日本のネットバンキング不正送金、4割超が一般家庭の回線を経由　政府3機関が対策組織を設立

日本の2024年におけるインターネットバンキング不正送金被害の44％が、一般家庭のインターネット接続を所有者に無断で経由する「レジデンシャルプロキシ」を悪用した攻撃であったことが、政府の共同報告書で明らかになった。これを受けて警察庁、総務省、情報通信研究機構（NICT）は2026年7月21日、共同で「レジデンシャルプロキシ対策アライアンス」を設立した。この攻撃は銀行の位置情報に基づく不正検知をすり抜けるため、格安のストリーミング機器や帯域共有アプリの利用には注意が必要である。

■一般家庭のIPを悪用した28.9億円の不正送金被害

2026年7月21日に発表された政府の共同報告書によると、2024年に日本国内で確認されたインターネットバンキングの不正送金被害のうち、1,918件、被害総額28.9億円（約1,900万ドル）が、所有者の知らないうちに一般家庭のインターネット接続を経由して実行されていた。これは不正送金の全件数の44％、被害額の約33％に当たる。

この被害は、銀行側が不審なログインをまったく検知していなかったために発生したのではない。銀行が主要な不正検知手段として利用している「ログイン元が口座保有者の地理的な活動範囲と一致するかどうか」を確認する仕組みが、攻撃者によって欺かれたためである。攻撃者は乗っ取った日本の家庭用機器を経由して取引を行い、犯罪目的の通信を、被害者のすぐ近くにある正規の家庭用IPアドレスからのアクセスに見せかけていた。

警察庁、総務省、情報通信研究機構（NICT）は7月21日、「レジデンシャルプロキシ対策アライアンス」の設立と、この問題の規模をまとめた調査報告書を共同で発表した。同アライアンスは、警察庁サイバー警察局サイバー企画課と総務省サイバーセキュリティ統括官室が共同で事務局を務める。レジデンシャルプロキシの脅威に特化した、名称を持つ複数機関の連携組織としては日本初となる。

報告書によると、レジデンシャルプロキシを経由した攻撃は、2024年の日本におけるネットバンキング不正送金件数全体の44％、被害額ベースで約33％を占めていた。これは一部の極めて高度でまれな攻撃手法ではなく、2024年に日本の銀行口座から資金を盗み出す際に使われた主要な手口だったことを示している。

■銀行の不正検知フィルターが突破される理由

この攻撃が有効である理由を理解するには、金融機関が利用している位置情報ベースの不正検知に、構造的な限界があることを知る必要がある。通常、顧客が普段とは異なる場所、例えば海外、見慣れない都市、既知のデータセンターやVPN事業者に登録されたIPアドレスなどからログインした場合、銀行のシステムはその活動を異常と判断する。そのうえで、取引を遮断したり、追加認証を求めたり、不正対策チームに警告したりする。この防御は、攻撃者が自身のサーバーを経由して通信している場合には機能する。

しかし、レジデンシャルプロキシはこの防御を完全に無効化する。トレンドマイクロの研究者らによると、この仕組みはネットワークスタックのレイヤー3およびレイヤー4で動作する。乗っ取られた家庭用機器が攻撃者のパケットを受信し、再カプセル化して標的に再送信する際、見かけ上の送信元を、その家庭のインターネットサービスプロバイダー（ISP）が割り当てたIPアドレスに置き換える。その結果、銀行側には犯罪者のサーバーからではなく、口座保有者の近隣住民が利用するような正規の家庭用IPアドレスからの接続として認識される。位置情報の確認を通過し、ログインが現地からのものに見えるのである。

この攻撃モデルは商用規模になると、個々の銀行のフィルターを破るだけにとどまらない。IPレピュテーション（IPアドレスの信頼性評価）や位置情報に基づくアクセス制御というカテゴリー全体を同時に無効化する。レジデンシャルIPのプールは膨大で、地理的に広く分散しているためである。トレンドマイクロの調査では、レジデンシャルプロキシ事業者が詳細な位置情報を伴う数百万のIPアドレスを提供しており、攻撃者が標的と同じ都市や近隣地域、さらには同じ郵便番号の出口ノードを選択できることが確認されている。

警察庁の捜査では、このプロキシ層が法執行機関による攻撃者の特定も著しく困難にすることが判明した。犯罪通信が正規の家庭用IPアドレスから外部に出るため、捜査機関は実際の犯人への接続経路を追跡する前に、中継に使われた機器を特定して押収しなければならない。

■主な感染経路：「格安ストリーミング機器」と「帯域共有アプリ」

共同報告書は、日本国内における主な感染経路として2つのルートを挙げている。いずれも、機器やアプリが表向きに提供する機能と、実際の動作との隔たりを悪用したものだ。

1つ目は、極めて安価なストリーミング機器である。「国内外のすべての動画コンテンツを無料で視聴可能」などとうたうセットトップボックスやメディアスティックは、工場出荷時に悪意あるファームウェアが組み込まれているか、初期設定時に利用者に知らせずバックドアをインストールすることが多いと、共同報告書は指摘している。

これらの機器は、Googleのセキュリティ審査を通過したメーカーが採用する認定済みのAndroid TVではなく、Googleが公開するAndroidの基盤である「Android Open Source Project（AOSP）」をベースに動作している。この違いはセキュリティ上、重大な意味を持つ。こうしたAOSP機器はGoogle Play Protectの対象外であるため、Googleのマルウェアスキャンや削除機能は、プリインストールされた悪意あるソフトウェアに対処できない。

FBIの注意喚起「PSA260312」によると、基本ファームウェアに工場出荷時から組み込まれたマルウェアは、工場出荷状態への初期化を行っても消去されず、最初の感染経路になったアプリやソフトウェアを利用者が削除しても残り続けるという。

2つ目の経路は、「未使用の帯域幅を共有して収入を得る」とうたうスマートフォンやPC向けのアプリである。FBIによると、こうした受動的な収入をうたう仕組みは、第三者による犯罪目的の通信が自宅の回線を通過することを十分に開示しないまま、機器をプロキシの出口ノードとして登録する場合がある。利用規約が隠されている、または意図的に分かりにくくされている無料VPNサービスも同様の仕組みで動作する。サービスを無料で利用できる代わりに、利用者の帯域幅が商品になっているのである。

世界的に見ると、これら2つの経路を通じて構築されたレジデンシャルプロキシのインフラは、極めて大きな規模に達している。Infobloxの脅威インテリジェンス調査によると、レジデンシャルプロキシネットワークの制御やアクセスに使用されるドメインへの月間DNSクエリ数は、2025年1月の約4,000億件から2026年4月には5,000億件超へ増加した。16カ月間で約25％の増加となる。

また、Gen Digitalが2026年6月に公表した集計報告書で引用された別の観測データによると、2026年1月以降だけで、レジデンシャルプロキシの通信に関連する悪意あるインシデントが740万件確認され、57万2,000人の利用者に影響を与えたという。

■対策アライアンスの設立とグローバルな摘発の限界

日本の3機関によるアライアンス設立は、他国の政府やテクノロジー企業が同様のインフラに対する取り締まりを強化する中で行われた。しかし、これまでの摘発は、レジデンシャルプロキシ市場が構造的に高い回復力を持つことも繰り返し示している。

2026年1月、Google脅威インテリジェンスグループ（GTIG）は、香港で設立された法人を通じて十数のブランドを運営し、摘発当時、約900万台の機器を出口ノードとして登録していた中国拠点のレジデンシャルプロキシネットワーク「IPIDEA」を解体した。

The Hacker Newsの報道によると、摘発前の7日間だけで、GTIGはIPIDEAの出口ノードを利用する550以上の異なる脅威グループを追跡していた。これには組織的なサイバー犯罪集団のほか、中国政府の支援を受けるスパイ活動グループ「Volt Typhoon」、ロシア軍情報機関に関連する「APT28」や「Sandworm」が含まれていた。これらのグループは攻撃時に実際の所在地を隠すため、IPIDEAを利用していた。

FBIは2026年1月、中国製のTVボックスやデジタルフォトフレームを、ボットネット「BADBOX 2.0」の主要な感染経路として具体的に挙げた正式な注意喚起を出していた。BADBOX 2.0は、IPIDEAのインフラを一部利用して運用されていた。

しかし、IPIDEAの解体後も、レジデンシャルプロキシ全体の利用は減少しなかった。Infobloxの観測データでは、摘発後もプロキシ関連ドメインへのDNSクエリに目立った減少はなく、影響を受けた顧客は数時間以内に競合事業者へ移行していた。

The Hacker Newsの報道によると、GoogleとFBIは2026年7月2日、イスラエルの上場企業Alarum Technologiesが運営する、200万台規模のレジデンシャルプロキシサービス「NetNut」も摘発した。また、TechTimesによると、オランダの法執行機関は2026年5月、ロシアと関係する「Asocks」のコマンドサーバー200台を押収した。ただし、163カ国ですでに登録されていた1,700万台の機器にインストールされたマルウェアは残された。

この傾向は一貫している。個別のネットワークを解体すれば、そのネットワークの能力を低下させることはできる。しかし、レジデンシャルプロキシサービスを商業的に成立させている需要や、その基盤となる機器群そのものをなくすことはできない。

■アライアンスができること、できないこと

レジデンシャルプロキシ対策アライアンスが掲げる役割は、啓発活動の調整、対応に向けた共通の政策枠組みの策定、レジデンシャルプロキシネットワークを大規模に検知・遮断するために必要な技術的・規制的環境の整備という3分野に及ぶ。

NICTの役割は、技術分析が中心になるとみられる。NICTはすでにインターネット上の脅威を観測する基盤「NICTER」を運用しているほか、「NOTICE」を通じてIoTマルウェアのエコシステムを調査している。NOTICEは、NICTと総務省がISPと連携し、許可された方法で日本のIPv4アドレス空間を調査して脆弱な家庭用機器を特定し、その所有者に注意を促す国家的な取り組みである。

一方、アライアンスが少なくとも直ちには実行できないのが、すでに普及している機器群からマルウェアを除去することだ。中国の工場からプロキシソフトウェアが基本ファームウェアに埋め込まれた状態で出荷されたストリーミング機器は、電源が入り、インターネットに接続されている限り、東京でどのような政策が策定されても出口ノードとして動作し続ける。

FBIの2026年3月の注意喚起によると、一部の悪意ある機器は、消費者が利用できる手段では修復できない。マルウェアがファームウェア自体に含まれているため、唯一の確実な対処方法は機器を交換することである。

アライアンスの設立は、レジデンシャルプロキシの脅威が、パッチの適用だけでは解消できないソフトウェア脆弱性とは異なるという認識の広がりを示している。これは製品カテゴリーの問題である。消費者が知らないうちに犯罪ネットワークのインフラへ組み込まれることでメーカーが利益を得る機器や、十分な説明をせずに利用者の帯域幅を収益化するアプリが存在するためだ。

日本の対応に警察庁、総務省、NICTが参加しているのは、それぞれ法執行、電気通信規制、研究基盤を担っており、この問題の3つの側面すべてを同時に所管する単一の機関が存在しないためである。

新華社の報道によると、警察庁が2026年3月に公表した報告では、2025年の日本のインターネットバンキング不正送金被害額は過去最高の104億円に達し、前年の87億円から増加した。この数字は、今回のアライアンス設立を取り巻くより広い背景を示している。今回の報告書で示されたレジデンシャルプロキシ経由の被害は、不正送金全体のうち、特に位置情報による検知の隙を突いたものに当たる。

■家庭や企業が取るべき対策

政府の共同報告書とFBIの2026年3月の注意喚起は、共通する一連の対策を推奨している。

一般消費者は、正規品の市場価格を大幅に下回る、見慣れないブランドの格安ストリーミング機器、特に有料コンテンツを無料で視聴できるとうたう機器の購入を避けるべきである。また、未使用の帯域幅を共有する見返りに受動的な収入を得られるとうたうアプリも利用しない方がよい。

すべての機器のファームウェア、スマートフォンのOS、PCのソフトウェアを最新の状態に保ち、メーカーによるセキュリティアップデートの提供が終了した機器は、使い続けずに交換することが推奨される。さらに、自宅ネットワークのIPアドレスがレジデンシャルプロキシノードとして登録されていないか、無料の公開ツール「spur.us/context/me」で確認できる。

企業は、すべてのIoT機器を専用VLANまたはゲストネットワークに配置し、財務情報や認証情報を扱うシステムから隔離すべきである。承認されていない機器が、指定されたネットワークセグメントの外部と通信するのを防ぐファイアウォールルールも必要となる。

また、DNSログを確認し、既知のレジデンシャルプロキシ制御ドメインへの接続がないか調査する必要がある。Infobloxの2026年6月の調査では、企業向けクラウドサービスの顧客の65％超で、すでにこうした接続が発生していた。その多くは、従業員が企業環境に持ち込んだ個人向けアプリやIoT機器を経由していた。

プロキシ関連ドメインへの通信をフィルタリングする「プロテクティブDNS（PDNS）」サービスは、ネットワークレベルで有効な検知手段となる。また、インストール済みのアプリやブラウザ拡張機能に、プロキシ機能を持つSDKコンポーネントが組み込まれていないか監査することも推奨される。

家庭と企業の双方に共通する対策として、Android TV機器を購入する前に、Play Protectの認定を受けているか確認することが重要である。Googleは、機器が検査を受け、Play Protectのマルウェアスキャン対象となる認定Android TVパートナーの一覧を公開している。無名ブランドのAOSP機器はこの一覧に含まれず、スキャンも行われないため、Googleによるファームウェアレベルのマルウェア対策を受けられない。

■日本の枠組みの意義と限界

日本のアライアンス設立は、明らかになった統計だけでなく、その背景にある制度設計の考え方においても注目に値する。従来のボットネットは、消費者がインストールする意思を持たなかった明確に悪意あるソフトウェアを通じて運用されてきた。これに対し、レジデンシャルプロキシのエコシステムは、安さや利便性をうたう機器、受動的な収入を約束するアプリなど、消費者が自ら購入またはダウンロードした製品への依存を強めている。このように利用者が自発的に導入しているという側面があるため、技術的対策だけでは不十分である。

レジデンシャルプロキシの脅威に対する連携体制を構築している他の先進国にとって、日本の枠組みは実行可能なモデルを示す一方、その限界も明確にしている。法執行、電気通信の監督、技術研究にまたがる複数機関の連携は、問題が3つの領域の交点に位置するため不可欠である。

しかし、規制や啓発だけでは、世界中の何千万もの家庭ですでに使われている機器からマルウェアを除去できない。また、あらかじめ感染した機器の出荷をメーカーにとって採算の合うものにしている、サプライチェーンの経済構造を変えることもできない。

2024年12月に発効し、2027年12月までに全面的な準拠が求められる欧州連合（EU）の「サイバーレジリエンス法（CRA）」は、EUで販売されるすべての接続機器にソフトウェアの透明性確保と脆弱性開示プログラムを義務付けることで、この経済構造を変えようとする最も包括的な規制上の試みである。

一方、米国では、第三者のマーケットプレイスを通じて販売される接続機器に対する同等の要件は存在しない。日本では、情報処理推進機構（IPA）が2025年3月に開始したIoT製品セキュリティラベリング制度「JC-STAR」が、IoT製品のセキュリティ機能を評価するための指標を提供しているが、現時点でメーカーの参加は義務ではない。

こうした制度が将来求める内容と、現在、世界の小売店で販売されている製品との間にある隔たりの中で、不正行為は今も続いている。

■注目ポイントQ&A

●レジデンシャルプロキシとは何ですか？なぜ犯罪者が銀行の不正検知を回避できるのですか？

レジデンシャルプロキシは、攻撃者のインターネット通信を、実在する一般家庭の機器、例えばストリーミングボックス、ルーター、スマートフォンなどを経由させる仕組みです。これにより、その家庭のISPが割り当てたIPアドレスが、見かけ上の送信元になります。

銀行などの金融サービスは、ログイン元の地理的位置を利用して不審な活動を検知します。しかし、接続元が適切な都市にある通常の家庭用IPアドレスに見えれば、不正検知フィルターが低リスクと判断する可能性があります。家庭用IPアドレスは実在する住宅で使われ、正規のISPから割り当てられているため、銀行の不正検知システムが参照するデータベースに、悪い評価情報が登録されていないことがあります。攻撃者のサーバーではなく、近隣住民のインターネット接続に見えることが、この攻撃が成立する理由です。

●工場出荷状態への初期化で、ストリーミング機器からレジデンシャルプロキシのマルウェアを除去できますか？

確実には除去できません。FBIの2026年3月の注意喚起によると、一部の悪意あるインターネット接続機器は、工場出荷時からマルウェアが組み込まれています。マルウェアが削除可能なアプリではなく、基本ファームウェアのイメージ自体に埋め込まれている場合、工場出荷状態に戻しても残り続けます。

こうした機器の確実な対処方法は、機器そのものを交換することです。工場出荷状態への初期化で削除できるのはアプリレベルのソフトウェアであり、製造時に書き込まれたファームウェアまでは置き換えられません。

●自宅のIPアドレスが犯罪用のプロキシ出口ノードとして悪用されているか確認する方法はありますか？

インターネットインテリジェンス企業Spurの無料公開ツール「spur.us/context/me」を利用すると、自宅ネットワークのIPアドレスがレジデンシャルプロキシノードとして登録されているか確認できます。

また、心当たりのないアップロード通信量の急増、予想外のインターネット速度低下、ルーターの通信ログに記録された見慣れないIPアドレスへの接続などは、機器が第三者の通信を中継している兆候となる可能性があります。

ネットワークレベルでの有効な対策は、すべてのスマートホーム機器を専用のゲストWi-FiネットワークまたはVLANに配置し、金融口座にアクセスする機器から隔離することです。これにより、機器が侵害された場合でも、家庭内ネットワークの他の部分へ侵入するための足掛かりとして利用されるリスクを抑えられます。

●プロキシノードとして事前登録されているリスクが最も高い家庭用機器のカテゴリーは何ですか？

日本の新しい報告書とFBIの2026年3月の注意喚起の双方が、最もリスクの高いカテゴリーとして挙げているのは、無名ブランドのAOSPベースのストリーミングボックスです。特に、正規品の市場価格を大幅に下回る価格で販売され、有料コンテンツを無料で視聴できるとうたう製品が該当します。

次にリスクが高いのは、無料VPNアプリや、未使用の帯域幅を共有することで受動的な収入を得られるとうたうアプリです。これらは、機器自体が信頼できるものであっても、SDKを介して機器をプロキシネットワークへ登録する可能性があります。

セキュリティサポートが終了したメーカーのスマートホーム機器やIoT製品も、リスクが高まります。工場出荷時にプロキシへ登録されていなくても、修正されていないファームウェアの脆弱性が、後から感染する経路になり得るためです。

元記事: Japan Launches Residential Proxy Alliance: Hijacked Home Devices Enabled ¥2.89B Bank Fraud