オンラインバンキングやキャッシュレス決済を支えるシステムが、いま世界で最も激しいサイバー攻撃にさらされている。Akamai（NASDAQ：AKAM）が公表した金融サービス業界向けの脅威レポート「AI-Empowered Botnets and API Visibility Gaps（AIを活用したボットネットとAPI可視性のギャップ）」は、金融サービスがWebおよびAPIを狙うDDoS攻撃で「あらゆる業種の中で最も標的にされている」と警告した。攻撃を後押ししているのは、AIで武装したボットネットと、親イラン系ハクティビストの活動だ。
DDoS攻撃は「大規模・長期・複雑」へ
レポートの中心にあるのは、DDoS（分散型サービス妨害）攻撃の質的な変化である。Akamaiによると、金融サービスを標的とするネットワーク層（レイヤー3および4）のDDoS攻撃について、世界全体の持続時間の中央値は2024年比で738％も増加した。かつては一時的な妨害にとどまっていた攻撃が、長時間にわたってシステムを圧迫し続ける「持続的な包囲戦」へと変質していることを示す数字だ。
同社のアドバイザリCISOであるSteve Winterfeld氏は、レポートの中で「サイバー犯罪者とハクティビストは、DDoSを迷惑行為から、ハクティビズムとサイバー犯罪の双方を包含する持続的な包囲戦へとエスカレートさせ続けており、金融サービスはその照準の中にある」と述べている。
地域ごとに攻撃の傾向は大きく異なる。レイヤー3・4のDDoSはEMEA（欧州・中東・アフリカ）が主な標的で全体の62％を占める一方、アプリケーション層（レイヤー7）のDDoSではアジア太平洋（APAC）が最も狙われており52％を占めた。北米ではWeb攻撃が最も多く44％に上っている。
攻撃の主戦場となったAPI
もう一つの焦点が、システム同士を連携させるAPI（アプリケーション・プログラミング・インターフェース）である。金融サービスのデジタル化は、オンラインバンキングやリアルタイム決済といった利便性を実現した一方で、攻撃者に新たな入口を開いてしまった。
レポートによれば、2025年にはWeb攻撃全体の60％、APIエンドポイントへの侵入の83％が銀行を標的としていた。さらにAkamaiの「2026 API Security Impact Study」の調査対象となった金融サービスの責任者の96％が、過去12か月間に少なくとも1件のAPIセキュリティインシデントを経験したと回答しており、これは全業種の中で最も高い割合だった。Winterfeld氏は「AIは従来のセキュリティリスクを減らすのではなく、それを増幅させる」と表現し、APIがますます攻撃対象になっていると指摘している。
AIボットネットとランサムウェアの脅威
攻撃を大規模化させている原動力の一つが、AIを活用したボットの急増だ。レポートは、高度なボットの活動が2025年後半に147％増加したとし、あるケーススタディではサイト全体のトラフィックの実に96％が悪意あるスクレイピングボットだったと報告している。AIで武装したボットは、ブラウザの挙動を模倣して従来型の防御をすり抜ける能力を高めているという。
ランサムウェアの脅威も深刻だ。金融機関の8割近くが過去2年間にランサムウェア攻撃に直面している一方で、高度なセキュリティ技術を導入している機関は半数に満たないとされ、脅威の進化に防御が追いついていない実態が浮かび上がる。
日本の金融機関が直視すべき現実
APACがアプリケーション層DDoSで世界最大の標的となっている事実は、日本の金融機関やフィンテック事業者にとっても他人事ではない。オンラインバンキング、キャッシュレス決済、各種金融アプリはいずれもWebとAPIの上に成り立っており、レポートが描く脅威の構図はそのまま国内の環境にも当てはまる。
Akamaiは、AIがリスクを「ステロイド剤を打ったように」増幅させると警鐘を鳴らす一方で、金融機関はレポートに詳述されたセキュリティ戦略やベストプラクティスを活用できるとも述べている。DDoS対策やAPIの可視化、そして自組織がどのAPIから機微なデータを返しているのかを把握することが、攻撃の高度化に対抗するうえで欠かせない備えとなる。