総務省・警察庁・NICT、家庭用IoT機器を悪用する「レジデンシャルプロキシ」の実態を公表-不正送金被害の約44%で悪用、対策アライアンスも設立|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年07月22日更新日時: 2026年07月22日

総務省と警察庁は2026年7月21日、情報通信研究機構(NICT)と共同で、家庭用のルーターやネットワークカメラといったIoT機器が知らないうちにサイバー攻撃の中継地点として悪用される、いわゆるレジデンシャルプロキシの実態を取りまとめて公表しました。NICTが公表したファクトシートによれば、2024年中に発生したインターネットバンキングの不正送金事犯のうち、少なくとも1,918件・被害額約28.9億円でレジデンシャルプロキシが悪用されており、これは被害件数全体の約44%、被害額全体の約33%にのぼります。あわせて総務省・警察庁は、業界団体・通信事業者・セキュリティ事業者等が連携する「レジデンシャルプロキシ対策アライアンス」を設立し、社会全体での対策推進に乗り出しました。攻撃者が一般家庭のIPアドレスに紛れて追跡を逃れるこの手口は、当サイトでも既報のNetNutやBADBOX 2.0といった大規模ボットネットの根幹をなす仕組みであり、今回の公的機関による実態公表は、この脅威が国内でも無視できない規模に達していることを裏付けるものです。

サマリー

総務省・警察庁・NICTは2026年7月21日、家庭用IoT機器を悪用するレジデンシャルプロキシの実態をまとめたファクトシートを共同で公表しました
レジデンシャルプロキシとは、一般家庭のインターネット回線に接続されたIoT機器が第三者の通信を中継する仕組みで、通信先には家庭に割り当てられたIPアドレスが記録されるため、攻撃者の所在の追跡や不正検知の回避に悪用されます
NICTの観測では、2026年1月以降、1日あたり最大約2万7,000のIPアドレスがレジデンシャルプロキシの出口ノードとして観測されており、国内には少なくとも数万台規模のレジデンシャルプロキシが存在すると推定されています
警察庁の分析では、2024年中のインターネットバンキング不正送金事犯のうち、少なくとも1,918件(被害額約28.9億円)でレジデンシャルプロキシが利用され、被害件数全体の約44%、被害額全体の約33%を占めました
悪用されるのは、無料での動画視聴をうたうストリーミングデバイスのほか、ルーター、ネットワークカメラ、デジタルフォトフレーム等で、無料VPNや帯域提供サービス、提供元不明なアプリを通じて利用者が気づかないままレジデンシャルプロキシ化する事例も確認されています
総務省・警察庁は、社会全体での対策を推進するため、関係省庁・業界団体・電気通信事業者・セキュリティ事業者等が連携する「レジデンシャルプロキシ対策アライアンス」を設立しました

1 整理表
2 レジデンシャルプロキシとは-なぜ攻撃者に悪用されるのか
3 数字が示す国内の深刻な実態
4 利用者が意図せず加担してしまう構造
5 レジデンシャルプロキシ対策アライアンスの設立
6 利用者・事業者が取るべき対策
7 情報システム部門への示唆
8 出典

整理表

項目	内容
公表日	2026年7月21日
公表主体	総務省、警察庁、情報通信研究機構(NICT)
公表資料	ファクトシート「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」
レジデンシャルプロキシの定義	家庭用回線に接続されたIoT機器が第三者の通信を中継する仕組み
出口ノードの観測規模	2026年1月以降、1日あたり最大約2万7,000のIPアドレス
国内推定台数	少なくとも数万台規模
不正送金での悪用実態(2024年)	1,918件、被害額約28.9億円(件数の約44%、被害額の約33%)
悪用される機器	動画ストリーミングデバイス、ルーター、ネットワークカメラ、デジタルフォトフレーム等
意図せぬ加担の経路	無料VPN、帯域提供サービス、提供元不明のアプリ等
新設された枠組み	レジデンシャルプロキシ対策アライアンス

レジデンシャルプロキシとは-なぜ攻撃者に悪用されるのか

レジデンシャルプロキシは、一般家庭向けのインターネット回線に接続されたIoT機器が、第三者の通信を中継する仕組みです。中継された通信の宛先(Webサービス等)には、その家庭に割り当てられたインターネット回線のIPアドレスが記録されます。この点が、攻撃者にとって決定的な価値を持ちます。

企業や金融機関の多くは、不正アクセス対策として、データセンターやVPN事業者に割り当てられた業務用のIPアドレスからのアクセスを警戒し、ブロックする仕組みを導入しています。しかし、レジデンシャルプロキシを経由した通信は、ごく普通の家庭からの正常なアクセスとして記録されるため、こうしたアクセス制御や不正検知をすり抜けやすくなります。当サイトで既報のGoogle・FBIによるレジデンシャルプロキシ網NetNut(Popa)の摘発の記事でも解説したとおり、攻撃者からすれば、データセンター由来としてブロックされやすい経路ではなく、家庭からのアクセスに偽装できる経路で攻撃トラフィックを流せることに大きな価値があるのです。この仕組みを成立させるため、レジデンシャルプロキシ事業者は住宅用IPアドレスを大量に確保する必要があり、そのために家庭用機器へ気づかれないままコードを常駐させる手法が使われてきました。

数字が示す国内の深刻な実態

今回のファクトシートで特に注目すべきは、NICTと警察庁がそれぞれ示した具体的な数字です。

NICTのサイバー攻撃観測網NICTERによる調査では、2026年1月以降、1日あたり最大で約2万7,000のIPアドレスが、レジデンシャルプロキシの出口ノード(実際に第三者の通信を中継するIoT機器・端末)として観測されています。ここから、国内には少なくとも数万台規模のレジデンシャルプロキシが存在すると推定されています。

さらに深刻なのが、警察庁による不正送金事犯の分析です。2024年中に発生したインターネットバンキングに係る不正送金事犯のうち、少なくとも1,918件でレジデンシャルプロキシが利用されており、その被害額は約28.9億円にのぼります。これは、同年の不正送金被害の件数全体の約44%、被害額全体の約33%を占める規模です。つまり、国内のインターネットバンキング不正送金の実に4割以上で、攻撃者が自らの所在を隠すためにレジデンシャルプロキシを悪用していたことになります。これらの結果は、レジデンシャルプロキシがサイバー犯罪やサイバー攻撃を支える基盤として、国内でも広く利用されている現状を浮き彫りにしています。

利用者が意図せず加担してしまう構造

レジデンシャルプロキシの厄介な点は、機器の所有者である一般利用者が、自分の機器が悪用されていることに気づいていないケースが多いことです。ファクトシートでは、悪用される機器やサービスの具体例が挙げられています。

まず、テレビに接続して無料で国内外の動画を視聴できるなどとうたう動画ストリーミングデバイスが典型例として挙げられています。このほか、ルーター、ネットワークカメラ、デジタルフォトフレームといった、家庭に普及したIoT機器も悪用の対象となります。当サイトで既報の家庭のIoT機器がサイバー犯罪の踏み台になるBADBOX 2.0の記事で取り上げたように、購入した時点で既にマルウェアが組み込まれている機器も存在し、利用者には防ぎようがない場合もあります。

また、利用者自身の行動が引き金になる場合もあります。無料VPN、通信帯域を提供することで収益を得られるとうたうサービス、提供元が不明なアプリなどを利用することで、利用者が認識しないまま、自分の機器や端末がレジデンシャルプロキシとして動作してしまう事例が確認されています。さらに、レジデンシャルプロキシを介して家庭内ネットワークへ侵入され、IoT機器にDDoSボット等のマルウェアがインストールされ、DDoS攻撃の踏み台として二次的に悪用されるおそれもあります。この構造は、当サイトで既報の9,000台超のASUSルーターがバックドアを仕込まれボットネット化した事案とも共通しており、家庭用ネットワーク機器の侵害が、その所有者を被害者であると同時に加害の踏み台にしてしまう二面性を持つことを示しています。

レジデンシャルプロキシ対策アライアンスの設立

今回、総務省と警察庁は、レジデンシャルプロキシ対策を社会全体で推進するため、関係省庁・業界団体・電気通信事業者・セキュリティ事業者等が連携する枠組みとして、レジデンシャルプロキシ対策アライアンスを設立しました。

その背景には、この問題が単独の主体では解決しにくい構造的な課題であるという認識があります。IoT機器がレジデンシャルプロキシとなる経緯は様々で、機器の利用者自身が自分の機器の悪用に気づいていないケースが多いことから、まず利用者側にレジデンシャルプロキシの実態を知ってもらう必要があります。同時に、集約されていて発見しにくいIoT機器のレジデンシャルプロキシ化に対しては、機器の製造・販売事業者、電気通信事業者、セキュリティ事業者といった、業界を横断する多様な関係者が連携しなければ、社会全体での抑止は困難です。アライアンスは、こうした多様な関係者が連携する際の対処方針や必要な役割分担について協議することを目的としています。NICTも、このアライアンスへの参加をはじめとする関係機関との連携のもと、レジデンシャルプロキシの継続的な観測・分析を通じて実態把握を進めるとしています。

利用者・事業者が取るべき対策

ファクトシートでは、IoT機器がレジデンシャルプロキシとして悪用されるリスクを低減するための、利用者・事業者向けの対策例が示されています。

利用者向けには、不審な動画ストリーミングデバイス等を購入・利用しないこと、提供元が不明なソフトウェア・アプリ・無料VPN等を安易に利用しないこと、通信帯域を提供することで収益を得られるとうたうサービス等を安易に利用しないこと、そしてOSやIoT機器のファームウェアを常に最新の状態に保つことが挙げられています。

事業者向けには、組織で承認していない機器や端末を業務ネットワークへ接続させない管理や、ネットワーク分離といった適切な管理を行うことが推奨されています。この点は、いわゆるシャドーIT(組織が把握していない機器・サービスの業務利用)対策とも重なる論点であり、業務ネットワークに接続される機器の棚卸しと管理の徹底が、レジデンシャルプロキシ化の防止という観点からも重要になります。

情報システム部門への示唆

今回の公表は、二つの立場から情報システム部門にとって重要な示唆を持っています。

一つは、防御側としての立場です。自社のWebサービスや金融取引システムが、レジデンシャルプロキシ経由の不正アクセスにさらされているという前提に立つ必要があります。IPアドレスがデータセンター由来かどうかだけで正常・不正を判断する従来型のアクセス制御は、家庭用IPアドレスに偽装するレジデンシャルプロキシに対しては有効に機能しません。IPレピュテーションだけに頼らず、デバイスフィンガープリントや行動分析、取引パターンの異常検知など、多層的な不正検知の仕組みを組み合わせることが求められます。特に、当サイトで既報の中国製Webカメラやルーターなどの通信機器を排除すべき理由でも触れたように、安価なIoT機器の中にはセキュリティ管理が不十分なものや、意図的にバックドアが仕込まれているものも存在するため、調達段階からの機器選定が重要です。

もう一つは、自組織の機器が加害の踏み台にされないための立場です。事業者向けの対策として示されたとおり、業務ネットワークに接続される機器の棚卸しと、承認外機器の接続防止、ネットワーク分離は、自社のIoT機器やネットワーク機器がレジデンシャルプロキシ化・ボットネット化することを防ぐうえで基本的かつ効果的な対策です。三重県庁でのUSBメモリーからのマルウェア検知事例のように、組織が把握していない機器が業務環境に紛れ込むリスクは常に存在します。ファームウェアの定期的な更新と、ネットワークに接続されている機器の可視化を、平時の運用サイクルに組み込んでおくことをお勧めします。