[ITmedia エンタープライズ] 狙われるのは企業だけじゃない、あなたの家は大丈夫？ 「レジデンシャルプロキシ」の脅威
情報漏えいやランサムウェア被害の報告が相次いでいます。ここまで数が多いと、「フロンティアAIの悪用だ」「未知なる脆弱（ぜいじゃく）性が攻撃されている」「某国の仕業だ」……と、それらを横につなげる何かを想像しがちです。しかし私はむしろ、これまで放置されてきた防御のほころびが一斉に突かれているのではないかと考えています。
例えば、優先度の低い脆弱性が放置されていることや、IDとパスワードのセットを購入した攻撃者が正面から侵入できてしまうことです。問題は、多くの場合、利用者レベルでは直接対処できないことです。インターネットでサービスを提供する事業者、個人データを収集している事業者には、ぜひいま一度体制のチェックをお願いしたいと思います。
そして利用者レベルでは「パスワードの使い回しはしない（パスワード管理ツールに任せる）」「多要素認証を必ず使う」「フィッシング詐欺対策として攻撃事例を学ぶ」といった基本を、再び見つめ直しましょう。
もう一つ知っておきたい「レジデンシャルプロキシ」という脅威
さて、今回取り上げたいのは、利用者レベルで考えなくてはならない、もう一つの脅威です。その名も「レジデンシャルプロキシ」。分かりにくい言葉ですよね。これは、一般家庭に置かれているインターネットにつながる「IoT機器」を踏み台にして、攻撃者が家庭の回線経由で自由に通信できるようにする仕組みです。
レジデンシャル＝住宅、プロキシ＝代理（通信）という意味です。余談ですが、分かりやすい話し方で現在300回を超えるエピソードを公開しているポッドキャスト「セキュリティのアレ」では、リサーチャーの辻伸弘さんが「おまえんち踏み台サービス」と表現していました。
この「おまえんち踏み台」はどのように実現しているのでしょうか。あなたの自宅のIoT機器が攻撃されているという認識はないはずです。実は、多くの場合攻撃のきっかけとなるのは、その住宅に住んでいる人、つまり「あなた」です。
IoT機器というと「そんなものウチにはないよ」と思うかもしれませんが、意外と知らぬうちにそういったデバイスが増えているはずです。多くの家庭にある「ブロードバンドルーター」もIoT機器ですし、テレビにつなげているストリーミングのための小型デバイスや、ゲーム機などもIoT機器の一種です。これらのうち幾つかは、自由にアプリをインストールできるようになっています。例えばストリーミングのデバイスであれば、利用者は各種配信サービスのアプリを入れて、映画やドラマを楽しんでいます。
そこに、もし悪意のあるアプリが混ざっていたとしたら……？
これらのIoT機器はインターネットに常時接続されているため、攻撃者としては非常に「おいしい」環境です。ひとたび悪意あるソフトウェアが入り込めば、攻撃者は外部からあなたのデバイスに接続し、そこからいくらでも不正な通信ができるでしょう。そのとき、被害組織から見た通信元は、あなたの家庭のインターネットの出入り口に当たるブロードバンドルーターになります。つまり、あなたの自宅が攻撃の“発信元”として見えてしまうのです。
そんなアプリは入れたことがない、という方もいるでしょう。しかし最近は、Web広告でも「無料で映画を楽しむ」「無料で音楽が聴き放題」といった文言のバナーをよく見掛けます。実は、こうした広告から誘導されてインストールするアプリこそが、あなたのIoT機器を「レジデンシャルプロキシ」化させるかもしれません。
先に紹介した警察庁「サイバー空間をめぐる脅威の情勢等」でも、レジデンシャルプロキシの脅威がたびたび紹介されています。加えて、警察庁と総務省が設立した「レジデンシャルプロキシ対策アライアンス」のWebページに掲載されている資料を見ると、2024年に頻発したインターネットバンキング不正送金事案でも、レジデンシャルプロキシが高い割合で悪用されていたという報告があります。この資料では、レジデンシャルプロキシ化につながるソフトウェアとして、使用していない通信帯域（データ通信量）を共有することで収益を得られるとする「収益アプリ」や「VPNアプリ」が目立つとしています。
もうアプリはインストールしない方がいい？
対策を考えてみましょう。正直に言うと、既に踏み台となってしまっている家庭が、それに気付くことは本当に難しいのです。かつては非力だったIoT機器も、今では複雑なタスクをこなせるほど高性能になっています。そのため、踏み台にされても「ちょっと動作が重くなった」といった変化が現れにくく、異変に気付けなくなっているはずです。
通常とは異なる量や時間帯の通信があるはずですが、一般家庭でネットワークトラフィックを毎日チェックしている人はほとんどいません。そのため、基本的にはマルウェア対策を強化することになります。しかし「収益アプリ」や「VPNアプリ」は、利用者自身が選んでインストールした“通常の”アプリです。マルウェア対策によるチェックも難しいのです。
一方、総務省と国立研究開発法人情報通信研究機構（NICT）は、インターネットサービスプロバイダー（ISP）各社と連携し、2019年2月にプロジェクト「NOTICE」を開始しました。IoT機器のセキュリティ対策を向上させ、サイバー攻撃の発生や被害を未然に防ぐための取り組みで、現在は一般社団法人ICT-ISACやIoT機器メーカー、SIerなども参画しています。
NOTICEは、サイバー攻撃に悪用されるおそれのある機器やマルウェア感染が検知された機器について、ISPを通じて利用者に通知し、改善を促す仕組みです。この通知が届いたときには、通知元が自分の契約しているISPかどうかを確認した上で、対策してください。契約していないISPや、それ以外の名前をかたっている場合は、フィッシングを疑ってください。
加えて言うならば、アプリを入れる機会そのものを減らすことも対策になります。もはやPCでは、OSの機能やWebブラウザがあればほとんどの作業ができるようになっているはずです。PCに不慣れな家族には、怪しいアプリはインストールしないというよりも「アプリは原則、追加でインストールしない」という方針にしてもいいかもしれません。いったんレジデンシャルプロキシ化を狙うソフトウェアがIoT機器に潜伏してしまうと、NOTICEでも発見は難しくなります。だからこそ、利用者自身がレジデンシャルプロキシを警戒しながら、インターネットを活用する必要があります。
セキュリティを高めれば利便性が下がる、利便性を追求すると危険度が高まるというのは、直感的に理解できる原則かと思います。技術が発展すればその両立は必ずできると信じています。しかし、ここ最近のインターネットの治安悪化を考えると、やや安全側にレバーを倒し、身や資産を守ることを考えねばならないかもしれません。セキュリティは誰かがやってくれるものではなく、自分自身が身を守るために必要なことです。まずは「レジデンシャルプロキシ」という言葉を知り、意識を向けてみてください。
関連記事
関連リンク
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.