DDoS攻撃対策とは？種類・被害事例と、被害を抑える対策の進め方【2026年】

結論：DDoS攻撃対策は「被害を抑える・被害を想定する・加担を防ぐ」の3方向で進める

DDoS攻撃とは、IoTボットネット等を用いた多数の機器から大量の通信を標的に送りつけ、サービスを使えなくする攻撃だ。2024年12月から2025年1月にかけて、国内の航空事業者・金融機関・通信事業者が相次いで標的となり、空港の自動チェックイン機やネットバンキングのログインに障害が出た（内閣サイバーセキュリティセンター〔NISC、現・国家サイバー統括室〕、2025年2月4日）。

対策の核心は、NISCが示す三つの方向に集約できる。第一に、被害を抑える対策——CDN・WAF・専用の対策サービス、海外IPの遮断、サーバー設定の見直し、冗長化。第二に、被害を想定した備え——平常時の監視とアラート、ソーリーページ、通報先と業務継続計画。第三に、自社の機器が踏み台にならない対策——IoT機器の更新、オープン・リゾルバ対策。AIは、通常時の通信パターンの学習による異常検知や、機械学習によるボットの判別を速くする補助であり、基本対策の土台の上に乗る仕組みだ。

NISCは「全てのDDoS攻撃を未然に防ぐことはできない」と明記し、被害を想定した監視・連絡体制・業務継続計画の整備を合わせて求めている。AIだけに頼る設計は危険だ。

---

AIだけに頼らず企業が今すぐできることは、AIセキュリティ対策で解説しています。

関連記事AIによる情報漏洩の2つの経路とは？

DDoS攻撃とは何か：攻撃の流れと手口の種類

DDoS攻撃（Distributed Denial of Service）は、複数の踏み台を経由して標的のサービスに処理しきれない量の通信を送り、正規のユーザーを締め出す。単一の送信元からの攻撃（DoS）と異なり、送信元が世界中に分散しているため、IP単体で遮断しても次々と別のIPから攻撃が続く。

国内の被害事例で多く確認されているのは、ルータやIPカメラ等のIoTデバイスがマルウェアに感染し、IoTボットネットに組み込まれて攻撃に加担するパターンだ。利用者が気づかないまま自社の機器が踏み台になることもある（NISC、2025年2月4日）。

2026年10月時点で確認されている主な攻撃の種類と特性を整理する。

表1：DDoS攻撃の主な種類と特性（2026年10月時点）

攻撃種別	仕組みの概要	影響の性質	確認出典
UDPフラッド	大量のUDPパケットを送りつけ、回線帯域を埋める	回線帯域の枯渇	NISC（2025年2月）
HTTPフラッド	大量のHTTPリクエストでWebサーバの処理を圧迫する	アプリケーション層の処理枯渇	NISC（2025年2月）
TCP（SYN）フラッド	接続要求（SYN）を大量送信し、サーバの接続処理を埋める	接続処理の枯渇	NISC概要資料（2023年5月）
DNSフラッド	DNSサーバに大量のクエリを送り、名前解決を妨害する	DNS解決の停止	Cloudflare（2026年H1レポート）
ランサムDDoS（RDoS）	攻撃を示唆して暗号資産の送金を要求する脅迫型	業務停止の恐怖による金銭被害	JPCERT/CC（2020年9月）

Cloudflareの2026年上半期DDoS脅威レポート（2026年8月11日公表）によると、1Tbpsを超えるネットワーク層攻撃は上半期だけで935件に達し、第2四半期は805件と第1四半期の6倍超となった。同レポートは上半期のHTTP DDoSリクエストが約29.64兆件に上ったと報告している。攻撃の大型化・高速化は世界的な傾向だ（Cloudflare、2026年8月11日）。

---

DoS攻撃とDDoS攻撃の違いと、攻撃の種類の見分け方

DoS攻撃は単一の送信元から送りつける攻撃で、その送信元を遮断すれば止まる。DDoS攻撃は、乗っ取られた多数の機器（ボットネット）が一斉に標的へ通信を送る。AWSは、DDoS攻撃を「複数の侵害されたシステムが標的を大量のトラフィックで溢れさせようとする攻撃」と説明している。^{AWS公式ドキュメント} 送信元が分散するため、IPアドレス単位の遮断では追いつかない。

攻撃の種類は、何を使い切らせようとするかで三つに分けると、守り方が決めやすい。AWSの分類（ボリューム型・プロトコル型・アプリケーション層）に、AWSとNISCが挙げた攻撃名と対策を当てはめると次のようになる。^{AWS公式ドキュメントAWS 攻撃の例NISC注意喚起（2025年2月4日）}

攻撃の種類と、守り方の方向

種類	使い切らせるもの	攻撃の例	守り方の方向
ボリューム型（ネットワーク層）	回線やネットワークの容量	UDPフラッド。UDPリフレクションは、送信元を偽装して大きな応答を引き出し、偽装された宛先へ向けさせる	回線事業者・クラウド事業者のDDoS遮断サービス、CDN
プロトコル型（トランスポート層）	サーバー等の接続の状態管理	TCP SYNフラッド。3-way handshakeの最後の応答が返らず、接続が半開きのまま残る	サーバー等の設定見直し（3-way handshakeのタイムアウト短縮など）
アプリケーション層	アプリケーションの処理能力	HTTPフラッド（GET・POST）。クエリ文字列を変えてキャッシュを使わせず、オリジンサーバーに負荷をかける「キャッシュ回避」もある	WAF、同一IPからのしきい値を超えた大量リクエストの遮断、オリジンサーバーのIPアドレスの隠蔽
DNSサーバーを狙うもの	DNSサーバーの処理能力	DNSクエリフラッド。大量の問い合わせでDNSサーバーを使い切らせる	DNSを提供する事業者の保護サービス（AWS Shield AdvancedはRoute 53のDNSサーバーへのクエリフラッドに対する保護を提供する）

一つの攻撃に複数の種類が混ざることもある。NISCの注意喚起は、2024年末から2025年初の攻撃について、UDPフラッド攻撃やHTTPフラッド攻撃など複数種類の攻撃が行われたと述べている。

大量の通信を送らなくても、機器の脆弱性を突いて止める攻撃もある。2026年10月には、Cisco ASA・FTD のSSL VPN機能に、認証なしのネットワーク経由で機器を再起動させられるおそれのある脆弱性が見つかり、悪用が確認された（CVE-2026-76418の解説）。この場合の対策は回線の増強や遮断サービスではなく、ベンダーの修正版への更新になる。

---

実際の被害事例：2024年末〜2025年初の国内事例から学ぶ教訓

被害の実像を把握することは、対策の優先順位を決める上で欠かせない。

日本航空（JAL）：空港システムへの直撃

2024年12月26日午前7時24分ごろ、日本航空の社内外ネットワークをつなぐルータに、社外から大量のデータが送りつけられた。羽田空港の手荷物の自動チェックイン機が使えなくなり、ルータを一時遮断してシステムが完全復旧するまで約6時間を要した。顧客データの流出やウイルス被害は確認されていない（マイナビニュース、2025年1月10日）。

年末の繁忙期を狙ったタイミング、ルータという基幹機器への直撃、そして約6時間の復旧時間——これら三点が、事業継続計画の重要性を示す具体的な指標だ。

金融・通信事業者への相次ぐ攻撃

NISCは2025年2月4日の注意喚起で、2024年12月から2025年1月の年末年始にかけて、航空事業者・金融機関・通信事業者等へのDDoS攻撃が相次いだと公表した。みずほ銀行・りそな銀行などネットバンキングのログインへの影響も報告されている（マイナビニュース、同上）。

警察庁は「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和7年9月）で、事業者が遮断しても手口を変えて攻撃を続ける事例と、CDNを回避してオリジンサーバのIPアドレスを直接狙う攻撃を複数確認したと述べている。CDNの導入だけで安心するのは危険だと判断できる。

AIハッキングと情報漏洩を含めた近年の国内被害の全体像は、AIハッキングと情報漏洩の被害一覧で整理している。

---

DDoS攻撃の予兆と、攻撃者の動機

こんな兆候が出たら疑う

米CISA・FBI・MS-ISACの共同ガイド（2024年3月）は、DDoS攻撃を疑う兆候として次のようなものを挙げている。ただし、障害やメンテナンスなど悪意のない不具合とも似ているため、監視の記録と合わせて判断する。

• Webサイトやサービスが使えない、または大幅に遅い
• 帯域の使用量が急に跳ね上がる（ネットワークの混雑）
• 特定のIPアドレスからのリクエストや、特定のURLへの通信が急に増える
• サーバーやアプリが原因不明で落ちる、応答しなくなる
• CPU・メモリ・帯域の使用率が急に高いまま下がらない
• DNSサーバーやファイアウォールなど、ほかの機器にもつながりにくくなる
• DDoS対策の事業者から通知が来る

攻撃者は誰で、何が目的か

Cloudflareの顧客調査（2025年第1四半期）では、攻撃者に心当たりがあった回答者のうち、最も多かったのは「競合他社」（39%）で、国家や国家の支援を受けた攻撃者（17%）、不満を持つ利用者・顧客（17%）、金銭を要求する恐喝者（11%）が続いた。2025年第2四半期には、ランサムDDoS（身代金を要求する攻撃）の標的になった、または脅迫を受けたと答えた顧客の割合が前の四半期より68%増えた。政治的な主張のための攻撃（ハクティビズム）もあり、2026年上半期のレポートでは、ある軍事作戦の開始から72時間以内に、16か国・110組織へのDDoS攻撃の犯行声明が149件記録され、その約半数が政府機関を狙っていた。

攻撃の件数そのものも増えている。Cloudflareが緩和したDDoS攻撃は2025年通年で4,710万件と、2024年の2倍を超えた（Cloudflare DDoS脅威レポート）。

攻撃を受けたときの対応の流れ

DDoS攻撃への対策と導入の順番

NISCの注意喚起（2025年2月4日）は、対策を「被害を抑える」「被害を想定する」「加担（踏み台）を防ぐ」の三つに分けている。以下は、その内容と警察庁の令和7年上半期報告を基に、導入コストが低い順の四つの層に並べ直したものだ。第1層と第3層に「被害を想定する」備え、第1層と第2層に「被害を抑える」対策が入っている。

第1層：設定見直しと態勢整備（費用が小さい）

• パケットフィルタリング・SYNフラッド対策のタイムアウト設定などサーバの設定見直し
• オリジンサーバのIPアドレスが外部に露見しないDNS設定の見直し（CDN利用の有無にかかわらず必須）
• 自組織のIoT機器（ルータ・IPカメラ等）の把握とセキュリティパッチの適用（IPA推奨）
• オープンリゾルバ対策
• 警察・通信事業者等への通報先・連絡先一覧と対策マニュアル・業務継続計画の策定

第2層：CDN・WAFの導入とオリジンサーバの隠蔽

• CDNの利用とオリジンサーバのIPアドレスの完全な隠蔽（CDN経由以外のアクセスを遮断）
• WAF・IDS/IPS・UTM・DDoS対策専用アプライアンスの導入
• 同一IPからのしきい値超過リクエストの自動遮断

第3層：平常時監視とAIによる異常検知

• 平常時からのトラフィック監視と通信記録の保存
• 異常通信時のアラート設定（AIによる基準学習はここに位置する）
• 通信事業者・クラウド事業者が提供するDDoS遮断サービスの利用

第4層：冗長化とシステム分離

• サーバ・端末・通信回線装置・回線の冗長化（切替えが許容時間内に行えること）
• 重要度に基づくシステムの分離
• サービス停止時のソーリーページ設定とSNSでの状況通知

RDoS（ランサムDDoS）を受けた場合、JPCERT/CCは支払いを推奨しない——支払っても攻撃が収束する保証はなく、さらなる要求につながる可能性があるためだ（JPCERT/CC、2020年9月）。事前に警察への通報先を整理しておくことが重要だ（NISC推奨）。

---

対策手段の選び方：CDN・WAF・専用サービス・クラウド標準の保護

NISCは、被害を抑える手段として次の項目を挙げている。自社が何を守るのか、どれだけ止まってよいのかを決めてから、組み合わせを選ぶ。^{NISC注意喚起（2025年2月4日）}

DDoS対策の手段と、選ぶときの確認点

手段	向いている場面	確認点
海外等のIPアドレスからの通信遮断	国内からのアクセスだけを受けるシステム	正規の通信への影響を考えて実施する
CDNサービス	公開Webサイトの配信	オリジンサーバのIPアドレスを隠す。警察庁は、CDNを回避してオリジンを直接狙う攻撃を確認している警察庁（令和7年9月）
WAF・IDS/IPS・UTM・専用アプライアンス	自社の設備でアプリ層などを守る	導入しただけでは防げない。DDoSを防ぐための設定が必要
回線事業者・クラウド事業者の遮断サービス	回線を埋めるような大きな攻撃への備え	契約している範囲と、遮断までの手順を確認する
冗長化	止められない基幹サービス	切替えが許容される時間内に行えること

AWSを使っている場合、AWS Shield Standardは追加料金なしで自動的に提供され、より高い保護が必要なときに有料のShield Advancedを契約できる。^{AWS公式ドキュメント} 自社の環境にすでに含まれている保護を確認してから、不足分を足すと無駄が出にくい。

選ぶ順番は次のとおりだ。

1. 守るサービスに優先順位を付ける：コストをかけても守るサービスと、一定のダウンタイムを許せるサービスを分ける（NISC）。
2. 狙われやすい層を考える：回線を埋められるのか、サーバーの接続数なのか、Webの処理なのかで、上の表の手段が変わる。
3. 運用の手間を見積もる：自社設備での対策は設定と監視が要る。事業者のサービスは、契約範囲と連絡手順を確認する。

---

自社がDDoS攻撃に加担しないための対策

自社の機器が乗っ取られると、知らないうちに攻撃の踏み台になる。NISCは、次の対策を示している。^{NISC注意喚起（2025年2月4日）}

• オープン・リゾルバ対策：管理しているDNSサーバーで、外部の不特定のIPアドレスからの再帰的な問い合わせを許可しない設定にする。
• セキュリティパッチの適用：OSやアプリケーションの脆弱性を解消する追加プログラムを適用する。ルーターやIPカメラなどのIoTデバイスも対象になる。
• フィルタリングの設定：自組織から送信元IPアドレスを詐称したパケットが送信されないよう、設定を見直す。

---

AIで補う方法：段階別の仕組みと役割

NISCは「平常時のトラフィック状況を知っておくことで、異常なトラフィックを早期に発見できる」「異常な通信が発生した際に担当者にアラート通知が送られるようにする」と明記している（NISC注意喚起、2025年2月4日）。AIはこの平常時の学習と自動アラートの部分を担う技術として位置づけられる。

Cloudflareの開発者向け文書によると、同社の適応型DDoS防御では過去7日間の日次ピーク通信量から顧客ごとのプロファイルを毎日再計算し、送信元国・User-Agent・IPプロトコル・宛先ポートなどの次元ごとに基準を作る統計的な手法を用いる。HTTPの適応型保護では、機械学習モデルによるボット判別を補助的信号として組み合わせる（Cloudflare適応型DDoS防御に関する公式ブログ）。同社は2026年上半期レポートで「人手を介さず攻撃を検知・緩和している」と報告している。

表2：DDoS攻撃の各段階でのAIの役割と主な手法

段階	AIの役割	具体的な仕組み	参考出典
①平常時	通信量・国・プロトコルの基準を学習	過去の日次ピーク通信から統計プロファイルを作成、外れ値を除外	Cloudflare適応型DDoS防御資料
②攻撃開始	基準との乖離を検知しアラート	トラフィック急増・送信元集中等を自動検知、担当者に通知	NISC（2025年2月）
③攻撃中	ボットらしい通信を判別し自動遮断	機械学習モデルで自動化された通信を識別、CDN・WAF・専用サービスが遮断	Cloudflare（2026年H1レポート）
④事後	ログから手口の変化を把握	通信記録の保存・分析により次の攻撃への備えを更新	NISC（2025年2月）

重要な制約が一つある。Cloudflareの適応型保護はプロファイル作成に一定以上のリクエスト量が必要で、アクセス数が少ない小規模サービスでは基準が安定して作れない場合がある。導入前に自サービスの規模と適合性を確認することが求められる。

AIとセキュリティの関係全体を整理した背景として、AIセキュリティ対策の解説も参照できる。

---

AIの限界と注意点：過信が招くリスク

AIによる異常検知は強力なツールだが、四つの根本的な限界がある。

第一に、全ての攻撃を防ぐことはできない。NISCは明確に「全てのDDoS攻撃を未然に防ぐことはできない」と述べ、大規模な攻撃が発生する可能性も否定できないとしている（NISC注意喚起、2025年2月4日）。この前提に立った「被害を想定した対策」が不可欠だ。

第二に、手口の変化に追いつけない場合がある。警察庁の報告では、事業者が遮断しても手口を変えて攻撃を続ける事例が複数確認されている（警察庁、令和7年9月）。統計プロファイル学習に基づく防御は、攻撃者が送信元や手口を頻繁に変えた場合、学習基準の更新が追いつかないリスクがある。

第三に、CDNの外側からの直接攻撃には効かない。CDNを経由した通信を学習・緩和する仕組みは、CDNを回避してオリジンサーバを直接狙う攻撃に対しては機能しない。警察庁はこのパターンの攻撃を実際に確認している（同上）。CDNを使っている場合でも、オリジンサーバのIPアドレスが外部に露見しない設定が前提となる。

第四に、誤遮断のリスクがある。NISCは、海外IPアドレスの遮断は有効な手段である一方、正規の通信への影響も考慮して実施を検討するよう求めている。AIが判定した「ボットらしい通信」が正規ユーザーを含む場合、顧客への影響が出る。

---

ほかの侵入の手口と対策

DDoS攻撃は、ほかの手口と組み合わせて使われることが多い。関係する手口の仕組みと対策は、それぞれの解説ページにまとめている。

手口全体の見取り図と、AIを使った対策の優先順位はAIセキュリティ対策の解説で扱っている。

よくある質問

Q. DDoS攻撃はDoS攻撃と何が違うのか

DoS攻撃は単一の送信元から行う攻撃で、送信元のIPを遮断すれば止まる。DDoS攻撃は多数の踏み台（ボットネット）を使うため、送信元が分散しており遮断が格段に難しい。国内の2024〜2025年の被害はいずれもDDoSだった（NISC、2025年2月）。

Q. CDNを導入していれば安全か

CDNは有効な対策の一つだが、警察庁はCDNを回避してオリジンサーバのIPアドレスを直接狙う攻撃を複数確認している（令和7年9月）。NISCはオリジンサーバのIPアドレスを隠蔽することを対策の一つとして明示している。CDN導入と同時にオリジンサーバへの直接アクセスを遮断する設定が不可欠だ。

Q. 全てのDDoS攻撃を防ぐことはできるか

できない。NISCは「全てのDDoS攻撃を未然に防ぐことはできない」と明記し、被害を想定した監視・アラート・ソーリーページ・連絡体制・業務継続計画の整備を求めている（NISC、2025年2月）。防ぎきれない前提で被害を最小化する設計が求められる。

Q. 身代金を要求された場合はどうするべきか

支払いは推奨されない。JPCERT/CCは2020年9月の注意喚起で、支払っても攻撃が収束する保証はないと述べている。事前に警察への通報先を整理しておくことが現実的な備えだ（NISC推奨）。

Q. 自社のIoT機器が踏み台にされないためには何をすべきか

ルータやIPカメラ等の設定を適切に行い、セキュリティパッチを適用する（NISC、2025年2月）。IPAは自組織のIoT機器を把握することを推奨している。把握できていない機器は対策もできないため、機器台帳の整備が最初のステップになる。

---

まとめ

DDoS攻撃は手口が多様で、AIだけで完全に防ぐことはできない。2024〜2025年の国内事例が示すように、設定見直し・CDN・WAF・オリジンサーバの隠蔽・冗長化・連絡体制という多層防御の土台があって初めて、AIによる異常検知が最大の効果を発揮する。「全て防ぐ」ではなく「被害を最小化し、早く復旧する」設計で考えることが実践的な出発点だ。

AIセキュリティ全体の戦略を検討する際は、AIセキュリティ対策の解説も参照されたい。

---

参考文献

• CISA・FBI・MS-ISAC「Understanding and Responding to Distributed Denial-of-Service Attacks」（2024年3月）
  https://www.cisa.gov/resources-tools/resources/understanding-and-responding-distributed-denial-service-attacks
• AWS「How AWS Shield and Shield Advanced work」（AWS WAF Developer Guide） https://docs.aws.amazon.com/waf/latest/developerguide/ddos-overview.html
• CISA「Understanding Denial-of-Service Attacks」（ST04-015）
  https://www.cisa.gov/tips/ST04-015
• Cloudflare「DDoS threat report for 2025 Q1」
  https://blog.cloudflare.com/ddos-threat-report-for-2025-q1/
• Cloudflare「DDoS threat report for 2025 Q2」
  https://blog.cloudflare.com/ddos-threat-report-for-2025-q2/
• Cloudflare「DDoS threat report 2025 Q3」
  https://blog.cloudflare.com/ddos-threat-report-2025-q3/
• Cloudflare「DDoS threat report 2025 Q4」
  https://blog.cloudflare.com/ddos-threat-report-2025-q4/
• Cloudflare「DDoS threat report 2026 H1」
  https://blog.cloudflare.com/ddos-threat-report-2026-h1/
• 内閣サイバーセキュリティセンター（NISC）「DDoS攻撃への対策について（注意喚起）」令和7年2月4日 https://www.cyber.go.jp/pdf/news/press/20250204_ddos.pdf
• NISC「DDoS攻撃への対策について（概要）」2023年5月 https://www.nisc.go.jp/pdf/press/20230501NISC_gaiyou.pdf
• IPA「2025年度 年末年始における情報セキュリティに関する注意喚起」 https://www.ipa.go.jp/security/anshin/heads-up/alert20251216.html
• JPCERT/CC Weekly Report 2025-02-13 https://www.jpcert.or.jp/wr/2025/wr250213.html
• マイナビニュース「JALへのDDoS攻撃、ルータの設定ミスが原因か」2025年1月10日 https://news.mynavi.jp/techplus/article/20250110-3104063/
• 警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」令和7年9月 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
• Cloudflare「DDoS threat report 2026 H1」2026年8月11日 https://blog.cloudflare.com/ddos-threat-report-2026-h1/
• Techzine「DDoS attacks exceeding 1 Tbps are skyrocketing」2026年8月12日 https://www.techzine.eu/news/security/143555/ddos-attacks-exceeding-1-tbps-are-skyrocketing/
• ScanNetSecurity「JPCERT/CC：DDoS脅迫（ランサムDDoS）注意喚起」2020年9月8日 https://scan.netsecurity.ne.jp/article/2020/09/08/44536.html