「なぜ自分だけクーポンを獲得できないのか？」

ショッピングアプリで実際に発生した自動化攻撃の事例

「アラームをセットして時間通りにアクセスしたのに、入った瞬間にもう終了しているんですか？」

あるショッピングアプリのカスタマーサポートには、このような問い合わせが繰り返し寄せられるようになりました。

先着順の割引クーポン、ライブコマース限定ポイント、数量限定イベントまで。

なぜか一部のユーザーだけが毎回成功し、大多数のユーザーは常に一歩遅れてしまう状況が続いていました。

当初、運営チームは単なるアクセス集中だと考えていました。

イベント開始時刻に大量のアクセスが発生するため、サーバーの処理が追いつかないのだろうと考えたのです。

しかし、何かがおかしいのです。

いつも同じ時間帯。

いつも似たようなアカウント。

そして、人間には不可能な速度。

その時、運営チームは気付きました。

「これは単なるトラフィックの問題ではない。」

なぜショッピングアプリは攻撃者にとって“利益になるアプリ”なのか？

ショッピングアプリは単なるコンテンツアプリではありません。

以下のような、直接的な金銭価値を持つ資産を扱っています。

• ✔ 割引クーポン

• ✔ ポイント

• ✔ 決済情報

• ✔ 配送情報

• ✔ 出店者（セラー）の取引データ

これらはすべて、実際の金銭的価値と直結しています。

そのため攻撃者にとって、ショッピングアプリは成功すれば即座に利益へつながる格好の標的です。

そして、その中でも最初に狙われるのがクーポンやポイントなどの金銭的価値を持つリソースです。

実際に行われていた攻撃手法

問題の実態が明らかになったのは、ログ分析を行った後でした。

確認された攻撃パターン

• ✔ 自動クリックツールやマクロによる大量のクーポン取得

• ✔ イベント応募ボタンへの異常な連続リクエスト

• ✔ ポイント減算ロジックを回避する改ざんアプリの利用

表面的には通常の利用者に見えましたが、実際には自動化ツールと改ざんアプリが組み合わせて利用されていました。

どこにセキュリティ上の弱点があったのか？

このショッピングアプリの問題は一つだけでした。

「ユーザーの行動が正常か異常かを判別できなかったこと」

• ✔ サーバーは送られてきたリクエストを処理するだけだった

• ✔ アプリは実行環境を無条件に信頼していた

• ✔ 自動化や改ざんを判別する仕組みがなかった

この時点で、アプリケーションセキュリティの必要性が明確になりました。

LIAPP：金銭的価値を狙う攻撃に対する第一の防御線

自動入力・スクリプトベース攻撃の検知

LIAPPは、ユーザーが何を入力したかだけではなく、

どのように入力したかを分析します。

• ✔ タップ間隔

• ✔ 入力速度

• ✔ 繰り返し周期

• ✔ イベント呼び出しパターン

人間には再現できない入力リズムは、最終的に自動化攻撃として識別されます。

この仕組みにより、自動クリックツールやマクロを利用したアカウントの検知が可能になりました。

アプリ改ざんの検知

一部の攻撃者はさらに巧妙な手法を用いていました。

• ✔ 正規アプリをリパッケージ化する

• ✔ ポイント減算ロジックを書き換える

• ✔ 正常な利用者を装ってイベントへ参加する

LIAPPの改ざん検知機能は、

• ✔ アプリコード

• ✔ リソース

• ✔ アプリ構造の変更

を分析し、改ざんされたアプリの実行を識別します。

その結果、クーポンやポイントを狙った改ざんアプリは正常な処理フローへ進入できなくなりました。

「問題はクーポンだけではなかった」

なぜLISSとLIKEYも必要だったのか？

調査を進める中で、もう一つの事実が判明しました。

攻撃者はクーポンだけを狙っていたわけではありません。

LISS ― リモート操作ツールの検知

一部の運営アカウントやセラーアカウントでは、

リモートサポートアプリを利用した画面操作の痕跡が確認されました。

LISSによって、

• ✔ リモートサポート・リモート操作ツールを検知

• ✔ 重要アカウントへの外部操作リスクを低減

することが可能になりました。

これにより、運営アカウントやセラーアカウントの保護レベルが大幅に向上しました。

LIKEY ― アカウントと入力情報の保護

もう一つの弱点はログイン画面でした。

このリスクに対応するため、LIKEYのモバイルセキュリティキーパッドが導入されました。

LIKEYの役割

• ✔ キーロガーによる認証情報の窃取を防止

• ✔ 管理者アカウントおよびセラーアカウントの保護を強化

入力段階そのものを保護することで、攻撃者による認証情報の取得を困難にしました。

導入後、何が変わったのか？

セキュリティ対策の効果は想像以上に早く現れました。

• ✔ クーポンとポイントの配布が正常化

• ✔ イベント当選アカウントの分布が自然な状態へ改善

• ✔ 利用者からの不満が減少

• ✔ 運営チームの対応負担が軽減

しかし、最も重要な変化は技術面ではありませんでした。

それは視点の変化です。

問題が発生した際に、

「サーバーだけを見る」

のではなく、

「アプリの実行環境とユーザー行動を合わせて分析する」

という考え方へ変わったことでした。

この事例が教えてくれること

ショッピングアプリのセキュリティにおいて、最も大きな誤解は次の考え方です。

「サーバーさえ守れば十分だ。」

しかし実際の攻撃はアプリから始まります。

正規ユーザーの行動を模倣しながら、

クーポンやポイントなどの金銭的価値を持つ資産を静かに奪っていきます。

必要な対策とは？

• ✔ 自動化・改ざん検知 → LIAPP

• ✔ 外部操作環境の検知 → LISS

• ✔ 入力情報の保護 → LIKEY

それぞれの役割を明確に分担することで、セキュリティは複雑になるのではなく、現実的かつ効果的になります。

#ショッピングアプリセキュリティ #モバイルセキュリティ #クーポン不正利用 #イベントセキュリティ #マクロ検知 #自動化攻撃 #アプリ改ざん #RASPセキュリティ #ECセキュリティ #セラーアプリセキュリティ #アカウント保護 #フィンテックセキュリティ #モバイルアプリセキュリティ #セキュリティ事例 #セキュリティトレンド #LIAPP #LISS #LIKEY