一般家庭のインターネット回線やIoT機器をサイバー攻撃の中継点として悪用する「レジデンシャルプロキシ（Residential Proxy、RP）」が、金融犯罪などのインフラとして広がっている。

情報通信研究機構（NICT）の観測では、国内で1日平均最大約2万7千のIPアドレスがRPの出口として確認され、日本国内には少なくとも数万台規模のRP化された機器が存在すると推定されている。

警察庁が分析した2024年のインターネットバンキング不正送金では、全4369件のうち1918件でRPが悪用され、全体の約44％を占めた。被害額でも総額約86億9千万円のうち、RPを悪用した事案は約28億9千万円に上り、約33％を占めた。

警察庁、総務省、NICTなどは2026年7月、官民で対策を進める「レジデンシャルプロキシ対策アライアンス」を設立し、RPが犯罪に悪用されにくい環境づくりに乗り出している。

家庭のIPを攻撃の「踏み台」に

RP（レジデンシャルプロキシ）は、一般家庭などのインターネット回線に接続された機器を経由して、第三者の通信を外部へ送る仕組みである。犯罪者に悪用された場合、実際の攻撃者とは別の家庭用IPアドレスが通信元として記録される。

攻撃者が家庭用回線を利用する理由の一つが、通常の通信との判別の難しさである。

WEBサービスや金融機関では、データセンター由来のIPアドレスをBotやサイバー攻撃の可能性が高い通信として警戒する場合がある。一方、家庭用回線からの通信は一般利用者によるアクセスとみなされやすい。

このため、AWSやAzureなどのデータセンターを経由する通信よりも、家庭用IPを利用した通信の方が、WAF（Web Application Firewall）やIPアドレスの信頼性を評価する「IPレピュテーション」の監視をすり抜けやすくなる。

海外からのアクセスを制限している場合でも、日本国内の家庭用IPを出口として利用すれば、国内からの通信に見せかけることが可能になる。

国内で1日最大約2万7千IPを観測

NICTの2026年の観測では、日本国内で1日平均最大約2万7千のIPアドレスがRPの出口ノードとして確認された。

IPアドレスが時間とともに変化することなどを踏まえると、国内には少なくとも数万台規模のRP化された機器が存在すると推定されている。

多数の家庭用回線を経由して通信を分散させれば、攻撃者は特定のIPアドレスを長期間使用する必要がない。このため、攻撃元の特定や通信の遮断が難しくなる。

こうしたRPは、すでにインターネットバンキングの不正送金にも広く利用されている。

2024年の不正送金4369件のうち、RPを悪用した事案は1918件だった。被害額は全体の約86億9千万円に対し、RPを使った事案が約28億9千万円となった。

件数では約44％、被害額では約33％に達しており、RPが金融犯罪で主要な通信手段の一つとなっている実態が浮かぶ。

無料VPNや格安IoT機器から侵入も

家庭内の機器がRP化される経路は複数ある。

一つは、製造段階などで不正なプログラムが組み込まれたストリーミング端末やデジタルフォトフレームなどである。「有料放送を無料で視聴できる」などとうたう安価な製品や、提供元が明確でない機器には注意が必要となる。

壁紙アプリや無料VPNなどのソフトウェアに、第三者の通信を中継するSDK（ソフトウェア開発キット）が組み込まれている場合もある。利用者が認識しないまま、端末の通信機能が外部のプロキシサービスに利用される可能性がある。

「余っているインターネット回線を共有して収入を得る」ことをうたうアプリもある。こうしたサービスでは、利用規約に第三者の通信を中継する旨が記載されている場合があり、利用者自身が仕組みを十分理解しないまま参加する恐れがある。

このほか、IoT機器の設定不備や古いファームウェアの脆弱性を悪用され、利用者の意思に関係なくRP化されるケースも想定されている。

犯罪の通信元と誤認される恐れ

RP化による被害は、通信帯域を利用されることだけではない。

犯罪に使われた通信の出口が家庭のIPアドレスだった場合、捜査では通信契約者が確認対象となる可能性がある。本人が犯罪に関与していなくても、自宅の機器が攻撃の踏み台として利用されていれば、捜査への対応を求められる恐れがある。

さらに、RP化された機器が家庭内ネットワークへの侵入口となれば、同じネットワークに接続されたPCやスマートフォンなどへ攻撃が広がる可能性もある。

さらには、当該IoT機器を介して家庭内のネットワークに侵入され、情報の流出や、他の機器へのマルウェア感染拡大等の不利益が生じる危険性もでてくる。 自宅のネットワーク全体が危険にさらされるため、十分な警戒が必要だ。

提供元不明の機器や無料VPNに注意

個人が被害を防ぐには、提供元が不明な無料VPNや帯域共有アプリ、安価なストリーミング機器などを安易に利用しないことが重要となる。

IoT機器は信頼できるメーカーや販売経路から購入し、ファームウェアを最新の状態に保つ必要がある。メーカーによるサポートが終了した機器については、ネットワークから切り離すなどの対応も求められる。

企業や組織等では、使用する端末や回線がRPとして不正な通信に悪用されないよう、個人向けの対策に加えて、組織で承認していない機器や端末の業務ネットワークへの接続を防止することが重要となる。 また、業務用ネットワークとIoT機器等のネットワークを適切に分離し、ファイアウォールやアクセス制御の設定を適切に運用するなどの対策も求めらる。

組織が承認していない私物端末や未管理のIoT機器を接続させない「シャドーIT」対策も重要となる。

官民で「RP対策アライアンス」

RPの拡大を受け、警察庁、総務省、NICTと民間企業は「レジデンシャルプロキシ対策アライアンス」を設立した。

個々の利用者だけに対策を委ねるのではなく、インターネット接続事業者（ISP）、機器メーカー、セキュリティ事業者、行政機関などが連携して対応する。

NICTによる通信の観測、警察による犯罪捜査、総務省や業界団体による環境整備などを組み合わせ、RPが犯罪に利用されにくい環境を構築することが狙いである。

家庭のIoT機器が本人の知らないうちにサイバー犯罪の中継点となるRP問題は、利用者自身が被害者になるだけでなく、犯罪通信の出口として利用されるという特徴を持つ。

2024年のインターネットバンキング不正送金の約44％でRPが悪用された実態は、家庭用機器の安全管理が個人の情報保護だけでなく、社会全体のサイバーセキュリティにも関わる課題となっていることを示している。