2023 Imperva Bad Bot Report 惡意機器人研究報告摘要

Imperva 作為WAAP領域的資深專家，擁有超過12年與駭客和惡意機器人對抗的經驗。在2023年的惡意機器人研究報告中，將詳細探討過去一整年最新惡意機器人統計數據和未來發展趨勢，並評估目前惡意機器人的特性以及對應用程式的未來影響。

2022 年機器人流量大幅增長

根據 2022 年的資料，機器人流量明顯增加，占了近一半的年度網路流量，達到47.4%，相較於前一年增長了5.1%。

2023年 Imperva 惡意機器人研究報告重點：

近四年來機器人流量持續攀升

2021年惡意機器人/網路爬蟲佔網際網路流量的27.2%，到了2022年上升至30.2%，增加了2.5%。同時，良性機器人（如搜尋引擎等）也有所增加，佔總流量的17.3%。

實際上，任何惡意機器人都可能帶來嚴重的麻煩，因為惡意機器人的存取可能導致環境需求評估上的困難及行銷分析上的挑戰，使企業或組織難以做出明智的業務決策。

為了保護網站並確保準確的分析數據，需要採取措施來識別和過濾惡意機器人流量，以確保正常訪問的客戶體驗，保留良性機器人流量，同時有助於企業做出準確的業務決策。

具有高度隱蔽性的惡意機器人

惡意機器人可分為初階、中階和高階三個類別，具有隱蔽性的惡意機器人佔所有惡意機器人流量的比例增加至66.6%，略高於前一年的65.5%。在2022年，初階惡意機器人的比例相對穩定，維持在33.4%，略低於2021年的34.4%。

中高階的惡意機器人通常都具備隱蔽能力，會在爬取資料的過程中盡可能隱藏真實身份，利用各種方法因應驗證，或透過代理服務等方式降低單一IP請求數。值得注意的是，2022年中高階的惡意機器人組成中，高階惡意機器人的比例幾乎翻了一倍，而中階惡意機器人的數量則較為減少，這意味著相關工具也不斷在進化和發展。

總而言之，我們需要關注高階惡意機器人變得越來越複雜的情況，這將對企業和組織帶來更多挑戰，因此必須對這些問題保持警覺。

惡意機器人攻擊的主要目標是API

根據數據統計，所有針對API的攻擊中，有17%是針對企業網站程式或商業邏輯中的瑕疵，進而竊取敏感企業數據或非法獲取帳號存取權限的惡意機器人。此外，21%的攻擊是由自動化惡意機器人針對漏洞或特定的攻擊手法所進行的嘗試攻擊。此外，在2022年的記錄中，更有35%的帳號撞庫攻擊是直接鎖定API進行攻擊。

企業應該意識到這些攻擊趨勢，並加強保護API。包括確保網站程式和商業邏輯的安全性，定期檢測、修補漏洞，以及實施有效的防護措施，以抵禦自動化惡意機器人和帳號撞庫攻擊，進而確保資料安全，並預防惡意機器人對API的侵害。

企業撞庫攻擊大量成長，今年多個資料庫洩漏結果

從2021年到2022年，短短一年的時間內，撞庫攻擊成長了155%。尤其是在2022年的第三季，我們觀察到資料外洩與帳戶接管攻擊之間存在直接的關聯性，這些被洩露的資料被用於新的撞庫攻擊中。

據報導，全球資料外洩事件增加了 70%。 同一時間，Imperva 所記錄的帳戶接管攻擊也增加了 40%。這顯示攻擊者試圖在用戶意識到自身資料外洩之前，優先發動攻擊，試圖獲取帳號權限。

佯裝瀏覽器佔據很大一部份的惡意機器人流量

為了保護用戶隱私，現今瀏覽器限制了向服務端提供客戶資料及追蹤能力，雖然能讓用戶更好地保護自己，但同時也使惡意機器人更難被區分和發現。

機器人服務供應商也意識到這一點，並利用隱私保護功能來隱匿它們的訪問，確保訪問看起來不像是由程式發起的，讓惡意機器人能更有效地爬取所需資料，同時減少被網站檢測和阻擋的風險。

然而，這也為對抗惡意機器人帶來了挑戰，需要更好的技術和方法來區分真實用戶和網路機器人。為了保護服務和網路的安全及合法性，Imperva 不斷改進、強化對抗惡意機器人的能力，並持續發展更先進的技術來阻擋它們的行為。

惡意機器人從特定行業轉變成各行各業常見問題

過去，特定產業如旅遊（24.7%）、零售（21%）和金融服務（12.7%）遭受的機器人攻擊數量最多。然而，我們觀察到醫療保健、政府及司法單位的惡意機器人攻擊數量在2022年亦大幅增加；遊戲（58.7%）和電信（47.7%）產業的網站和應用程式所遭受的惡意機器人流量比例則最高。

這些數據顯示，無論什麼產業都難以避免惡意機器人攻擊，不同產業面臨了不同面貌的攻擊風險，且攻擊形式和頻率因產業而異，惡意機器人已成為普遍性的資安問題。旅遊、零售和金融服務業的網站和應用程式一直是攻擊目標，可能是因為這些產業涉及敏感的個人和財務資料。然而，醫療保健、政府及司法單位最近的攻擊增加可能與資料的價值和相關風險有關。

值得關注的是，在遊戲和電信產業中，惡意機器人的流量比例最高，這可能是因為遊戲產業的網站和應用程式經常處理大量的用戶資料傳輸，而電信產業則涉及大量的用戶通訊和數據流量。攻擊者可能利用這些產業的特點，試圖從中獲取機敏資料或進行其他惡意活動。

無論在哪個產業，保護網站和應用程式免於惡意機器人攻擊的重要性日益突顯，企業和組織應該採取適當的安全措施。

利用 Imperva 阻擋惡意機器人和撞庫攻擊

Imperva 結合卓越的技術和資安專業知識，提供在WAAP（Web Application and API Protection）市場領先的解決方案，更連續九年在 Gartner Report 獲評為 Leader 領導品牌，證明了 Imperva 在該領域的卓越表現。

Imperva 解決方案能全面應對惡意機器人、撞庫攻擊、DDoS（分散式阻斷服務攻擊）、OWASP TOP 10攻擊等各種安全威脅。無論您的網站、應用程式和 API 部署在公有雲、IDC 機房還是私人機房等環境中，Imperva 都能保護企業免受最複雜的機器人攻擊，瞬間阻擋所有惡意存取，同時最大限度地減少對合法流量的影響，確保企業資產和用戶資料受到完善防護。

資料來源：Imperva