The Ghost in the Machine: Defending Against Shadow and Zombie APIs 🧟

In the高速な現代ソフトウェア開発の世界では、デジタルトランスフォーメーションの裏側で静かに危機が進行しています。これを「Ghost in the Machine（機械の幽霊）」と呼びます。セキュリティチームはフロントゲートの強化—メインAPIゲートウェイの保護や既知の脆弱性のパッチ適用—に集中する一方で、二次的で見えない攻撃面が拡大しています。

これはShadow APIとZombie APIの世界です。

2025年現在、API関連のデータ漏洩は過去最高に達しています。業界の最新レポートによると、組織の57%が過去2年間に少なくとも1件のAPI関連の侵害を経験しています。その理由は、存在を知らないものを守ることはできないからです。

この記事では、「APIスプロール」危機について深掘りし、ドキュメント化されていない（Shadow）および廃止された（Zombie）エンドポイントがどのように攻撃者のバックドアとなるのか、そしてこれらの幽霊を根絶するための現代的な防御戦略について解説します。

1. ゴーストの定義：Shadow vs. Zombie API

インフラを守るためには、まず脅威の性質を特定する必要があります。APIセキュリティの世界では、「資産管理」は単なるチェックボックスではなく、最前線です。

Shadow APIとは？

Shadow APIは、ドキュメント化されておらず、管理されておらず、セキュリティチームに知られていないことが多いAPIです。通常、開発者がタイトな締め切りや「クイックフィックス」を行うために作成します。

• 起源：開発者がテスト用、新機能のモバイルアプリ、またはサードパーティ連携のために新しいエンドポイントを公開したが、公式APIカタログやゲートウェイに登録し忘れる。
• リスク：中央のゲートウェイをバイパスしているため、認証（OAuth2/JWT）、レート制限、ロギングが欠如していることが多い。従来のWebアプリケーションファイアウォール（WAF）には見えません。

Zombie APIとは？

Zombie APIは、古くなった、廃止された、または「引退」したバージョンのAPIで、実際にはシャットダウンされていません。

• 起源：APIの「バージョン2」をリリースした際に、後方互換性を保つために「バージョン1」を稼働させ続けるケース。数か月、数年後もV1がアクティブで、元のチームは忘れている。
• リスク：これらのエンドポイントは古いセキュリティの亀裂のタイムカプセルです。古いライブラリを使用していたり、TLS 1.0/1.1の暗号化が未対応だったり、後のバージョンで修正された脆弱性にさらされている可能性があります。

2. 2025年のAPIスプロール危機：なぜ今？

APIの爆発的増加は単なるトレンドではなく、現代ビジネスの基盤です。しかし、いくつかの要因がこの「スプロール」を加速させています：

• マイクロサービスアーキテクチャ：アプリケーションはもはやモノリシックではありません。1つのユーザーアクションが20以上の内部API呼び出しを引き起こすことも。
• アジャイル & CI/CD：開発者は1日に何度もコードをプッシュします。セキュリティレビューが自動化されていなければ、ドキュメントはデプロイに追いつきません。
• 生成AIの統合：2024年と2025年にはAI駆動のAPIが急増。組織はLLMをデータに接続しようと急いでいますが、「ラッパー」APIを使い、数分で立ち上げられ、監査もほとんど行われません。
• サードパーティの増加：現代アプリは平均89のサードパーティAPIに依存しています。各接続は適切にインベントリされていなければ、「Shadow」エントリーポイントになり得ます。

3. 実例：ホラーケーススタディ（2024-2025）

Shadow APIやZombie APIの危険性は理論だけではありません。最近の侵害事例は、攻撃者がこれらの「忘れられた扉」をどう悪用しているかを示しています。

StripeレガシーAPI攻撃（2025）

高度なウェブスキミング攻撃で、攻撃者はStripeのコアインフラを狙ったわけではありません。代わりに、廃止されたレガシーエンドポイント（/v1/sources）を発見し、まだ稼働していたが、Stripeの最新APIの高度な詐欺検出やレート制限が適用されていないことを利用しました。この「Zombie」扉を使い、盗まれたクレジットカード情報を検証し、多数のオンライン小売業者に被害をもたらしました。

Optusの侵害（オーストラリア）

オーストラリア最大の通信事業者の一つであるOptusの大規模な情報漏洩は、「長らく忘れられていた」APIエンドポイントに起因します。このエンドポイントは内部テスト用で、インターネットに公開されることを想定していませんでした。Shadow APIだったため認証がなく、攻撃者は約1000万の顧客の個人情報をスクレイピングできました。

T-Mobileの侵害（2024）

T-Mobileは、7600万件の記録が漏洩した事件で、3,150万ドルの和解金を支払いました。原因は、攻撃者が必要以上のデータを提供するAPI（過剰データ露出）を悪用し、適切な認証チェックがなかったことにあります。これらは管理されていないエンドポイントに共通する脆弱性です。

4. 攻撃者の手口：ゴーストの発見方法

ハッカーは、あなたの内部ドキュメントにアクセスしなくても、Shadow APIを見つけることができます。彼らは次のような一般的な手法を使います：

• Fuzzing & Enumeration：ffufやGobusterのようなツールを使い、一般的なエンドポイントパターン（例：/api/v1/debug、/api/test、/v2/user_beta）を推測します。
• モバイルアプリの逆コンパイル：APKやIPAファイルを逆コンパイルして、分析やテレメトリーに使われるハードコーディングされたAPIエンドポイントを見つけ出します。
• トラフィックの傍受：Burp SuiteやOWASP ZAPのようなプロキシを使い、正規のアプリのトラフィックを監視し、実際にリクエストがどこに向かっているかを確認します。
• 公開リポジトリのスキャン：開発者はAPIエンドポイントやキーをGitHubの公開リポジトリに誤って漏らすことがあります。2025年には、30,000以上のPostmanワークスペースが公開され、ライブAPIキーや敏感なペイロードが含まれていることが報告されています。

5. OWASP API9:2023 – 不適切な資産管理

OWASP API Security Top 10（2023年改訂、2025年までのゴールドスタンダード）は、不適切な資産管理を重大なリスクとして挙げています。

OWASPによると、APIが脆弱になるのは以下の場合です：

• ホストの目的が不明確
• 環境（開発、ステージング、本番）が特定されていない
• ドキュメントがない、または古くなっている
• 廃止されたバージョンがサンセット計画なしに稼働し続けている

「Ghost in the Machine」から身を守るには、API9で指摘された可視性のギャップに対処する必要があります。

6. 2025年の多層防御戦略

Shadow APIとZombie APIに対抗するには、「静的セキュリティ」から「継続的な可視化」へシフトする必要があります。以下はその設計図です：

ステップ1：自動API発見

手動のスプレッドシートや開発者の正直さに頼ってはいけません。

• トラフィックミラーリング：アウトオブバンドのトラフィック分析を使い、すべてのネットワークトラフィックを監視します。ツールはゲートウェイに到達しないAPI呼び出しを特定します。
• eBPFによる発見：高性能なセキュリティツールは、eBPF（Extended Berkeley Packet Filter）を利用してLinuxカーネルレベルでAPIトラフィックを観測し、遅延を増やさずに100%の可視性を提供します。
• ログ分析：AWS CloudTrailやAzure Monitorなどクラウドプロバイダのログを精査し、予期しないIPアドレスやポートへのトラフィックを検出します。

ステップ2：継続的なガバナンス & ライフサイクル管理

すべてのAPIには「出生証明書」と「死亡証明書」が必要です。

• 集中カタログ：Apigee、Kong、MulesoftなどのAPI管理プラットフォームを「真実の唯一の情報源」として使用します。カタログにないAPIは自動的にブロックされるべきです。
• 積極的な廃止ポリシー：古いバージョンには厳格な「サンセット」期限を設定します。WarningやSunset HTTPヘッダーを使い、クライアントにエンドポイントの終了を通知します。
• 自動ドキュメント化：コードからOpenAPI（Swagger）仕様を自動生成するツールを使用します。コードが変更されると、ドキュメントも自動的に更新されます。

ステップ3：「シフトレフト」テスト

Shadow APIを本番に到達する前に特定します。

• CI/CD統合：API発見スキャンをビルドパイプラインに組み込みます。開発者が未ドキュメントの新しいルートを作成した場合、ビルドは失敗します。
• 静的解析（SAST）：ソースコードをスキャンし、公開ルートやハードコーディングされた資格情報を検出します。

ステップ4：「シールドライト」保護

すでに「外に出ている」エンドポイントを保護します。

• API行動分析：AI駆動のツールを使い、「正常」な挙動をベースライン化します。Zombie APIが突然トラフィックのスパイクを見せたら、即座にアラートを出します。
• ポジティブセキュリティモデル：”悪いものをブロック”（WAF）から、「良いものだけを許可」へ移行します。ドキュメント化されたAPIスキーマに準拠したトラフィックのみを許可します。

7. 2025年のトップAPIセキュリティツール

APIセキュリティ市場は成熟しています。2025年にShadow APIとZombie APIの発見と保護に最適なツールを紹介します：

ツール	主要特徴	最適用途
Levo.ai	eBPFを利用したランタイム発見と100%の可視性	DevSecOps重視のチーム
Traceable.ai	深い行動分析と”API Data Lake”によるフォレンジック	大規模エンタープライズ
Salt Security	ビジネスロジックの脆弱性とスプロールのAI発見	複雑なクラウドネイティブアプリ
Akto	軽量で開発者フレンドリーなAPIテストと発見	急成長スタートアップ
Pynt	開発者のIDEに直接統合された発見ツール	シフトレフトをソースから
Noname (Akamai)	ハイブリッドクラウド環境の統合ポスチャーマネジメント	規制産業（銀行・医療）

8. チェックリスト：APIゴーストを追放せよ

CISO、セキュリティエンジニア、開発者は、今日のAPIの状態をこのチェックリストで監査してください：

• [ ] 自動インベントリはありますか？（手動リストは既に古くなっています）
• [ ] 「V1」APIは本当に死んでいますか？（トラフィックログで古いバージョンのパターンを確認）
• [ ] モバイルアプリやJSバンドルに隠されたURLをスキャンしていますか？
• [ ] CI/CDにShadow検出のプロセスはありますか？
• [ ] テスト/ステージング環境はインターネットに公開されていますか？（これらはShadow APIの主要な生息地です）
• [ ] WAFはAPIスキーマ検証をサポートしていますか？

結論：可視性こそが究極の防御

「Ghost in the Machine」は影の中でのみ繁栄します。2025年に向けて、データを守る成功組織はAPI可視化（API Observability）を最優先します。

Shadow APIやZombie APIは単なる技術的負債ではなく、攻撃者への積極的な招待状です。自動発見の導入、ライフサイクル管理の徹底、そして最新のAI駆動セキュリティツールの採用により、あなたのAPIゲートウェイを単なる玄関口ではなく、デジタルエコシステム全体を守る包括的な盾に変えることができます。

忘れられたコードが最大のリスクにならないように、今すぐAPI発見の旅を始めましょう。