻撃者が AI/LLM で超現実的なリクエスト列を生成する。

  • 間隔（ジッター）・UA・パス分布を自動調整し、トラフィック曲線を「自然なユーザー」統計に合わせる。
  • 機械的に 1 URL を繰り返すのではなく、実ユーザーのクリックファネル（ホーム→一覧→詳細→購入）を模倣。
  • これで「閾値ベース」検知が失敗し続ける——攻撃者が能動的に異常を正常に平滑化する。

4. Low-and-slow とアカウント乗っ取りとの収束

CC は他脅威と収束する。

  • Low-and-slow：Slowloris、RUDY——接続/リクエストを離さず、微小レートで接続プールとワーカーを枯渇。
  • クレデンシャルスタッフィング：同じプロキシブールとヘッドレスブラウザがアカウント乗っ取りに回る——CC とアカウントセキュリティは武器庫を共有。
  • API 悪用：ログイン/検索/クエリ API への精密フラッドはホームページ叩くより破壊的。

5.現代防衛アーキテクチャ

  • エッジ行動チャレンジ（Managed Challenge）：CDN/スクラビングエッジで非侵入チャレンジ（暗黙 JS チャレンジ、プライバシー優先 proof-of-work）を発行——綺麗な IP もチャレンジされる。判定は行動ベースだから IP ベースではない。
  • フィンガープリントと JA4：TLS 層で JA4、HTTP 層で JA4H を抽出し、IP が分散しても「一つのツールからの亜種トラフィック」を相関。
  • 行動生体・ML：人間 vs 機械のセッションリズム、ML でリクエストグラフをモデル——静的ルールではない。
  • 業務レベル遮断：重要エンドポイント（ログイン/購入）に独立レート制限と異常スコア。一ホットスポットがサイトを落とさない。
  • グッドボット許可リスト：検索エンジン・監視・パートナーを明示許可し誤検知を減らす。

結論

現代 CC の本質は「悪意を綺麗な外装に包む」こと——住宅 IP＋ヘッドレスブラウザ＋AI 現実性で、あらゆる静的断面からトラフィックが良性に見える。出口は エッジでの動的・行動・暗号的チャレンジ識別であり、IP ブロックリストの追加ではない。攻撃者が異常を「正常」に平滑化するとき、防衛は「正常」の下の自動化を見抜かねばならない。それこそが二層洗浄アーキテクチャに「深い行動分析」がある理由だ。