アメリカのThanks Givingでのブラックフライデイやサイバーマンデー、日本でもクリスマスショッピングなどネット販売が盛んになる時期には、オンラインショップにとってシステムが止まることは多額の損害をもたらします。そこでボットネットを活用して低価格でDDoSを仕掛け、システムを使用不能にし身代金を取るタイプの脅迫を行う犯罪者にとっても、この時期は掻き入れ時になるはずです。

  「...犯罪者はボットネットを時間貸ししていたりするわけで、それならば資金さえあれば誰でも有名な国に対してサイバー攻撃を仕掛けることができるはずです。...」と、以前書いたのは『韓国とアメリカに対するサイバー攻撃の犯人は誰だったのか』のポストでしたが、実際のところボットネットを使ってDDoSを行うのはいくらくらいの金額なのでしょうか?

  どうやら、安い所では1時間あたり8ドルくらいで出来るようです。連続でやりたい場合は、5時間が30ドル、24時間が60ドルという話もあります。またどれくらいの量のDDoSを行うかでも料金は変わり、1000Mbpsくらいで100ドル、10000Mbpsくらいで900ドルくらいという噂もあります。

  さらに通常は依頼者とボットネットをコントロールする犯罪者は直接顔を合わせることもないため、依頼者が安心して支払う気になるように、最初に発注する場合に10分〜15分のDDoSをサービスするサイトもあるそうです。日本のインターネットをモニターしているテレコムISACでも15分程度の短時間のDDoSが多数観察されるようになっている、という話題を聞きました。

  この程度の金額ならば、それまでは犯罪者ではなくても、昨年の経済危機からの不況で生活苦に陥った人たちが充分に手を出せる価格です。そして中小企業のサイトはセキュリティ予算も少なく充分なサーバー能力や回線速度を持っていないことが一般的ですから、ターゲットにされた場合は対策が難しい訳です。この状況は、はっきり言って困ったものです。

(このポストを書くのに、CDI-CIRT他いくつかの報告を参考にさせていただきました)