巨大な負荷を与えるDDoS攻撃とは？

「サイバー攻撃」と聞くと、システムに侵入されて情報を盗まれることを想像しがちです。

しかし、Webサイトに侵入しなくても企業に大きな被害を与える方法があります。Webサイトを使えなくしてしまうことです。それによってユーザーは、「ECサイトが開かない」、「問い合わせフォームに到達できない」、「会員サービスにログインできない」、といった状態に陥ってしまいます。それを意図的に引き起こす代表的な攻撃がDDoSなのです。

DDoSの特徴は、攻撃者がサーバーへの侵入に成功しなくても事業を止められることです。つまりDDoS対策は、情報漏洩を防ぐというより、Webサービスを止めないための防御として設計する必要があります。

※ DDoSとは、Distributed Denial of Serviceの略で、多数の端末などから大量の通信を送り、Webサイトやサービスを利用できなくしようという攻撃です

DDoSは、大量の通信で正当なユーザーを締め出す

DDoS攻撃を理解するには、人で溢れた実店舗を想像すると分かりやすいでしょう。通常は100人のお客様を受け入れられるお店に、何万人もの人がいちどに押し寄せたとします。入口も店内も人で埋まってしまい、本当に買い物をしたいお客様が入れません。DDoSは、それがオンラインの店舗で起きている状態と考えられます。

大量の通信によって、以下の３つのことが発生します。

• ネットワーク回線が埋まる
• サーバーの処理能力が使い切られる
• Webアプリケーションへ大量の処理が発生する

これにより、本来の正当なユーザーがサービスを利用できなくなる状態を作ります。この場合の攻撃の目的は、データを盗むことではなく、サービス自体を使えなくすることです。

DoSとDDoSは何が違うのか

DDoSと似た用語にDoSがあります。DoSは「Denial of Service」の略です。DDoSの先頭の「Distributed」を取ったものですが、Distributedとは、「分散した」という意味でした。多くの攻撃元が離れた位置に散らばっているという意味です。最初の「D」がないDoS攻撃は、攻撃元が分散しておらず、単一、あるいはごく少数に限定されている状態を指します。

攻撃者は、まず一般ユーザーのPC、サーバー、ルーター、IoT機器などをマルウェアに感染させ、それらを遠隔操作することで、一斉に大量の攻撃を仕掛けます。このような攻撃端末の集まりをBotnetと呼びます。

攻撃元が分散しているため、単純に一つのIPアドレスを遮断するだけでは対応できません。

※ Botnetとは、マルウェアなどに感染し、攻撃者から遠隔操作される多数の端末で構成されたネットワークです

※出典： Cloudflare Learning Center: What is a DDoS attack?

DDoS攻撃は、1年で2倍以上に増えた

DDoSはけっして珍しい攻撃ではありません。Cloudflareが2026年2月に公開した2025年の集計では、同社のネットワークで検知、軽減したDDoS攻撃は年間4,710万件でした。この数字は、2024年から121％増えたことを表しています。平均すると、2025年には、1時間あたり5,376件のDDoS攻撃を自動的に検出し、対策した計算です。

さらに同じ2025年には、密度として31.4Tbpsに達するDDoS攻撃も観測されました。この攻撃が続いた時間は、わずか35秒です。攻撃は長時間続くとは限りません。短時間でも、非常に大きな通信を集中させることができます。

今挙げた数字は、Cloudflare自身のネットワークで検知し、軽減した攻撃のみについてのものです。インターネット全体で発生したDDoS攻撃の総数は、それよりずっと多いはずです。

※ Tbpsとは、1秒間に何兆ビットのデータが流れるかを示す通信量の単位です

※出典： Cloudflare 2025 Q4 DDoS Threat Report

DDoSには、大きく3つの攻撃パターンがある

DDoS攻撃は、単に大量のアクセスを仕掛けるだけとは限りません。攻撃対象のターゲットによって、大きく3つの種類に分類できます。

1. 回線を埋める攻撃

ひとつは、大量のデータを送り、ネットワークの通信容量そのものを使い切ろうとするものです。たとえるなら、道路に大量の車を送り込み、道路そのものを渋滞させるイメージです。これは「Volumetric Attack」と呼ばれています。

2. ネットワーク機器や通信処理を狙う攻撃

次に、サーバー、ファイアウォール、ロードバランサーなどが通信を処理するためのリソースを大量に消費させるものもあります。Cloudflareでは、こうしたネットワーク層に対する攻撃を、主に「L3/L4 DDoS」として分類しています。

※ L3/L4は、インターネット通信の仕組みを階層に分けたOSIモデルにおけるネットワーク層、トランスポート層を指します

3. Webサイト内の処理を狙う攻撃

そして、見た目は普通のWebアクセスに近くても、サーバー側で比較的重い処理が必要なページに対し、大量のリクエストを送るというものもあります。たとえば、ログイン、商品検索、検索結果の表示、動的なページ、APIを利用するページなどが対象となります。

こうした攻撃は「Application Layer DDoS」、または「L7 DDoS」と呼ばれます。この種の攻撃の場合、通信量そのものは極端に大きくなくても、Webアプリケーションに対して過剰な負荷をかけられる点が特徴的です。

※ L7とは、OSIモデルのApplication Layerを指し、HTTPなどWebアプリケーションに近い通信を扱う層です

※出典： Cloudflare Learning Center: DDoS attack

アクセス集中とDDoSは何が違うのか

Web担当者にとって難しいのは、単なるアクセス急増なのか、DDoS攻撃なのかを見極めることでしょう。たとえば、テレビで商品が紹介された、SNSで投稿が拡散された、あるいはキャンペーンが話題になった、といった場合にも、短時間に大量のアクセスが発生することがあります。

結果だけを見ると、アクセス数の急増によってWebサイトが重くなるので、DDoSと見分けが付きにくいでしょう。一方は歓迎すべきユーザー、もう一方はサービスを妨害するための攻撃です。

単なるアクセス数の急増とDDoS攻撃を見分けるには、以下のような情報に注目します。

• アクセス元の地域やIPアドレス
• アクセスが集中している特定のURL
• 通信パターンの規則性や異常性
• 人間によるアクセスか、Bot（プログラム）か
• 一定時間内のアクセスの繰り返し頻度
• 通常時のアクセス傾向との差異

また、DDoS対策で難しいのは、単純に大量通信を止めればよい、というわけではないことです。攻撃は止めながら、本当に来てほしいユーザーの通信は通さなければなりません。

サーバーを大きくするだけではDDoS対策にならない

アクセスが増えるならサーバーを増強すればよい、という考え方は、通常のアクセス増加に対するものとしては、もちろん有効です。しかしDDoS攻撃を受ければ、かなり大量のアクセスが短時間に集中して届くことになります。いくらサーバーを増強しても、その処理能力を超える攻撃が来るようであれば、問題の解決にはなりません。

さらに、「L7 DDoS」では、一見すれば普通のHTTPリクエストが大量に発生しているだけです。そのためDDoS対策では、次のような対策が有効と考えられます。

• 大量通信を分散して受け止める
• 攻撃と思しき通信を見分ける
• 不要な通信をオリジンサーバーへ届けない

※ オリジンサーバーとは、元のWebサイトやアプリケーションが動いている本番サーバーです

WAFとDDoS対策は同じではない

以前の記事で説明したWAFとDDoS対策は、混同されやすいかもしれません。WAFは主に、Webへのリクエストの中身を確認するものでした。SQLインジェクションやXSS（クロスサイトスクリプティング）など、Webアプリケーションの脆弱性を狙う攻撃を見つけるのに有効です。

ただし、L7 DDoSのようにHTTPリクエストを大量に送る攻撃では、WAF、Rate Limiting、Bot対策なども組み合わせて防御することもあります。Webセキュリティは、必ずしも単独の機能によってすべての攻撃を止めるものではないのです。

攻撃が来てから人が判断するのでは手遅れ

DDoS攻撃の中には、非常に短時間の間に巨大な通信量に達するものがあります。上でも述べたように、2025年にCloudflareが観測した31.4Tbpsの攻撃は、わずか35秒の間に起こりました。これでは、人間による判断は間に合いません。

攻撃を発見した人が、担当者へ連絡する。担当者が管理画面へログインする。そこで防御のルールを考える。設定を変更する。このような流れでは、対策が間に合わない場合が多いでしょう。

そのため現在のDDoS対策では、異常な通信を自動的に検知し、自動的に対応する仕組みが重要になります。Cloudflareでは、「DDoS Protection」を常時稼働させ、L3/L4とL7のDDoS攻撃を自動的に検知、軽減する仕組みを提供しています。

※出典： Cloudflare DDoS Protection

DOMOの視点

DDoS対策は、攻撃対策ではなく止めないための事業設計

DOMOとしてDDoSを見るとき、最初に確認したいのは何Tbpsの攻撃に耐えられるかだけではありません。

重要なのは、以下の５つのポイントです。

• このWebサイトが止まったら何が止まるのか
• 10分止まったら何が起きるのか
• 1時間止まったら何が起きるのか
• 問い合わせ、購入、ログイン、APIのどこが最も重要なのか
• 攻撃時に誰が状況を確認するのか

企業サイトが止まれば、問い合わせが止まります。ECサイトが止まれば、誰も商品を購入できなくなります。SaaSやAPIが止まれば、顧客の業務まで止まる可能性があります。つまりDDoS対策は、サイバー攻撃への備えであると同時に、事業継続のための設計でもあると言えます。

また、アクセスが多過ぎるから止める、という単純な考え方では対応できません。広告やSNSによって、本当に短時間に大量のユーザーからのアクセスが来ることもあります。

• 攻撃は止める
• 正当なユーザーは通す
• サイトは止めない

この3つをどう確保するか。DDoS対策では、この視点が重要です。

まとめ

DDoS攻撃は、多数の端末などから大量の通信を送りつけ、Webサイトやサービスを利用できなくしようとする攻撃です。情報を盗まなくても、サービスを止めるだけで、企業に大きな打撃を与えることになります。

ひとくちにDDoSと言っても、以下のような種類があります。

• 通信量で回線を埋める攻撃
• ネットワークの処理能力を狙う攻撃
• Webアプリケーションそのものへ負荷をかける攻撃

重要なのは、大量アクセスをすべて攻撃として止めることではありません。通常のユーザーからのアクセスと攻撃目的の通信をできるだけ正確に見分けながら、サービスを使える状態に保つことです。

DDoS対策は、攻撃者を捕まえる仕組みではありません。事業の入口を止めないための仕組みなのです。

覚えておきたい用語

• DDoS： Distributed Denial of Serviceの略で、多数の端末から大量通信を送りサービスを利用不能にしようとする攻撃
• DoS： １つまたは限られた攻撃元からサービスを利用不能にしようとする攻撃
• Botnet： 攻撃者が遠隔操作できる多数の感染端末で構成されたネットワーク
• IoT： カメラ、テレビ、ルーターなどインターネットへ接続された機器
• Volumetric Attack： 大量のデータを送り、通信回線の容量を使い切ろうとするDDoS攻撃
• L3/L4 DDoS： OSI参照モデルの第3層（ネットワーク層）や、第4層（トランスポート層）を標的とし、回線やネットワーク機器を制御不能にするDDoS攻撃
• L7 DDoS： OSI参照モデルの第7層（アプリケーション層）を標的として、Webアプリケーションなどへの大量リクエストでサービスに負荷をかけるDDoS攻撃
• Tbps： Terabits per secondの略で、1秒間のデータ通信量を示す単位
• WAF： Webへの通信内容を検査し、攻撃と思しきリクエストを制御する仕組み
• Rate Limiting： 一定時間内のアクセス回数などを制限する仕組み
• オリジンサーバー： 元のWebサイトやアプリケーションが動いている本番サーバー