ヤンデックスへの攻撃：事実と噂の真実とは

ヤンデックス（Yandex）データセンターへの攻撃を受け、インターネット上ではロシア発のボットファームや影響力操作が停止したという噂が流れました。HTTP トラフィックのグラフに見られる急激な低下はインフラ損傷の一時的な効果を示唆していましたが、集計されたトラフィック指標だけでは誤解を招きやすいものです。

本記事では Cloudflare Radar およびボット管理データを基に、ヤンデックスの 2 つの自律システム番号（ASN）がどのように影響を受けたかを分析します。

ヤンデックス関連 ASN の概要と役割

ヤンデックスに関連する ASN は 2 つあり、それぞれ異なる役割を担っています。

ASN	名称・用途	クラウド Radar でのトラフィック低下率
AS13238	ヤンデックス検索エンジン	約 99% の低下
AS200350	ヤンデックスクラウドサービス	約 90% の低下

各 ASN の特性と影響

• ヤンデックス・検索（AS13238）

  • トラフィックの減少は、ウェブページや画像などをインデックス化する検証済みの検索クローラーからのものでした。
  • この ASN はロシア発のボットリクエストの約 7% を供給し、グローバル全体ではわずか 0.05% のシェアしか占めていませんでした。

• ヤンデックス・クラウド（AS200350）

  • 脆弱性スキャンやプロービングといった悪意のある活動の減少は見られましたが、高容量の自動化活動が消えたわけではありません。
  • これらは単に他のホスティングプロバイダへと移行しただけです。
  • この ASN はロシア発のボットリクエストの約 2% を供給し、グローバル全体ではわずか 0.01% のシェアしか占めていませんでした。

攻撃の影響とイベント前の基準線

イベント概要

• 期間: 10 月 7 日 - 11 日
• 背景: ウクライナからのドローン攻撃により、ロシア国内のヤンデックス施設の 3 か所が標的となり、データセンターやネットワーク容量が順次停止しました。
• トラフィック状況:
  • 10 月 11 日に崖っぷちへ。検索（AS13238）で約 99%、クラウド（AS200350）で約 90% の低下。
  • 一時的な部分的復旧の後、両ネットワークは 10 月 13 日まで障害状態が続きましたが、通常水準から見てそれぞれ 86% から 90% 低い水準で落ち着きました（UTC 14 日 18:00 現在では通常の 85% にまで回復）。

重要な点: 全体の HTTP トラフィックの減少はネットワークが停止したことを確認するに過ぎず、悪意あるボットや回避用のボットが混乱したかどうかを明らかにするものではありませんでした。

自動化活動の基準線（イベント前）

• Cloudflare のネットワーク全体で見られた HTTP トラフィックの中で自動リクエストが 36.1% を占めていました。
• ロシア IP アドレスからのトラフィックでは 35.8% を占めていました。

イベント全体のボットトラフィックへの影響

「ボットトラフィック」とは、ウェブサイトに対する自動リクエスト（クローラーやスクリプトなど）を指します。ヤンデックスのネットワークが容量を失うにつれて、そのボットリクエストも減少しましたが、これは予想通りの現象です（ほぼすべてのヤンデックス検索とクラウドのトラフィックが自動化されていたため）。

重要な結論:

1. 総トラフィックの著しい低下は確認されました。
2. しかし、ヤンデックスからのトラフィック低下とグローバルな悪意あるトラフィックの混乱を結びつける証拠は見つかりませんでした。
3. ロシア発のボットリクエストは、ヤンデックスで停止したトラフィックにほぼ比例して減少しました。これは、これらのネットワークから来るリクエストの大部分が自動化されていたためです。

ボットトラフィック推移（2022 年 10 月）

※表はリクエスト総量に基づいています（グローバルとロシア発）。

日付 (UTC+3)	イベント説明	グローバルボットリクエスト*	ロシア発ボットリクエスト*
10 月 1-6 日	イベント前基準線	39.4%	50.4%
10 月 7-8 日	サソヴォへのドローン攻撃	39.2% (−0.2%)	48% (-2.4%)
10 月 9 日	カルガへのドローン攻撃	39.4% (+0%)	42.5% (-7.9%)
10 月 11 日	ヴラジミールへのドローン攻撃	39.5% (+0.1%)	42.2% (−8.2%)
10 月 12 日	—	39.6% (+0.2%)	43.6% (−6.8%)
10 月 13 日	—	39.5% (+0.1%)	42.1% (−8.3%)

*Radar はグローバルトラフィックを全 HTTP リクエスト数と HTML リクエスト数（ページビューの近似値）の両方で報告しています。

ヤンデックス検索用 ASN（AS13238）への影響：クロール活動の低下

この ASN での減少はほぼ完全に検索クロールに起因しました。サンプリングされたリクエストの結果、以下のように分類されました。

• 78.1%: 検証済みの YandexBot
• 11.5%: YandexRenderResourcesBot
• 1.9%: YandexImages

セクターごとの影響

最も急激な低下が見られたのは出版・新聞業でした。

• このセクターからのヤンデックスネットワークトラフィックは 44% も減少しました。
• イベント前、ニュースサイトへのトラフィックの約 90% が記事を実装する YandexBot で占められており、サイト所有者がクローラーをブロックしたため Cloudflare カスタマーからは HTTP 403 Forbidden のレスポンスが 40.5% に返却されていました。

結論: ヤンデックス検索 ASN が停止した際には、単にヤンデックスからのインデックス化が減っただけです。

ヤンデックス・クラウド用 ASN（AS200350）への影響：正当な利用と悪意あるトラフィックの移転

ヤンデックス・クラウドは全く異なるプロファイルを示しました。攻撃後、ボットトラフィックは約 40% 減少しましたが、これは悪意あるトラフィックが消滅したのではなく、単に移転したことを示しています。

具体的な変化

• WordPress プラグインへのプロービング：90% 減少
• スキャナーで特定されたリクエスト：93% 減少
• Cloudflare カスタマーによるトラフィックブロック：70% 減少（WAF に到達する悪意あるトラフィックがさらに少なくなったことを意味）

ビジネスセクターごとの影響

宛先産業	イベント前ボットトラフィック	イベント中ボットトラフィック（10/7-13）	変化率	HTTP レスポンスステータス 4xx のシェア（イベント前→イベント中）
コンピュータソフトウェア	2,424 万回	1,518 万回	−37.4%	18.5% → 15.9%
ギャンブル	2,301 万回	1,880 万回	−18.3%	99.1% → 99.3%
メディア（アダルト含む）	133 万回	22.3 万回	−83.3%	82.0% → 61.8%
インターネット・通信	52.4 千回	20.7 千回	−60.6%	71.4% → 51.1%
旅行・観光	36.4 千回	15.8 千回	−56.6%	27.0% → 12.3%
小売・卸売	31.6 千回	16.8 千回	−46.9%	71.0% → 55.9%
ゲーム・コンピュータゲーム	22.6 千回	6.3 千回	−72.1%	51.4% → 9.2%
出版・新聞	9.1 千回	0.9 千回	−90.3%	90.2% → 61.4%

トラフィック移転の明確な証拠：ギャンブルセクター

コンピュータソフトウェアとギャンブルが主なリクエスト宛先でした。

• コンピュータソフトウェア:

  api.cloudflare.com

  が主要なホスト名の一つであることが確認されており、成功（200 レスポンス）していたため正当な利用を示しています。
• ギャンブルセクター: 悪意ある自動化が消えたのではなく移動しただけの最も明確な証拠です。
  • ボットリクエストのほぼすべてが 1 つのギャンブル顧客アカウントを対象としており、トラフィックはそのアカウント内のホスト名間で移転していました。
  • 障害直後（10 月 8 日）、ヤンデックス・クラウドからのボットリクエストはゼロになりましたが、同時にRadist や Selectelを含む他のロシア系ホスティング ASN から同一のリクエストが出現し始めました。

同一のフィンガープリントによる確認

流入トラフィックはプロバイダを問わず以下の共通特性を持っていました：

1. 同一の JA4 TLS クライアントフィンガープリント
2. 同一の珍しいリクエストパスと HTTP ヘッダー
3. 同一のカスタム User-Agent スリング

全体として、ギャンブルアカウントを対象とするロシア発のボットトラフィックは本質的に安定しており（1.677 億回 → 1.701 億回、+1.4%）、自動化は決して止まらなかったのです。オペレーターたちは単にヤンデックス・クラウドが利用不能になった時点で、そのワークロードを代替のクラウドプロバイダに移転しただけです。

ソーシャルメディアへの影響

• ロシア発 IP アドレスからのトラフィックやグローバル全体でも、予期せぬ変化は見られませんでした。
• 特定のソーシャルメディアプラットフォーム（投稿・返信・いいね）のエンドポイントについても再分析を行いましたが、ロシア発 IP アドレス（総トラフィック 5.7% 減少）やグローバル全体（総トラフィック 1.1% 増加）から予期せぬシフトは見られませんでした。
• 当社の評価: データは攻撃がソーシャルメディア操作機能を損なわせたという主張を支持するものではないように見えます（ただし、Cloudflare 以外のデータを用いてさらに分析しない限り、何らかの関連性がないと結論づけることはできません）。

データが教えてくれたこと——そして教えてくれなかったこと

ヤンデックスネットワークからのトラフィック崩壊を受け、インターネット上ではロシア発の影響力操作や悪意あるボットネットが致命的な打撃を受けたという憶測が広がりました。しかし Cloudflare のデータは別の物語を語ります：Cloudflare のネットワーク全体を通じて、攻撃によるソーシャルメディア操作の停止やその他のインターネット上の悪意ある活動への干渉に関する証拠は存在しませんでした。

むしろ、データは以下のことを示しました：

1. インデックス化が減少した ヤンデックス検索 ASN から減少したトラフィックの圧倒的大勢は、ニュース記事やウェブアセットを取得する検証済みの YandexBot クローラーによるものでした。主な影響はヤンデックス検索におけるコンテンツ発見の減少でした。

2. 悪意ある自動化は停止せず移転した ヤンデックス・クラウド上での脆弱性スキャンやプラグインプロービングは一時的に低下しましたが、高容量な運用はすぐに代替ホスティングネットワークへと移行しました。

3. ネットワークの障害が Automated Threat の消滅を意味するわけではない クラウドワークロードはポータブルであるため、データセンターが停止したり IP プレフィックスがブロックされたりしても、オペレーターは数時間以内にスクリプトを別のプロバイダに移転できます。

防御への示唆

今回の分析は、クライアント ASN のトラフィック量が自動化されたボット行動を解釈する不確実な指標であることを思い出させます。自動化された脅威に対する防御には、リクエストの行動特性を検証することが必要です。具体的には：

• 共有された JA4 フィンガープリントを特定すること
• 異常なリクエストレートを監視すること
• どのネットワークからのリクエストであっても重要なエンドポイントにWAF ルールを適用すること

物理的なインフラは静的ですが、悪意ある自動化は移動するように設計されています。