📊 事実
レジデンシャルプロキシの現状と被害
- レジデンシャルプロキシは2020年以降にサイバー攻撃のインフラとして認識され始めたソース3。
- 令和6年中のインターネットバンキングに係る不正送金事犯では、少なくとも1,918件がレジデンシャルプロキシを用いており、被害件数全体の約44%を占めるソース2 ソース3 ソース5。
- 同期間の不正送金被害額は約28.9億円であり、被害額全体の約33%を占め、約30億円に達するとの報告もあるソース2 ソース3 ソース4 ソース5 ソース6。
- 国立研究開発法人情報通信研究機構（NICT）の調査によると、令和6年1月以降、1日平均で最大約27,000のIPアドレスがレジデンシャルプロキシの出口ノードとして観測されているソース2。
- レジデンシャルプロキシは、一般家庭向けのインターネット回線に接続されたIoT機器が第三者の通信を中継する仕組みであり、国内に少なくとも数万台以上存在すると推定されているソース2 ソース6。
- 利用者は自身の機器が悪用されていることを認識していない場合が多いソース4。
- 海外では、レジデンシャルプロキシがDDoS攻撃やランサムウェア攻撃に悪用されていることが報告されているソース2。
対策の取り組みと推奨されるセキュリティ基準
- 2026年7月21日、家庭用IoT機器を悪用したサイバー攻撃への官民一体での対策推進が発表されたソース1 ソース5。
- 総務省及び警察庁はNICT等と連携して対策を推進し、「レジデンシャルプロキシ対策アライアンス」が設立され、業界団体、電気通信事業者、セキュリティ事業者等が連携して対策を協議するソース4 ソース6。
- 警察庁と総務省は、サイバー攻撃の実態を周知し、不審なアプリや機器を使わないよう呼びかける方針を発表したソース5。
- 総務省は「家庭用IoT機器を悪用するレジデンシャルプロキシの対策について（提言）（案）」に対する意見を令和8年7月22日から8月4日まで募集し、結果を踏まえ提言を公表する予定であるソース10。
- ドイツ連邦情報保安局（BSI）は2024年12月に、マルウェア「Badbox」に感染したデバイスを所有するユーザへ通知を行ったソース3。
- 米Googleは2026年1月に、世界最大級のレジデンシャルプロキシネットワークを停止させる措置を講じたソース3。
- 「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」において、2026年2月版のIoT機器に関する★3適合要件が公開されたソース9。
- 情報セキュリティ対策として、推測されにくいパスワード設定、多要素認証（MFA）の利用、IoT機器の初期設定パスワード変更が推奨されているソース7。
- 情報通信ネットワークは国民生活や経済社会に不可欠な重要インフラであると認識されているソース10。
💡 分析・洞察
- 家庭用IoT機器の脆弱性がサイバー犯罪の広範なインフラとして悪用され、インターネットバンキング不正送金による国民の財産被害が年間約28.9億円に達している事実は、国内治安と国民経済に直接的な脅威を与えている。
- 「レジデンシャルプロキシ対策アライアンス」設立や官民連携の推進は、国家レベルでの脅威認識と対応の緊急性を示唆しており、サイバー空間における日本の国益保護に不可欠な施策である。
- NICTによる大規模なIPアドレス観測や、利用者が機器の悪用を認識していない状況は、個々人の対策のみでは限界があり、サプライチェーン全体でのセキュリティ強化と、国民への効果的な啓発・教育が不可欠であることを示唆する。
- 国際的なプロキシネットワーク停止事例や他国の対策は、この問題が国境を越えるサイバー脅威であり、国際協力体制の強化が日本のサイバー防衛力向上に直接的に寄与することを示唆する。
⚠️ 課題・リスク
- レジデンシャルプロキシとして利用されるIoT機器が国内に数万台以上存在し、その多くが利用者に無自覚で悪用されている状況は、サイバー攻撃の足場が国民生活に深く浸透していることを意味し、将来的に国家の重要インフラへの大規模攻撃の踏み台となる潜在的リスクを高めている。
- 官民一体での対策推進やアライアンス設立は、対策の方向性としては妥当であるものの、具体的な対策費用の国民・企業への負担増や、中小零細企業へのセキュリティ導入強制による経済活動への悪影響が生じる可能性があり、国民負担回避の観点から慎重な制度設計が求められる。
- IoT機器の製造業者に対するセキュリティ要件（JC-STAR）は策定されたものの、既存の脆弱な機器に対する回収・改修義務や費用負担の明確化が不足している場合、セキュリティ強化の速度が遅延し、継続的なサイバー攻撃被害が発生するリスクがある。
- 国民が不審なアプリや機器の利用を避けるための周知活動は重要だが、情報リテラシー格差や高齢層への浸透不足により、対策の実効性が限定的となる可能性が高く、結果として不正送金被害の削減目標達成が困難となる。
主な情報源: IPA 情報処理推進機構 / 総務省 / デジタル庁 / 産経新聞 / 警察庁
コメント