CrowdHandlerでは、異常検知、IPフィルタリング、CAPTCHA、行動分析といった、高度なボット対策システムを構築してきました。しかし、ボットとの戦いを続けるにつれ、あることがますます明らかになってきました。それは、「特効薬など存在しない」ということです。
実のところ、「ボット」は問題の根本原因ではありません。当たり前のように聞こえるかもしれませんが、チケット不正取得の背後には、必ず人間が関わっています。より正確に言えば、複雑な形で連携して活動する人間のネットワークが存在するのです。
私の考え方を変えた、面白い質問
私は大手セキュリティ企業のコンサルタントと共に、ボットの活動を分析していました。私たちは、ユーザーが可用性をスキャンしたり、レイアウトをスクレイピングしたり、セキュリティシステムを調査したりといった、自動化された行動のログを確認しました。
ボットの動きにはあまり理にかなっていないパターンが見られたため、コンサルタントは私にこう尋ねました：
「あの人たちは何を望んでいると思う？」
それは的を射た指摘だった。というのも、私たちが分析していたボットは、チケットを購入しようとしているわけではなく、データを収集していただけだったからだ。このことは、ボットがはるかに大きな仕組みの一部であることを改めて思い知らされた。
ボットは「スクリプトキディ」ではありませんが、AIの達人というわけではありません。
よく言われている誤解があります。それは、チケット購入ボットといえば、粗末な素人レベルのスクリプトか、あるいはどんな防御も突破できる超高度なAIのどちらかだ、というものです。
実のところ？ どちらも違う。
実環境で見られるのは、はるかに複雑で、人間らしい生態系です。一見すると単一のボットのように見えるものも、実際には、スクレイパー、シートマッパー、プロキシローテーター、アカウントファーム、価格設定エンジンといったツールや戦術が連携して織りなす網の目のような構造であることがよくあります。
エコシステムへようこそ
チケット販売ボットの運用には、以下のようなものが含まれる場合があります：
- 価格・在庫状況を確認するためのスクレイパー
- 座席表を詳しく見て、その価値を見極める
- 検知を回避するための住宅用プロキシ
- キャプチャ解読ツール（人間によるものとAIによるもの）
- 情報やスクリプトを共有するためのクックグループ
- 大規模展開に向けたアカウント作成担当者
- 固有のIPアドレス、クレジットカード、配送先住所を持つマルチブラウザ対応ボット
- 入手したチケットを即座に出品する再販ボット
需要の低いイベントでさえ例外ではありません。クラシックコンサートを主催する当社の米国における地域クライアントの1社では、依然としてボットによるトラフィックが絶えません。その理由は、同社のデータがチケット集約サイトに提供されているからです。ダフ屋サイトはあらゆるチケットを掲載しています。そのため、たとえまだチケットを購入していなくても、誰かが「購入」をクリックすれば、そのチケットを入手できるのです。
住宅用プロキシ
昨夏、住宅用プロキシが広く普及したことで、大きな変化がもたらされました。
ボットのトラフィックは、データセンターのIPアドレスから発信されるのではなく、実際の一般ユーザーのISPアドレスを経由して送られてきます。こうしたアドレスは3,000万～1億件がレンタル可能であり、本物のファンと見分けがつきません。
現在、悪質なボットリクエストの4分の1は、一般家庭向けのISPから発信されています。
こうしたアカウントをブロックしてしまうと、同じネットワークを無意識のうちに利用している本物のユーザー、つまりファンを締め出してしまうリスクがあります。これは、非常に難しいバランス感覚が求められる問題です。
スキャルピングの「社交面」：クック・グループ
「調理グループ」は、人類の物語の中核をなすものです。
これらは招待制のコミュニティであり、転売屋たちが裏情報を交換したり、アラートを投稿したり、「成功のスクリーンショット」を共有したり、トレーニングコースを販売したりしています。こうしたコミュニティは、多くの場合、Discordや非公開のフォーラム上で運営されています。
メンバーのモチベーションとなるのは、必ずしもお金だけではありません。社会的価値――つまり、認められること、「自慢できる権利」、そしてステータス――も重要な要素です。ボットは単なるツールに過ぎませんが、その背後で繰り広げられている真の「ゲーム」は人間によるものです。それは、競争、コミュニティ、そしてアイデンティティに関するものなのです。
他のすべてのオンライン・マルチ商法と同様に、頂点にいる人たちはチケットではなく、ツールを販売することで利益を得ている。参加者の大半――最下層にいる「カモ」たち――は、ただその輪に加わりたいだけなのだ。
法的なグレーゾーン
米国や英国では、ボットを使ってチケットを購入することは違法です。しかし、そのソフトウェアを販売することは？必ずしも違法とは限りません。
この抜け穴により、ツールやサービス、ハウツーガイドの市場が活況を呈しています。あなたのウェブサイトを混雑させている人々の多くは、プロの再販業者ではありません。彼らは、TelegramやRedditで見つけたサブスクリプション型のツールを、ブラウザのタブを数個開いて利用しているだけの愛好家たちなのです。
同じ手口、異なる業界
標的はチケット購入だけにとどまらない。スニーカー、ゲーム、家電製品の世界では、ボット利用が常態化している。そして、その手口はしばしば重複している。
以前、あるファッション業界の幹部が、大規模なスニーカー発売時にボットを回避できたことを称賛したところ、彼からは、実は自社でも他のブランドの商品を買い占めるためにボットを使っていたと明かされた。こうした行為はもはや当たり前になっている。
ボットは実際にはどのようなものか
今日の商用ボットは、洗練されたUI、ダッシュボード、設定ツールを備えています。ユーザーは以下の操作が可能です：
- イベントを選択してください
- 数量、価格、および時期を選択してください
- プロキシリストを読み込む
- 何百ものブラウザインスタンスを起動する
ブラウザのタブごとに、登録されているクレジットカード、住所、IPアドレスが異なる場合があります。これは数で勝負するゲームです。試行回数が増えれば増えるほど、成功する確率も高まります。チケット購入の待ち行列は今や抽選のようなものとなっており、ボットは入手可能なチケットをすべて買い占めています。
「プレイするには料金を支払わせる」
これは支出競争です。次の点を考えてみてください：
- 住宅用プロキシは、データセンターのIPアドレスよりも費用がかかります
- 通常のブラウザは、ヘッドレスブラウザよりも実行コストが高い
- CAPTCHA解読サービス（AIまたは人間によるもの）は、1回の課題ごとに課金されます
目標は完璧さを追求することではありません。ダフ屋にとってのコストを高くすることです。彼らの多くはすでに利益率が低い状況にあります。さらに、多くのダフ屋は「食い潰し」（かき集めたチケットを転売できないこと）を恐れて生活しています。彼らにさらなる出費を強いることで、多くのダフ屋は諦めて、より手頃なサイトへと移っていくでしょう。
何が有効で、何が有効でないか。
うまくいかないのは以下の通りです：
- IPブロックのみに依存する
- ボットが学習できる静的な課題
- APIの保護が不十分
- 購入後の監査を実施しないこと
- 人間の共謀を過小評価すること
次のような方法が有効かもしれません：
- 利用プロセスの最初の段階でCAPTCHAを導入する
- ブラウザセッションの識別とハンドオフの追跡
- IPアドレス1つにつき1回の購入というポリシーの適用
- 不審な注文の監査
- 販売開始前にスクレイパーをブロックする
- セッションの挙動の異常を監視する
ボット防御における「ベア理論」
昔からあるジョークがあります：
クマより速く走る必要はない――隣にいる相手より速く走ればよいのだ。
ボットについても同様です。
無敵になることはできません。しかし、もしあなたのサイトが競合他社よりも攻撃されにくいものであれば、ボットは攻撃の矛先を他の場所に向けるでしょう。それだけでも、本物のファンのために何千件ものチケットを確保できることになります。
特効薬はない――しかし、希望はある
唯一の解決策というわけではありませんが、以下の対策を取ることができます：
- ステークホルダーと現実的な期待値を共有する
- 防御を多層化しましょう
- プレイブックは定期的に更新してください
- 「攻略不可能」になるのではなく、「攻略がより困難」になることに注力する
- どんなに小さな成功でも、それを祝おう
ボットは人間が使うツールに過ぎません。ボットに打ち勝つためには、その背後にある人間の動機を理解しなければなりません。
CrowdHandlerの使命は、チケット販売の専門家たちが対等な立場で競争できるよう支援することです。この業界の仕組みを理解することで、私たちはそのあり方を変えていくことができるのです。
今すぐ無料トライアルにお申し込みください。