【更新 2026-08-12】本記事を見直し、修正しました。主な修正点：IPAの2025年10月31日の注意喚起で挙げられた脆弱性の一覧にAdobe ColdFusion（CVE-2023-29300）を含めていましたが、同脆弱性は2024年4月18日の別の注意喚起で扱われているものだったため、出典の帰属を訂正しました。
ORB化とは、攻撃者に乗っ取られた機器が「攻撃の中継拠点（Operational Relay Box）」として、第三者への攻撃に使われてしまうことです。狙われるのはインターネットに面したVPN機器・ファイアウォール・ルータなど、いわゆる境界機器です。IPAは2024年4月と2025年10月に相次いで注意喚起を出しており、国内でも実際に被害が確認されています。
情シスにとってこの脅威が厄介なのは、自社が「侵入された被害者」であると同時に「他社を攻撃した発信元」にもなる点です。しかも境界機器はEDRを入れられず、侵害に気づく手立てが乏しい。パッチ適用が遅れがちな機器ほど狙われる、という構図があります。
この記事でわかること
- ORB化とは何か、なぜ攻撃者にとって都合がよいのか
- どんな機器が狙われ、実際に何が起きたのか（IPA・Mandiantの報告より）
- ORB化に気づきにくい構造的な理由と、情シスが今できる備え
ORB化とは何か
ORB（Operational Relay Box）とは、攻撃者が通信の中継に利用する、侵害済みの機器のことです。IPAは2024年4月18日の注意喚起で、ORBを「攻撃トラフィックの中継機能を設置させられる被害を受けたサーバ等の端末」と説明しています。
攻撃者はこうした機器を多数集めてメッシュ状のネットワークを作り、そこを経由して標的組織を攻撃します。Mandiant（Google Cloud）は2024年5月22日のレポートで、中国関与とみられるサイバースパイ活動がORBネットワークを常用していると報告し、その構成要素としてVPS（仮想専用サーバ）に加え、メーカーのサポートが終了した（EOL）ルータやIoT機器が多く含まれると指摘しています。
なぜ攻撃者はORBを使うのか？
攻撃元を隠し、防御側の「IPアドレスによる遮断」を無力化するためです。攻撃通信が世界中の正規の組織や家庭から来ているように見えるため、送信元IPで機械的にブロックする従来の運用が効かなくなります。
| 観点 | 従来の攻撃インフラ | ORBネットワーク経由 |
|---|---|---|
| 送信元IP | 攻撃者が借りたサーバ等に集中しやすい | 正規組織・一般家庭のIPに分散 |
| IPブロック | ある程度有効 | 効きにくい（正規利用者も巻き込む） |
| IoC（侵害指標）の寿命 | 比較的長い | 短い。ノードが入れ替わり続ける |
| 攻撃者の特定 | 手がかりが残りやすい | 帰属（アトリビューション）が困難 |
Mandiantはこの動きを、防御側のコストを引き上げ、攻撃側に有利な状況を作る狙いがあると評価しています（同社は「中程度の確度」としています）。防御側が積み上げてきたIoCベースの検知が効きにくくなる、という意味で厄介です。
なお、犯罪者が一般家庭のIoT機器を「レジデンシャルプロキシ」として悪用する問題も同じ構図ですが、そちらは商用サービス化された住宅IPの売買が中心です。あわせてレジデンシャルプロキシとは IoT踏み台化と情シスの備えもご覧ください。
入口は「ネットワーク貫通型攻撃」
ORB化の前段にあるのが、ネットワーク貫通型攻撃です。これは、インターネットとの境界に置かれた機器の深刻な脆弱性を悪用して、組織の内部に侵入する攻撃を指します。境界機器は定義上インターネットに露出しており、かつ「守る側の装置」であるため、破られたときの影響が大きいのが特徴です。
IPAが2025年10月31日の注意喚起（VPN機器等）で、悪用されるおそれのある脆弱性の例として挙げているのは次のとおりです。
| 製品 | CVE番号（例） |
|---|---|
| NetScaler ADC / Gateway | CVE-2025-7775 ほか |
| Ivanti Connect Secure 等 | CVE-2025-22457 |
| Fortinet FortiOS / FortiProxy | CVE-2024-55591 |
ColdFusionの事例は具体的です。IPAが2024年4月18日に公表した注意喚起（2025年10月31日の注意喚起からも参考として参照されています）によれば、Adobe ColdFusionの脆弱性（CVE-2023-29300）を悪用された国内の複数組織で、当該装置にwebshell（遠隔操作用の不正なプログラム）が設置されており、そこを足がかりに組織内部への侵入が試みられていました。台湾のセキュリティベンダTeamT5が2024年3月18日に公開した脅威情報では、この脆弱性により日本国内で少なくとも66台の装置が侵害を受けたとされています。
2025年10月31日の注意喚起は、企業のVPN機器だけでなく、家庭用ルータ・IoTルータについても同時に出されました。在宅勤務が定着した今、社員宅のルータは事実上の業務インフラです。ここが乗っ取られてDDoSボットネットに組み込まれたり、長期の潜伏拠点にされたりする、というのがIPAの指摘です。
ORB化されると自社に何が起きるのか
被害は二重になります。
- 被害者としての損害：情報窃取、内部ネットワークへの侵入、長期潜伏による継続的な侵害
- 加害側に立たされる損害：自社のIPアドレスから他組織への攻撃通信が出る。信用失墜、取引先からの照会対応、場合によっては訴訟や取引停止
実務上とくに重いのが後者です。「御社のIPから当社への攻撃を観測しました」という連絡が取引先やISPから来たとき、情シスはいつから・どの機器が・何をしたのかを説明しなければなりません。境界機器のログが数日分しか残っていなければ、その説明ができない。ここが痛いところです。
なぜ気づけないのか（現場目線の課題）
正直なところ、境界機器の侵害は「気づけなくても仕方がない」構造的な弱点をいくつも抱えています。
- EDRが入らない：VPN機器やファイアウォールはアプライアンスであり、サーバやPCのようにエージェントを入れて中を監視できません。社内の可視化を頑張っても、この一台だけは中が見えない。
- ログが本体に残らない・すぐ消える：機器のローカルログは容量が小さく、短期間でローテーションされます。侵害の調査を始めた時点で、肝心の期間のログが無いことは珍しくありません。
- 中継通信は「正常」に見える：ORBとして中継しているだけの通信は、マルウェアの派手な挙動とは違います。境界機器が外向きに通信すること自体は日常的で、異常として浮かび上がりません。
- 止められないから直せない：VPNやファイアウォールは24時間動いている前提の装置です。ファーム更新には再起動が伴い、業務影響の調整が要る。「来月の定期メンテで」と先送りされた数週間が、そのまま露出期間になります。
- 持ち主が分からない機器がある：拠点の増改築や部署統廃合を経て、誰が契約し誰が保守しているのか曖昧な機器が残る。保守契約が切れていて、そもそもパッチが提供されない機器も出てきます。
社員宅のルータとなると、さらに手が届きません。会社が買い与えたものではなく、機種もファームウェアの版もばらばら。ここは技術的な統制よりも、地道な周知と啓発に頼らざるを得ないのが実情です。
情シスはどうすべきか
やるべきことは、公的機関がすでに整理してくれています。自前で長いチェックリストを作る前に、まずは一次情報にあたるのが早道です。
IPAが2025年10月31日の注意喚起で示している対策の柱は、次のとおりです。
- ベンダ提供のパッチ・ファームウェアを速やかに適用する。サポートが終了した機器は使い続けずに更改する
- 管理インターフェースをインターネットに公開しない。不要なサービス・ポートを止める
- 推測されにくいパスワードに変更する（初期パスワードのまま運用しない）
- ASM（攻撃対象領域管理）等で外部公開状態を定期的に把握し、不審な通信を監視する
- ファイアウォール・IDS/IPS・ネットワーク分離による多層防御と、BCP／インシデント対応体制の整備
この中で最初に手を付ける価値が高いのは、「自社が外に何を公開しているかの棚卸し」です。パッチ適用の速度を上げるのは調整が要りますが、公開範囲を絞るのは自組織だけで判断できる場合が多く、費用対効果が高い。管理画面をインターネットから外すだけで、狙われる面はかなり減ります。
体制面の整備には、以下の公的リソースが実務的です。
- 中小企業の情報セキュリティ対策ガイドライン（IPA）：限られた人員での対策の優先順位づけに使えます
- セキュリティインシデント対応 机上演習教材（IPA）：「取引先からIPを指摘された」場面を想定した訓練シナリオを組むのに向いています
- 対策のしおり（IPA）：在宅勤務者向けにルータの設定見直しを呼びかける際の配布資料として使えます
侵害が疑われるときはパッチだけで終わらせない
すでに侵入されていた場合、脆弱性を修正しても攻撃者は残ります。webshellや不正なアカウント、窃取された証明書・認証情報は、更新後も有効なままだからです。
IPAも、パッチ適用と並行してログを確認し、ORB化を含む被害の有無を検証するよう求めています。実務上は、脆弱性の公表日より前の期間まで遡ってログを確認し、管理者アカウントの棚卸し、VPN利用者の認証情報とシークレットのリセットまでを一続きの手順として持っておくのが安全です。被害が確認された場合はIPAの情報提供窓口への届出も検討してください。
侵入後に何が起きるかは、標的型攻撃とは？手口と情シスの対策をわかりやすく解説や、APT-C-60の2026年攻撃、正規サービス悪用の手口もあわせて参考になります。境界機器以外にも、複合機など「PCではない機器」が踏み台になる例があります。
まとめ
- ORB化とは、乗っ取られた機器が攻撃の中継拠点にされること。自社は被害者であると同時に、他社への攻撃の発信元にもなります。
- 入口は境界機器の脆弱性。VPN機器・ファイアウォール・ルータ、とくにサポート終了機器が狙われます。国内でも実際の被害が確認されています。
- まずは外部公開状態の棚卸しから。EDRが入らずログも残りにくい以上、検知より「狙われる面を減らす」ほうが確実です。
出典
- VPN機器等に対するORB（Operational Relay Box）化を伴うネットワーク貫通型攻撃のおそれについて（IPA、2025年10月31日）
- 家庭用ルータ・IoTルータ等、ネットワーク境界のORB（Operational Relay Box）化のおそれについて（IPA、2025年10月31日）
- アタックサーフェスのOperational Relay Box化を伴うネットワーク貫通型攻撃について（IPA、2024年4月18日）
- IOC Extinction? China-Nexus Cyber Espionage Actors Use ORB Networks to Raise Cost on Defenders（Mandiant / Google Cloud、2024年5月22日）
