ECサイトでスクレイパーを見抜く：ボットと購入者を分けるシグナル

2025年12月30日ECセキュリティボット検知IPインテリジェンススクレイピング対策

ECプラットフォーム上で、自動化されたスクレイパーと正規の買い物客を見分けるための考え方を解説します。IPインテリジェンスの主要シグナルと、実務で使えるボット検知のアプローチを紹介します。

ECプラットフォームは、自動化されたスクレイパーに狙われやすい領域です。ボットは商品データを収集し、価格を監視し、レビューを抜き出し、ときには脆弱性の有無を探ることもあります。スクレイピングのすべてが悪質とは限りませんが、継続的または攻撃的なスクレイピングは、インフラリソースを消費し、分析データを歪め、競合上の不正な優位性や不正行為につながる可能性があります。

高度なスクレイパーを正規ユーザーと見分けるには、単純なレート制限だけでは不十分です。現代的なIPインテリジェンスに行動分析を組み合わせることで、より実効性の高い防御が可能になります。本記事では、ECサイトでスクレイパーを検知するうえで重要なIPシグナルと実践的な考え方を整理し、自動化されたボットと実際の購入者を分けるポイントを解説します。

根本的な違い：自動化された動きと人間らしい行動

本質的な違いは、目的と実行方法にあります。買い物客は商品を見比べ、迷い、ときにはカテゴリを行き来しながら、必ずしも一直線ではない導線をたどります。一方、スクレイパーはプログラムです。特定のエンドポイントへ体系的にアクセスし、遅延を最小限に抑え、最適化されたリクエストパターンで、明確な目的に向かって動きます。その性質は、利用されるIPアドレスにも表れます。

スクレイパー検知で見るべきIPインテリジェンスの主要シグナル

流入するリクエストを評価する際、複数のIP属性が自動化の強い手がかりになります。単独では決定打にならないこともありますが、複数のシグナルを集約し、行動データと組み合わせることで精度は大きく高まります。

1. IPタイプと利用インフラ

正規の買い物客の多くは、Mobile Network Operator（MNO）やInternet Service Provider（ISP）が提供する住宅回線・モバイル回線のIPアドレスを利用します。一方スクレイパーは、検知回避や大規模運用のために、非住宅系のインフラを使うケースが少なくありません。

データセンター／ホスティング事業者のIP: これは代表的な危険シグナルです。スクレイパーの多くは、クラウド事業者（AWS、GCP、Azure）、専用ホスティング、VPS事業者に割り当てられたIPレンジからアクセスしてきます。大手データセンターが保有するIPブロックからのリクエストは、ECの買い物客としてはかなり不自然です。
Proxy/VPN/TOR出口IP: スクレイパーは、実際の発信元を隠す、地域制限を回避する、IPをローテーションする、といった目的でこれらのサービスをよく利用します。IPインテリジェンスサービスは、既知のproxy、VPN、TOR出口ノードのリストを継続的に管理しています。こうしたIPからのリクエストは、より慎重に評価すべきです。

限界: 正規ユーザーもプライバシー保護やセキュリティ目的でVPNを使います。特に一般消費者向けVPNでは誤検知が起こり得ます。VPNの種類*（住宅系か、商用データセンター基盤か）とユーザー行動を併せて見ることが重要です。

共有NATとモバイルキャリアIP: 大手モバイルキャリアや共有NAT配下のIPは正規利用も多い一方で、扱いが難しい領域です。多数のユーザーが1つのグローバルIPを共有している場合、そのIPから不審なトラフィックが大量に出ていても、単純にブロックすると正規ユーザーまで巻き込む恐れがあります。ただし、そのIPからのリクエストがすべてスクレイパー的なパターンを示しているなら、強い判断材料になります。

2. Autonomous System Number（ASN）と組織情報

IPのASNは、そのネットワークを運用している事業者を示します。IPタイプとも関連しますが、ASNと紐づく組織を見ることで、より深い文脈が得られます。

ホスティング／クラウド系ASN: あるIPが既知のホスティング事業者のASN（例：AmazonのAS16509、GoogleのAS15169）に属していると分かれば、データセンターIPである可能性をさらに裏付けられます。一般の買い物客がこうしたネットワークを直接経由することは、通常あまりありません。
不明または不審なASN: 小規模なASNのなかには、匿名化やボット運用に適したサービスを提供しているものもあります。そうしたASNから継続的にトラフィックが流入している場合は注意が必要です。

3. rDNSホスト名

IPアドレスの逆引きDNS（rDNS）レコードは、直接的なブロック根拠としてはやや弱いものの、手がかりになる場合があります。

汎用的なホスト名やデータセンター由来のホスト名: ec2-xx-xx-xx-xx.compute.amazonaws.com や vps-xx-xx-xx-xx.provider.net のようなrDNSは、データセンターまたはホスティング環境を強く示唆します。住宅回線IPの場合は、ISP固有のホスト名に解決されるか、rDNSが設定されていないこともあります。
rDNSが存在しない: 住宅回線でもrDNSがないことは珍しくありません。ただし、ほかにも不審な特徴を示しているIPでrDNSがまったくない場合、リスクプロファイルを押し上げる材料になります。

限界:* スクレイパー側がカスタムのrDNSレコードを設定したり、あえてrDNSのないIPを使って一般的に見せたりすることもあります。

4. 位置情報の不整合

すべてのスクレイパーに当てはまる主要シグナルではありませんが、地理的な矛盾は、高度な回避行動を示す強いサインになることがあります。

あり得ない移動: あるユーザーアカウントがニューヨークからログインし、その5分後に北京のIPからスクレイピングを試みている場合、proxy利用またはアカウント侵害が疑われます。いずれもボット活動と関連しやすい兆候です。
アカウント履歴との不一致: リピーターの場合は、現在のIP位置情報を過去の利用傾向と比較します。突然、遠隔地かつ非住宅系の場所へ移るような変化は不審です。

5. IPリスクスコア

これらの情報を含む複数のデータポイントを集約し、IPインテリジェンスAPIは各IPにリスクスコアを付与します。このスコアは、既知の不正利用履歴、proxy検知、ボットネットでの利用頻度、ブラックリスト掲載状況などを総合したものです。

高いリスクスコア: リスクスコアが高いIP（例：100点満点中80超）は、悪意ある活動または自動化された活動に関与している可能性が高いと考えられます。ブロックや追加認証を判断するうえで、特に強い直接シグナルの1つです。

シグナルを組み合わせる：多層的なアプローチ

完璧な単一シグナルは存在しません。最も効果的なスクレイパー検知は、IPインテリジェンスと行動分析を組み合わせることです。

スクレイパー像と買い物客像の比較

検知と緩和策の実装

まずはパッシブ監視から: いきなりブロックするのではなく、流入リクエストのIPインテリジェンスデータを記録します。一定期間の傾向を分析し、自社サイトに特有の通常トラフィックの基準値と、よく見られるスクレイパーの特徴を把握しましょう。
段階的な制御: 確度の高いスクレイパーIPには、まずCAPTCHAの提示や、わずかに古いデータを返すといった低リスクの緩和策から始めます。完全なブロックは、最もリスクの高いIPや、継続的かつ明白に悪質な行動に限定するのが現実的です。
リアルタイムAPI連携: リクエスト処理のパイプラインにIPインテリジェンスAPIを組み込みます。各リクエストごとにIP属性とリスクスコアを取得することで、状況に応じた動的な判断が可能になります。

IPがDatacenter/Proxy/TORで、かつ行動がロボット的: 直ちにチャレンジまたはブロックします。 IPはResidentialだが、行動がロボット的: CAPTCHAなど、やや抑制的なチャレンジを適用します。

行動コンテキストの活用: IPシグナルは必ず観測された行動（リクエスト頻度、セッションあたりのユニークページ閲覧数、User-Agentのばらつき、取得可能であればマウス操作やタッチイベントなど）と組み合わせます。VPNを使っている正規ユーザーでも、行動は人間らしいものです。逆に、住宅IPを使うスクレイパーでも、行動はボットらしさを残します。

まとめ

スクレイパー検知は一度設定して終わりではなく、継続的に向き合うべき課題です。データセンター検知、proxy/VPN/TORの識別、ASN分析、rDNS、統合リスクスコアといった詳細なIPインテリジェンスを活用することで、ECサイトは自動化された脅威と正規顧客を見分ける力を大きく高められます。こうした可視性を提供するツールは、オンライン資産を守るうえで非常に重要です。

guarda.netを含む多くのプラットフォームは、日々0件を大きく上回るlookupを処理し、包括的なIPインテリジェンスを提供しています。IPを自分で確認したい場合は、guarda.netのホームページで利用できる無料のIP lookupツールを試してみてください。