nexsight cyber intelligence / signal online wire desk · issue 286
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脅威動向 / THREATS / RESIDENTIAL PROXY / NPA

警察庁がレジデンシャルプロキシ悪用で注意喚起 — 令和6年の不正送金1,918件・約28.9億円、家庭のIoT機器が踏み台に

警察庁と総務省、NICTは2026年7月21日に「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」を公表し、8月10日にはサイバー警察局便りVol.9で家庭内の機器が踏み台化している実態を改めて注意喚起した。NICTの観測では1日平均で最大約27,000件の出口ノードが国内で確認され、令和6年のインターネットバンキング不正送金では約44%がレジデンシャルプロキシ経由だった。

脅威動向 NEXSIGHT CYBER WIRE 編集部 5–6 min read
攻撃手法

警察庁と総務省、国立研究開発法人情報通信研究機構（NICT）は、家庭用のIoT機器が第三者の通信を中継する「レジデンシャルプロキシ」として悪用されている実態をまとめた資料を2026年7月21日に公表した。警察庁は続いて2026年8月10日に「サイバー警察局便りR8 Vol.9 家庭にある機器が悪用されています」を公開し、一般家庭で使われる動画視聴用の端末やデジタルフォトフレームなどが踏み台化していると注意を呼びかけた。

本件は、攻撃者が自らの所在を隠すために一般家庭の回線を経由する手口が、国内の不正送金事犯で既に4割を超える規模で確認されている点で重要だ。利用者が気づかないまま自宅の機器が加害側のインフラとして使われ、捜査の過程で利用者宅に確認が及ぶ可能性もあると警察庁は説明している。

何が起きたか — 警察庁・総務省・NICTが実態資料を公表、便りで家庭への注意を喚起

警察庁が公開した「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」（2026年7月21日付、警察庁・総務省・NICT連名）によると、レジデンシャルプロキシは一般家庭向けのインターネット回線に接続されたIoT機器が第三者の通信を中継する仕組みだ。通信先のサーバには中継した家庭に割り当てられたIPアドレスが記録されるため、本来の発信元の特定や正規ユーザーとの判別が困難になる。警察庁は、海外からの攻撃であっても国内の個人宅からのアクセスに偽装されることで、企業側の海外アクセス制限を回避できると指摘している。

NICTの観測では、2026年1月以降、1日平均で最大約27,000件のIPアドレスがレジデンシャルプロキシの出口ノードとして観測されており、国内に少なくとも数万台以上の規模で存在すると推定されている。

警察庁は同資料とサイバー警察局便りVol.9で、被害の広がりを具体的な数字で示した。令和6年中に発生したインターネットバンキングに係る不正送金事犯のうち、犯行時にレジデンシャルプロキシが用いられたものは少なくとも1,918件、被害額は約28.9億円に上り、件数全体の約44%、被害額では約33%を占めたと分析している。警察庁と総務省は同日、官民連携を進めるため「レジデンシャルプロキシ対策アライアンス」の設立も公表した。

どうやって家庭の機器が踏み台になるのか — 3つの経路

警察庁が示した資料は、IoT機器がレジデンシャルプロキシとなる経路を大きく3つに整理している。いずれも利用者が認識しないまま機能が動作する場合があるとしている。

1. プロキシ化ソフトウェアのインストールに伴うもの 壁紙設定や無料VPNサービスなどのIoT機器向けソフトウェアやアプリの中に、プロキシ機能を持たせるためのソフトウェア開発キット（SDK）が組み込まれている、あるいはレジデンシャルプロキシとして動作させるためのマルウェアが含まれている場合だ。利用者がこれらをインストールして使うことで、端末が中継ノードになる事例が確認されている。

2. 収益をうたう帯域共有サービスに伴うもの 「使用していない通信帯域（データ通信量）を共有することで収益を得られる」とうたう、いわゆる収益アプリやサービスを利用することで端末がレジデンシャルプロキシとなる事例だ。利用規約の中に記載があったり同意画面が表示されたりしても、利用者にとって分かりにくい場合があると警察庁は指摘している。

3. IoT機器自体に仕込まれた不正ソフトウェアによるもの 製造過程や流通過程で、動画ストリーミングデバイスなどにレジデンシャルプロキシとして動作させるためのマルウェアやダウンローダーが仕込まれている場合がある。インターネットに接続しただけで自動的に中継が始まったり、別のマルウェアを後から導入して中継ノード化したりする事例が確認されている。警察庁は、機器の脆弱性やセキュリティ設定の甘さを突かれて外部から侵入され、後から仕込まれる可能性にも触れている。

対象となる機器の例として、警察庁は「テレビに接続して無料で国内外の動画を視聴できます」などとうたって販売される動画ストリーミングデバイスのほか、デジタルフォトフレーム、ルータ、ネットワークカメラなどを挙げている。

悪用された場合の影響 — 自宅のIPが攻撃元として記録される

IoT機器がレジデンシャルプロキシとして悪用された場合、利用者自身が攻撃を行っていなくても、通信の発信元として利用者宅の回線に割り振られたIPアドレスや回線情報が攻撃先のサーバに記録される。警察庁は、利用者がサイバー攻撃を行った者と疑われて捜査への協力を求められる危険性があると説明している。さらに、踏み台化した機器を経由して家庭内ネットワークへ侵入され、情報の流出や他の機器への感染拡大が生じるおそれもあるとしている。

警察庁が示した対策 — 利用者が今すぐ確認できる4点

警察庁が公表した資料は、利用者自身が現時点で取り得る対策例として、次の4点を挙げている。いずれも同庁が実際に推奨として明記した内容だ。

  • 提供元不明のソフトウェア、アプリ、無料VPNを安易に利用しない。 アプリは信頼できる提供元から入手し、インストール時に開発元や利用規約を確認する。
  • 収益をうたう通信帯域提供サービスやアプリを安易に利用しない。 知らないうちに自身の端末や回線を攻撃者の通信に利用させることにつながる。
  • 不審な動画ストリーミングデバイスなどのIoT機器を使用しない。 本来有料であるはずのサービスを無料で利用できるとうたう製品や、相場と比べて安価すぎる製品の購入・使用を避ける。
  • OSやファームウェアを最新の状態に保つ。 パソコンやスマートフォンのOS、IoT機器のファームウェアのセキュリティ更新を適用し、メーカーのサポートが終了した機器は買い替えを検討する。

警察庁は、IoT機器を利用する事業者や組織に対しても、組織で承認していない機器の業務ネットワークへの接続を防ぐこと、業務用ネットワークとIoT機器のネットワークを適切に分離すること、ファイアウォールやアクセス制御を適切に運用することを追加の対策として示している。

家庭で「無料で動画が見られる」とうたう安価なストリーミング端末や、収益をうたう帯域共有アプリを使っていないか、購入後に一度も更新していない古いIoT機器がないかを今すぐ確認することが、警察庁が求める第一歩だ。心当たりがある場合は利用を停止し、信頼できる提供元の製品への置き換えと最新の更新適用を進めることが望ましい。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。