概要

• 2026年6月、Read the Docsは過去最大規模かつ高度なDDoS攻撃を受けた事例
• 攻撃は10日間にわたり、1分間に550万リクエストという異常なトラフィックを記録
• 攻撃はグローバルかつ高度に分散し、従来のIPベース防御を回避
• Cloudflareやキャッシュ、レートリミットなど多層防御で可用性を維持
• 攻撃から得た教訓と今後の対策について解説

Read the Docs史上最大のDDoS攻撃の概要

• 2026年6月中旬から下旬にかけて発生した大規模DDoS攻撃
• ピーク時は 通常の100倍超 となる 毎分550万リクエスト を観測
• 攻撃期間は 約10日間 継続
• 攻撃は 従来型の単純なトラフィック集中 ではなく、 分散性・適応性 が特徴
• キャッシュを回避 するURLやリダイレクト、404ページなどを標的とした攻撃

攻撃の進化と特徴

• 従来は IPベースレートリミット で多くの悪用を防げていた状況
• AIクローラー の普及で、プロキシネットワーク経由のスクレイピング増加
• 今回の攻撃は以下の特徴を持つ
  • 圧倒的なトラフィック量 ：通常の10倍以上
  • グローバル分散 ：数百万のIP・数百のASNsから発信
  • ヘッダーやTLSのランダム化 ：シグネチャベース検知の回避
  • CDN自動防御の限界 ：Cloudflareの既知ボットネット検知を回避
  • キャッシュ回避 ：404や302リダイレクトを意図的に狙う
  • 適応的な挙動 ：防御施策に合わせて攻撃パターンを変化

防御と対応策

• Cloudflareによる キャッシュ・レートリミット・WAF の多層防御
• 攻撃は複数のRead the Docsドメインやサービスを同時に標的
• JavaScriptチャレンジ （Under Attack Mode）はAPI利用者や一般ユーザーに影響が大きいため、極力回避
• ターゲットを絞ったチャレンジやレートリミット、キャッシュ強化、エッジでの処理移管で対応

キャッシュ戦略

• CDNキャッシュ を最大限活用し、可能な限りオリジンサーバーへのリクエストを削減
• キャッシュ対象外のパス （404、302など）を極力減らすため、短時間のキャッシュも活用
• キャッシュコントロールヘッダー で短い有効期限でも攻撃面を縮小

レートリミットとフィンガープリント

• IPや国別 ではなく、 リクエスト内容やブラウザフィンガープリント で制御
  • TLS異常 ：自動化クライアントのTLS接続特性を検知
  • 異常なリクエストパターン ：リダイレクトや404の多発を検知し、ASNsやドメイン単位で制限
  • プロトコル不一致 ：User-AgentとHTTPバージョンの不一致など
  • クライアントフィンガープリント ：JA4などの手法を活用（今回の攻撃ではTLSパラメータのランダム化で回避された）
  • IPブロック分類 ：クラウドASNsには高い制限値、住宅系や小規模プロバイダーには低めの制限

ユーザー向けの「逃げ道」

• 完全なブロックやBAN はほぼ行わず、最悪でもJavaScriptチャレンジを提示
• チャレンジ突破後は 一定期間再チャレンジ不要 とし、正規ユーザーの利便性を確保

教訓と今後の指針

• IPブロックの限界 ：分散攻撃には効果が薄い
• キャッシュの徹底 ：全てのレスポンス（404, 302含む）をキャッシュ対象に
• キャッシュミス面の保護 ：動的リダイレクトや検索エンドポイントも極力エッジで処理
• ターゲット型チャレンジの有効性 ：ボット判定とレートリミットの組み合わせが実効性あり
• Infrastructure as Codeの重要性 ：TerraformでWAFやCDNルールを管理し、迅速かつ安全な運用
• AI・プロキシの普及でDDoSは今や一般的な脅威、大規模サービスだけでなく全てのパブリックサービスが標的となる時代

まとめ

• 攻撃後も低レベルの攻撃トラフィックは継続
• 多層防御とキャッシュ戦略 でインフラは以前より強固に
• 攻撃は終わりではなく「一時的な休戦」と認識し、今後も継続的な防御強化が必要