レジデンシャルプロキシとは IoT踏み台化と情シスの備え

脆弱性・脅威情報

家庭用のルータやネットワークカメラといったIoT機器が乗っ取られ、「レジデンシャルプロキシ」として犯罪の踏み台に使われています。2026年7月21日、総務省・警察庁・情報通信研究機構（NICT）は実態をまとめたファクトシートを公表し、官民一体の「レジデンシャルプロキシ対策アライアンス」を設立しました。一般家庭の話に見えますが、情シスにとっては「自社の機器・社員宅が踏み台にされないか」と「攻撃者がこの仕組みを使って自社を狙ってくる」という二重の意味を持ちます。

この記事でわかること

  • レジデンシャルプロキシとは何か、なぜ検知が難しいのか
  • どんな家庭用IoT機器が悪用され、被害はどれくらいの規模か（公的データ）
  • 情シスが「守る側」と「加害者にされない側」の両面で取るべき備え

何が起きたのか

2026年7月21日、総務省・警察庁・NICTは、家庭用IoT機器を悪用する「レジデンシャルプロキシ」の現状をまとめたファクトシートを公表しました。あわせて、業界団体・電気通信事業者・セキュリティ事業者などが参加する「レジデンシャルプロキシ対策アライアンス」を設立し、周知広報・対処方針・環境整備を協議していく方針を示しています。

背景にあるのは被害の深刻化です。警察庁の分析によると、2024年（令和6年）のインターネットバンキング不正送金事犯のうち、少なくとも1,918件（被害額約28.9億円）でレジデンシャルプロキシが利用されていました。これは件数ベースで全体の約44%にあたります。一般家庭の機器の管理不備が、そのまま金銭被害の温床になっている構図です。

レジデンシャルプロキシとは？

レジデンシャルプロキシとは、一般家庭のインターネット回線に接続されたIoT機器などを中継点（プロキシ）にして、第三者の通信を「家庭用のIPアドレス」から発信させる仕組みのことです。攻撃者は自分の本当の所在地（発信元）を隠し、あたかも普通の家庭からのアクセスであるかのように見せかけられます。

攻撃者にとっての「うまみ」は、正規の家庭からの通信と見分けがつきにくい点にあります。データセンターのIPや既知の攻撃元IPであれば、IPレピュテーション（評価）やジオブロックである程度はじけますが、契約中の一般家庭のIPアドレスから来る通信は、簡単にブロックできません。ブロックすれば正規利用者まで巻き込むおそれがあるためです。この「区別のつかなさ」こそが、不正送金やなりすましログインの成功率を押し上げています。

国内の観測でも規模は無視できません。2026年1月以降、1日あたり最大約2万7千のIPアドレスがレジデンシャルプロキシの出口ノードとして観測されており、数万台規模のIoT機器が悪用されていると推定されています。乗っ取られた機器が集まって攻撃基盤になるという意味では、DDoS攻撃を生むボットネットと地続きの問題です。

どんな機器が狙われるのか

ファクトシートで挙げられている悪用対象は、家庭にありふれた機器・サービスです。管理者が「セキュリティ機器」と意識しづらいものほど狙われます。

種類 悪用される主な理由
ルータ 初期パスワードのまま、ファーム未更新、管理画面の外部公開
ネットワークカメラ 脆弱性の放置、常時稼働で気づかれにくい
動画ストリーミング端末 更新が滞りがち、常時ネット接続
デジタルフォトフレーム等 存在自体を忘れられ、管理者不在になりやすい
無料VPN／帯域提供アプリ 利用者の同意のもと通信帯域が売られ、出口ノード化する（proxyware）

最後の「帯域提供アプリ（proxyware）」は特に見落としやすい落とし穴です。無料アプリや無料VPNの一部は、利用者の回線帯域を第三者に貸し出す（＝自分の端末を中継点にする）ことと引き換えに無料提供している場合があります。脆弱性を突かれて乗っ取られるだけでなく、利用者が気づかずに“同意”して踏み台になる経路もあるということです。

なぜ情シスに関係するのか

「家庭用機器の話」で片付けられないのは、情シスにとって次の二方向のリスクがあるからです。

① 攻撃が「正規の家庭用IP」から来る前提になる

自社のWebサービスや業務システムを守る側から見ると、レジデンシャルプロキシは従来のIPベースの防御を素通りする脅威です。海外IPのブロックや、明らかに怪しいIPの遮断だけでは、家庭用IPになりすました不正ログインやbotによる大量アクセスを止めきれません。だからこそ、IPに依存しない多要素認証（MFA）や、通信の中身・振る舞いで判断するWAFやリスクベース認証の重要性が増します。「どこから来たか」より「本人か・正常な振る舞いか」で見るゼロトラストの発想が、この文脈でも効いてきます。

② 自社・社員宅の機器が「踏み台（加害者側）」にされる

もう一方は、自社の管理下にある機器が悪用される側になるリスクです。支店・店舗・工場に置かれたルータやネットワークカメラ、テレワーク中の社員が自宅で使うルータなどが乗っ取られれば、犯罪の中継点にされ、自社のIPアドレスが不正通信の発信元として記録されかねません。レピュテーション低下や調査対応のコストは、情シスに跳ね返ってきます。

正直なところ、現場の実感として「支店の押し入れで何年も動いている古いルータ」や「社員が自宅で何を使っているか」まで完全に把握するのは容易ではありません。限られた人員で、目の届かない末端の機器まで面倒を見きれないもどかしさは、多くの情シスが抱えているはずです。だからこそ、棚卸しと更新の“仕組み化”、そして社員への地道な啓発が現実解になります。

情シスはどうすべきか

個別の長大なチェックリストを自前で作るより、まずは公的機関の指針に沿うのが近道です。要点は「使っている機器を把握し・更新し・不要なものは止める」に尽きます。

  • 機器の棚卸しと更新：ルータ・カメラ等のファームウェアを最新に保ち、初期パスワードは必ず変更。管理画面を不用意にインターネットへ公開しない。サポート切れ機器は入れ替える。
  • 社員教育・啓発：テレワーク環境の家庭用ルータの更新、出所不明な無料VPN・帯域提供アプリを業務端末に入れないこと（proxyware混入の防止）を周知する。
  • 公的リソースの活用：総務省・NICTのNOTICE（IoT機器の注意喚起の取り組み）や、IPAの対策のしおり、中小企業の情報セキュリティ対策ガイドラインを、社内啓発の下敷きに使う。

今回のアライアンス設立は「利用者の自衛だけでは限界がある」ことの裏返しでもあります。通信事業者やメーカーを巻き込んだ環境整備が進めば、乗っ取られた機器の早期検知・是正が期待できます。情シスとしては、アライアンスやNOTICEからの注意喚起を情報源として継続的にウォッチしておくとよいでしょう。

まとめ

  • レジデンシャルプロキシは、家庭用IoT機器を中継点にして家庭用IPになりすます手口。正規通信と見分けにくく、2024年の不正送金の約44%（約28.9億円）で悪用された。
  • 情シスには二方向のリスクがある。攻撃が家庭用IPから来る前提での防御（MFA・振る舞い検知・ゼロトラスト）と、自社・社員宅の機器を踏み台にさせない管理の両輪が必要。
  • まずは機器の棚卸し・更新・パスワード変更と社員啓発を徹底し、NOTICEやIPAの公的指針を活用する。対策アライアンスの動きも継続的にウォッチする。

出典

タイトルとURLをコピーしました