DDoS攻撃と「アクセス集中」の見分け方と情シスの備え

公共交通など生活に密着したサイトの「つながらない」は、利用者の不安が一気に広がります。今回の神姫バスの事案は、原因を断定せず冷静に「負荷の上昇」と説明した点に、情シスが学ぶべき初動のヒントが詰まっています。結論から言えば、可用性インシデントで最初に問われるのは「これは攻撃か、それとも正規のアクセス集中か」を切り分けられる体制があるかどうかです。

何が起きたか：神姫バスのWebサイトでアクセス集中によるサーバ負荷上昇が発生し、一時閲覧できない状態になった（その後復旧）。
誰に関係するか：公開Webサイトを運用する、すべての企業・団体の情シス。
今すぐ何を：DDoSと正規のアクセス急増を切り分ける「観点」と、発生前提の備え（CDN・冗長化・監視・連絡体制）を確認する。

何が起きたのか
1. DDoS攻撃とは何か
DDoS攻撃と正規のアクセス集中はどう見分けるのか
なぜ「発生を前提に備える」必要があるのか
現場目線の課題
情シスはどう備えるべきか
まとめ
出典・参考

何が起きたのか

神姫バスは2026年6月17日、自社Webサイトで閲覧障害が発生していたことを公表しました。同社の説明によれば、6月12日夜ごろから13日にかけてサイトへのアクセスが集中してサーバ負荷が上昇し、閲覧できない状態が生じたとされます。15日に復旧作業が完了し、現在は正常に利用できる状態に戻っています。個人情報の流出は確認されていません。今後はサーバ体制の強化と監視体制の見直しを進めるとしています。

注目したいのは、報道見出しでは「DDoS攻撃」と表現される一方、同社の公表は「アクセス集中・負荷上昇」という事実ベースの説明にとどめている点です。攻撃の有無を断定せず、確認できた事実だけを述べる姿勢は、過度な憶測で混乱を広げないという意味で妥当な対応といえます。

DDoS攻撃とは何か

DDoS攻撃（分散型サービス妨害攻撃）とは、多数の機器から一斉に大量の通信を送りつけ、対象のサーバやネットワークを過負荷にしてサービスを止める攻撃です。近年は脆弱なIoT機器を踏み台にしたボットネットが悪用され、規模が大きく発信元の特定も難しいのが特徴です。

DDoS攻撃と正規のアクセス集中はどう見分けるのか

結論を一言で言えば、トラフィックの「中身」と「偏り」を見ることです。攻撃か正規の集中かは、量だけでは判断できません。

切り分けの主な観点は次のとおりです。

発生のきっかけ：キャンペーン・テレビ放映・運休や遅延などの正当な理由があるか。理由なく深夜に急増していないか。
リクエストの偏り：特定URLや特定の操作に異常に集中していないか。正規利用なら多様なページに分散しやすい。
送信元の地理・IP分布：想定しない国・地域や、特定IP帯からの通信が突出していないか。
挙動の不自然さ：人間の操作では考えにくい短間隔の反復アクセスや、同一パターンの繰り返しがないか。

これらを平時から把握しておくには、アクセスログやトラフィックの「普段の姿（ベースライン）」を知っておくことが欠かせません。基準が分からなければ、急増が攻撃なのか歓迎すべき来訪なのかも判断できないからです。

なぜ「発生を前提に備える」必要があるのか

DDoSはもはや一部の大企業だけの問題ではありません。内閣サイバーセキュリティセンター（NISC）は2025年2月、2024年末から2025年初頭にかけて航空・金融・通信などの事業者で相次いだDDoS攻撃を受け、対策を呼びかける注意喚起を公表しました。そこでは、完全な防御は難しいことを前提に「発生しても被害を抑える」備えの重要性が示されています。

公開されているWebサイトである以上、誰でもアクセスできることが攻撃の入口にもなります。自社が直接の標的でなくても、踏み台にされたり、巻き込まれたりする可能性は誰にでもあると考えておくべきです。

現場目線の課題

正直なところ、限られた人員でWebサイトを運用する情シスにとって、「攻撃か、ただのアクセス集中か」をその場で見極めるのは簡単ではありません。監視やログ分析の仕組みが整っていなければ、障害の最中に切り分けの材料すら手元にない、という状況は珍しくないでしょう。さらに、サイトの実体がレンタルサーバや外部の制作会社・ホスティング事業者に委ねられているケースでは、いざというときに「誰に連絡し、どこまで対応してもらえるのか」が曖昧なことも多いはずです。今回の事案で「監視体制の見直し」が挙げられたのは、まさにこの弱点を突かれた形ともいえます。

情シスはどう備えるべきか

自前で長大なチェックリストを作るより、まずは公的機関の整理された指針を起点にするのが近道です。NISCの注意喚起では、しきい値を超えた大量リクエストの遮断、CDN（コンテンツ配信網）や通信回線事業者が提供するDDoS対策の活用、サーバ・ネットワーク・回線の冗長化といった、発生前提の被害抑制策が示されています。

あわせて、初動と平時の体制づくりはIPA「中小企業の情報セキュリティ対策ガイドライン」や、インシデント対応の手順を試すIPA「机上演習教材」が参考になります。技術的な遮断だけでなく、「障害発生時に誰がどこへ連絡し、何を公表するか」を平時に決めておくことが、混乱を最小化する近道です。神姫バスが原因を断定せず事実だけを淡々と公表できたのも、こうした初動の備えがあってこそです。

最後に、地道ですが効くのが利用者・社内への周知です。障害時に「ただいま復旧作業中」と早めに案内できるだけで、問い合わせ集中という二次的な負荷を抑えられます。