NICT・総務省・警察庁が警告する「レジデンシャルプロキシ」とは？家庭用IoTが犯罪の踏み台になる仕組みと対策

はじめに

2026年7月21日、NICT、総務省、警察庁は、家庭用IoT機器を悪用する「レジデンシャルプロキシ」の実態をまとめたファクトシートを共同で公表しました。

レジデンシャルプロキシは、一般家庭のルーター、ネットワークカメラ、動画ストリーミング端末などを経由して、第三者の通信を中継する仕組みです。

問題は、利用者が知らないうちに、自宅の機器やインターネット回線が不正アクセス、詐欺、不正送金などの通信経路として悪用される場合があることです。

NICTは、2026年1月以降、国内で1日あたり最大約2万7,000のIPアドレスをレジデンシャルプロキシの出口ノードとして観測しました。警察庁の分析では、2024年のインターネットバンキング不正送金のうち、少なくとも1,918件、被害額約28.9億円でレジデンシャルプロキシが使われていました。

レジデンシャルプロキシの記事を読み私自身もIoT(Furbo・スマートテレビ・swicthbot製品など）を使っているので対策と備忘録のために記載しました。

この記事では、レジデンシャルプロキシの仕組み、家庭への影響、確認方法、対処方法、企業やWebサイト運営者に必要な防御を初心者向けに解説します。

結論・要点

今回の発表で重要なのは、次の点です。

一般家庭のIPアドレスから通信するため、攻撃先には「日本国内の普通の利用者」に見えやすくなります。

海外IPの遮断や、データセンターのIPアドレスだけを対象にした防御では、十分に検知できない可能性があります。

この記事で分かること

この記事では、次の内容を説明します。

• レジデンシャルプロキシとは何か
• 一般的なVPNやプロキシとの違い
• 家庭用IoT機器が踏み台になる原因
• 自宅の機器が悪用された場合の影響
• 家庭で確認できる項目
• 感染や悪用が疑われる場合の対処
• 企業やWebサイト運営者が取るべき対策
• 今回の発表だけでは確認できない情報

対象読者・前提環境

この記事は、次の読者を対象としています。

• 家庭用ルーターやネットワークカメラを利用している人
• 動画ストリーミング端末を利用している人
• 無料VPNや通信帯域共有アプリを利用している人
• 企業の情報システム担当者
• WebサイトやAPIを運営している人
• SOC、CSIRT、セキュリティ運用担当者

特別なセキュリティ製品を導入していない一般家庭でも確認できる内容を中心に説明します。

何が起きたのか

NICT・総務省・警察庁がファクトシートを公表

NICTは2026年7月21日、総務省及び警察庁と共同で、ファクトシート「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」を公表しました。

資料では、レジデンシャルプロキシの仕組み、国内での観測状況、インターネットバンキング不正送金との関係、利用者と事業者が実施すべき対策が整理されています。

同時に、警察庁と総務省は、通信事業者、業界団体、セキュリティ関係者などが連携する「レジデンシャルプロキシ対策アライアンス」を設立しました。第1回会合は2026年8月下旬ごろに開催される予定です。

国内で最大約2万7,000のIPアドレスを観測

NICTの調査では、2026年1月以降、1日あたり最大約2万7,000のIPアドレスが、レジデンシャルプロキシの出口ノードとして観測されました。

出口ノードとは、攻撃者やサービス利用者の通信が、最終的にインターネットへ出ていく機器です。

NICTは、この観測結果から、国内に少なくとも数万台以上のレジデンシャルプロキシが存在すると推定しています。

ただし、約2万7,000という数字を、そのまま物理的な機器台数として数えることはできません。一般家庭ではIPアドレスが変わる場合や、複数の機器が同じグローバルIPアドレスを共有する場合があるためです。

不正送金の約44％で利用

警察庁の分析では、2024年中に発生したインターネットバンキング不正送金の少なくとも1,918件で、レジデンシャルプロキシが利用されていました。

被害件数では全体の約44％、被害額では約33％に相当します。

「被害の約3割」という説明は、主に被害額の割合を指します。

件数で見ると約44％であり、半数近くの不正送金に関係していたことになります。

自分に関係するのか

インターネットにつながる家庭用機器があれば関係する

レジデンシャルプロキシは、特別なサーバーだけの問題ではありません。

次のような家庭用機器が対象になります。

• 家庭用ルーター
• ネットワークカメラ
• 動画ストリーミングデバイス
• デジタルフォトフレーム
• Android TV系端末
• スマート家電
• スマートフォン
• パソコン
• 提供元不明のアプリ
• 無料VPNアプリ
• 通信帯域を共有して報酬を得るアプリ

公表資料では、動画ストリーミング端末、デジタルフォトフレーム、ルーター、ネットワークカメラなどが具体例として挙げられています。

利用者が同意している場合もある

すべてのケースが、脆弱性を悪用した不正侵入とは限りません。

利用規約や同意画面の中に、通信帯域の共有やプロキシとしての利用が書かれている場合があります。

しかし、説明が分かりにくく、利用者が意味を理解しないまま同意していることがあります。

例えば、次のような説明です。

未使用のネットワーク資源を共有します
サービス品質向上のため通信を中継します
余っている通信帯域を提供すると報酬が得られます

このような表現だけでは、第三者の通信が自宅回線を経由することを利用者が理解できない場合があります。

用語と全体像

レジデンシャルプロキシとは

簡単にたとえると、攻撃者が他人の家の玄関を借りて外出する仕組みです。

攻撃者本人の住所ではなく、玄関を貸した家庭の住所が記録されます。

正式には、一般家庭向けのインターネット回線に接続された端末やIoT機器が、第三者の通信を中継するプロキシとして動作する仕組みです。

通常の通信

攻撃者
   │
   │ 攻撃通信
   ▼
Webサイト

記録されるIPアドレス
＝攻撃者が使用した回線のIPアドレス

レジデンシャルプロキシを経由した通信

攻撃者
   │
   ▼
プロキシ事業者・制御サーバー
   │
   ▼
一般家庭のIoT機器
   │
   │ 家庭のIPアドレスで外部へ通信
   ▼
Webサイト

記録されるIPアドレス
＝一般家庭に割り当てられたIPアドレス

攻撃対象のWebサイトから見ると、日本国内の一般家庭からアクセスされたように見えます。

そのため、本当の通信元を追跡しにくくなります。

VPNとの違い

レジデンシャルプロキシという技術そのものが、直ちに違法になるわけではありません。

問題は、所有者に十分な説明がないこと、不正なソフトウェアで勝手に動作させること、犯罪通信を中継させることです。

家庭用IoT機器がプロキシになる原因

原因1：プロキシ機能を持つアプリやSDK

無料VPN、壁紙アプリ、動画アプリなどに、第三者の通信を中継するSDKが組み込まれている場合があります。

SDKは、アプリ開発に必要な部品をまとめた道具箱のようなものです。

正式にはSoftware Development Kitの略で、プログラムへ特定の機能を追加するための開発キットです。

アプリ開発者が通信帯域を収益化するため、プロキシ機能を持つSDKを組み込む場合があります。公表資料では、無料VPNや壁紙設定アプリなどにプロキシ用SDKやマルウェアが含まれる事例が示されています。

原因2：通信帯域を提供する収益アプリ

「使用していない通信量を共有すると報酬が得られる」と宣伝するサービスがあります。

利用者は報酬を受け取れますが、自宅回線を誰が何に使うかを十分に確認できない可能性があります。

公表資料は、知らないうちに端末や契約回線をサイバー攻撃者の通信に利用させる危険があるとして、安易に利用しないよう呼び掛けています。

原因3：製造・流通段階で仕込まれたマルウェア

一部のIoT機器では、購入前の製造・流通段階から、不正なソフトウェアやダウンローダーが組み込まれている事例が確認されています。

利用者が機器をインターネットへ接続すると、自動的にプロキシとして動作したり、追加のマルウェアをダウンロードしたりします。

この場合、利用者がアプリを追加していなくても被害が発生します。

初期化しても、ファームウェア自体に不正な処理が入っていれば、安全な状態に戻らない可能性があります。

原因4：脆弱性や設定不備から侵入される

ルーターやネットワークカメラに次の問題があると、外部から侵入される可能性があります。

• 古いファームウェア
• サポート終了製品
• 初期管理パスワード
• 推測しやすいパスワード
• 不要な管理ポートの公開
• UPnPによる意図しないポート開放
• インターネット側からの管理画面アクセス
• メーカーが修正していない脆弱性

侵入後にプロキシ用マルウェアを入れられると、家庭用機器が攻撃通信の中継点になります。

家庭に起きる影響

自分が攻撃者と疑われる可能性がある

攻撃先のアクセスログには、家庭に割り当てられたIPアドレスが記録されます。

利用者が攻撃を行っていなくても、攻撃通信の発信元として調査対象になる可能性があります。公表資料も、利用者自身が攻撃者と疑われる危険性を挙げています。

ただし、アクセスログにIPアドレスが残っただけで、直ちに回線契約者が犯人と判断されるわけではありません。

実際の調査では、通信記録、機器、アカウント、時間、操作内容などを総合的に確認する必要があります。

家庭内ネットワークへ侵入される可能性がある

プロキシ化された機器を入口に、家庭内の別の機器へ侵入される可能性があります。

インターネット
    │
    ▼
感染したIoT機器
    │
    ├── パソコン
    ├── スマートフォン
    ├── NAS
    ├── ネットワークカメラ
    └── 別のIoT機器

想定される被害は次のとおりです。

• 保存データの流出
• カメラ映像の漏えい
• 認証情報の窃取
• 他の機器へのマルウェア感染
• DDoS攻撃への参加
• 不正アクセスの中継
• 回線速度の低下

NICTは、レジデンシャルプロキシを介して家庭内ネットワークへアクセスされ、DDoSボットなどのマルウェアを導入されるおそれを示しています。

確認方法

まずルーターの接続端末一覧を確認する

家庭用ルーターの管理画面を開き、接続中の端末を確認します。

メーカーによって名称は異なります。

接続端末一覧
クライアント一覧
DHCPクライアント
ネットワークマップ
接続機器
LAN端末

次の端末がないか確認してください。

• 購入した覚えのない機器
• 用途が分からない端末
• 使っていない動画ストリーミング端末
• 古いネットワークカメラ
• サポートが終了した機器
• メーカー名が表示されない端末

スマートフォンでは、プライバシー保護のためランダムなMACアドレスを使用することがあります。

端末名やMACアドレスが不明だからといって、直ちに不正機器と断定してはいけません。

1台ずつ電源を切り、一覧から消える端末を確認すると対応関係を調べられます。

無料VPNや収益アプリを確認する

スマートフォン、Android TV、パソコンなどで、次のアプリを確認します。

無料VPN
帯域共有
通信量共有
パッシブインカム
ノード運用
プロキシ共有
余剰帯域による収益化

提供元、公式サイト、利用規約、通信帯域の共有に関する説明を確認してください。

公式アプリストアで配布されていることだけでは、安全性を完全には保証できません。

ファームウェアを確認する

ルーターやIoT機器の管理画面から、現在のファームウェアバージョンを確認します。

次の状態は要注意です。

• 自動更新が無効
• 数年間更新されていない
• メーカーサイトに製品情報がない
• サポート終了と記載されている
• 更新ファイルが提供されていない
• 販売元や製造元が分からない

公表資料では、OSとファームウェアを最新に保ち、メーカーのサポートが終了した機器は買い替えを検討するよう求めています。

OpenWrtやLinuxルーターで接続端末を確認する

コマンドの目的

LAN内で最近通信した端末とIPアドレス、MACアドレスを確認します。

実行場所

OpenWrt、Linuxルーター、Linuxゲートウェイ上で実行します。

ip neigh show

正常例

192.168.1.10 dev br-lan lladdr aa:bb:cc:dd:ee:01 REACHABLE
192.168.1.20 dev br-lan lladdr aa:bb:cc:dd:ee:02 STALE

REACHABLEやSTALEは、必ずしも異常を意味しません。

確認が必要な例

192.168.1.87 dev br-lan lladdr 12:34:56:78:9a:bc REACHABLE

IPアドレスやMACアドレスに心当たりがない場合は、DHCPリース情報や機器の電源を確認します。

判断方法

一覧に不明な端末があるだけでは感染と判断できません。

スマートフォン、テレビ、ゲーム機、プリンターなどと照合してください。

通信量の多い端末を確認する

コマンドの目的

IoT機器から不審な外向き通信が発生していないか確認します。

実行場所

対象機器の通信が通過するLinuxルーターや監視ポートで実行します。

sudo tcpdump -ni br-lan host 192.168.1.50

192.168.1.50は確認対象のIoT機器のIPアドレスへ置き換えます。

正常例

192.168.1.50.53000 > 192.168.1.1.53: UDP, length 42
192.168.1.50.44300 > 203.0.113.10.443: Flags [P.]

DNS問い合わせやメーカーのクラウドサービスへのHTTPS通信だけであれば、正常な可能性があります。

確認が必要な例

192.168.1.50.41000 > 198.51.100.20.1080
192.168.1.50.41001 > 198.51.100.21.3128
192.168.1.50.41002 > 198.51.100.22.8080

多数の外部IPへ継続的に接続している場合や、使用していない時間帯も大量通信している場合は確認が必要です。

ただし、ポート番号だけでプロキシ通信と断定することはできません。

注意事項

tcpdumpには通信先、IPアドレス、場合によっては暗号化されていない通信内容が記録されます。

取得ファイルには個人情報が含まれる可能性があります。第三者へ安易に公開しないでください。

感染や悪用が疑われる場合の対処方法

1. 疑わしい機器をネットワークから切断する

最初に、疑わしいIoT機器のLANケーブルを抜くか、Wi-Fi接続を解除します。

直ちに初期化するのではなく、可能であれば次の情報を保存してください。

• 機器名
• 型番
• シリアル番号
• MACアドレス
• IPアドレス
• ファームウェアバージョン
• 接続ログ
• DHCPリース情報
• 不審な通信の日時
• インストール済みアプリ
• 購入元

初期化すると、調査に必要なログや設定が消える場合があります。

2. ルーターの管理パスワードを変更する

Wi-Fiパスワードだけでなく、ルーターの管理画面へログインするためのパスワードも変更します。

次のようなパスワードは避けてください。

admin
password
12345678
製品名
電話番号
生年月日

WI-FIルータの裏のシールに書かれているPWの使用も推奨されません。

ほかのサービスと使い回していない、十分に長いパスワードを設定します。

3. ファームウェアを更新する

メーカー公式の管理画面や公式サポートページから更新します。

第三者サイトに置かれたファームウェアは使用しないでください。

更新前には、設定のバックアップを取得します。ただし、感染が疑われる設定を復元すると、問題まで戻る可能性があります。

4. 不要な外部公開設定を無効化する

次の機能が不要であれば無効化します。

• WAN側からの管理画面アクセス
• Telnet
• 不要なSSH
• UPnP
• DMZホスト
• 不要なポート転送
• 古いVPN機能
• WPS
• メーカーの不要な遠隔管理機能

設定変更後は、インターネット接続や必要なサービスが正常に動作するか確認してください。

5. 初期化または交換する

脆弱性悪用による侵入が疑われる場合は、メーカーの手順に従って初期化します。

次の場合は、初期化より交換を優先してください。

• メーカーが分からない
• サポートが終了している
• ファームウェアを更新できない
• 製造段階からのマルウェア混入が疑われる
• 初期化後も同じ不審通信が発生する
• 管理画面の証明書や更新機能が信頼できない

6. 重要アカウントのパスワードを変更する

家庭内ネットワークへの侵入が疑われる場合は、安全な別の端末と回線から次のパスワードを変更します。

• メール
• インターネットバンキング
• クレジットカード
• 通販サイト
• クラウドストレージ
• SNS
• ルーター管理アカウント

可能なサービスでは、多要素認証を有効にします。

動作確認

対処後は、機器を戻しただけで終わらせず、問題が解消したか確認します。

確認項目

不審な通信が停止したことを、数時間だけで判断しないでください。

時間帯や攻撃者の指令によって、通信が断続的に発生する可能性があります。可能であれば数日間監視します。

再発防止

IoT機器用ネットワークを分ける

パソコンやNASと、IoT機器を同じネットワークへ置かないことが重要です。

インターネット
      │
      ▼
家庭用ルーター
      │
      ├── 信頼ネットワーク
      │      ├── パソコン
      │      ├── スマートフォン
      │      └── NAS
      │
      ├── IoTネットワーク
      │      ├── テレビ
      │      ├── カメラ
      │      └── スマート家電
      │
      └── ゲストネットワーク
             └── 来客端末

IoTネットワークから、パソコンやNASへ直接アクセスできないようにします。

公表資料でも、事業者向け対策として、業務用ネットワークとIoT機器のネットワークを適切に分離することが挙げられています。

購入前にサポート体制を確認する

価格や機能だけでなく、次の項目を確認します。

• メーカーが明確
• 公式サポートページがある
• セキュリティ更新方針がある
• サポート期限が明記されている
• 更新履歴が公開されている
• 問い合わせ窓口がある
• 利用規約とプライバシーポリシーが確認できる

「本来は有料の動画を無料で視聴できる」と宣伝する不審な端末や、相場より極端に安い製品を避けるよう、ファクトシートでも注意喚起されています。

定期的に接続端末を棚卸しする

月に1回程度、ルーターの接続端末一覧を確認します。

使用していないIoT機器は、電源を切るだけでなく、ルーター側から接続情報やポート転送設定も削除します。

Webサイト運営者にも関係する理由

レジデンシャルプロキシは、家庭だけの問題ではありません。

公開WebサイトやAPIの防御にも大きく影響します。

IPアドレスだけでは判定できない

レジデンシャルプロキシ経由のアクセスは、日本国内の一般家庭IPとして記録されます。

そのため、次の対策だけでは不十分です。

• 海外IPの一律遮断
• データセンターASNの遮断
• IPレピュテーションだけの判定
• IP単位だけのレート制限
• 国内IPは安全という前提
• 1つのIPから少量なら正常という前提

公表資料でも、海外アクセスを制限したサーバーへ到達できるなど、企業のアクセス制御や不正検知を回避しやすい点が指摘されています。

多層的なリスク判定が必要

Webサイトでは、IPアドレスを廃止するのではなく、ほかの情報と組み合わせます。

リスク判定
├── IPアドレス
├── アカウント
├── セッション
├── 端末情報
├── 操作速度
├── ログイン失敗回数
├── URI遷移
├── 地域の変化
├── User-Agentの変化
├── Cookieの継続性
├── API利用量
└── 追加認証の結果

特に保護を強化すべき機能は次のとおりです。

• ログイン
• パスワード再設定
• メールアドレス変更
• 振込先変更
• 決済
• API
• スクレイピングされやすい検索機能
• アカウント作成
• 多要素認証の解除

推奨する判定例

同じIPから大量アクセス
    → IP単位で制限

多数の家庭IPから同じアカウントへアクセス
    → アカウント単位で制限

短時間でIPや地域が頻繁に変化
    → 追加認証

操作間隔が常に一定
    → Bot判定を強化

大量の失敗後に成功
    → セッションを再評価

高リスク操作を実行
    → 多要素認証を要求

「一般家庭IPだから許可する」という判定も、「家庭IPだから遮断する」という判定も適切ではありません。

レジデンシャルプロキシの疑いは、即時遮断ではなく、追加認証、レート制限、監視強化へつなげるリスク要素として扱う方法が現実的です。

レジデンシャルプロキシ対策アライアンス

警察庁と総務省は、社会全体で対策を進めるため、「レジデンシャルプロキシ対策アライアンス」を設立しました。

参加者には、次の関係者が含まれます。

• 警察庁
• 総務省
• NICT
• ICT-ISAC
• 日本サイバー犯罪対策センター
• NTTドコモビジネス
• KDDI
• JCOM
• ソフトバンク
• セキュリティ関係者
• 大学研究者

第1回会合は2026年8月下旬ごろに予定され、レジデンシャルプロキシの実態整理や、各関係者が実施する対策について協議される予定です。

ただし、攻撃手口、観測情報、事業者の対応状況などの機微な情報が含まれるため、会議内容のすべてが公開されるとは限りません。公開が適切と判断された範囲で議事概要が公表される予定です。

注意点・よくある誤解

「無料VPNはすべて危険」ではない

今回の発表は、無料VPNを一律にマルウェアと断定したものではありません。

提供元、収益モデル、利用規約、通信帯域の扱いが不明なサービスを、安易に利用しないよう注意を求めています。

「海外製品はすべて危険」ではない

今回のファクトシートでは、具体的なメーカー名、製品名、型番は公表されていません。

製造国だけを理由に危険と断定することはできません。

確認すべきなのは、更新体制、メーカーの透明性、サポート期限、利用規約、販売経路です。

「通信が遅いから感染している」とは限らない

通信速度の低下には、回線混雑、Wi-Fi干渉、ルーター性能、端末の更新など、多くの原因があります。

速度低下だけでは、レジデンシャルプロキシ化を判断できません。

セキュリティソフトだけでは確認できない場合がある

ルーター、ネットワークカメラ、動画端末などでは、一般的なパソコン向けセキュリティソフトを導入できません。

ネットワーク側で接続端末や通信先を確認する必要があります。

IPアドレスだけで犯人を断定できない

今回の問題は、IPアドレスと実際の通信実行者が一致しないことを示しています。

アクセスログのIPアドレスは重要な証拠ですが、それだけで人物や端末を断定することはできません。

まとめ

レジデンシャルプロキシは、一般家庭のIoT機器や回線を、第三者の通信の出口として利用する仕組みです。

2026年7月21日にNICT、総務省、警察庁が公表した資料では、国内で1日あたり最大約2万7,000の出口IPアドレスが観測され、少なくとも数万台以上の規模で存在すると推定されています。

2024年のインターネットバンキング不正送金では、少なくとも1,918件、約28.9億円の被害に関係していました。

家庭で優先すべき対策は、次のとおりです。

1. 提供元不明のアプリや無料VPNを避ける
2. 通信帯域を販売する収益アプリを避ける
3. 不審な動画ストリーミング端末を使用しない
4. ルーターとIoT機器を更新する
5. サポート終了機器を交換する
6. 接続端末を定期的に確認する
7. IoT機器をパソコンやNASと別ネットワークに分ける

Webサイト運営者は、国内IPや家庭IPを安全とみなさず、IP、アカウント、セッション、操作行動、多要素認証を組み合わせて判断する必要があります。

FAQ

Q1. レジデンシャルプロキシを利用するだけで違法ですか？

仕組み自体が直ちに違法になるとは限りません。

しかし、所有者の同意を得ずに機器をプロキシ化する行為や、不正アクセス、詐欺、不正送金などに利用する行為は問題になります。

Q2. 自宅のIPアドレスがプロキシとして使われているか確認できますか？

一般利用者が確実に判定できる公式の公開診断サービスは、今回のファクトシートでは案内されていません。

ルーターの接続端末、通信量、アプリ、ファームウェア、ポート転送設定などを確認します。

Q3. ルーターを再起動すれば解決しますか？

再起動だけでは、マルウェアや不正な設定は削除できない場合があります。

ファームウェア更新、設定確認、パスワード変更、必要に応じた初期化や交換が必要です。

Q4. 初期化すれば必ず安全になりますか？

必ず安全になるとは限りません。

製造段階からファームウェアやシステムへ不正な処理が組み込まれている場合、初期化しても問題が残る可能性があります。

Q5. 日本国内からのアクセスだけ許可すれば防げますか？

防げません。

レジデンシャルプロキシは、日本国内の家庭用IPアドレスから通信できるため、国外IPの遮断を回避する可能性があります。

Q6. 具体的に危険な製品名は公表されていますか？

今回確認したファクトシートには、具体的なメーカー名、製品名、型番、CVEは掲載されていません。

根拠なく特定製品を危険と断定しないことが重要です。

参考情報

• NICT「家庭用IoT機器を悪用するレジデンシャルプロキシの現状をまとめたファクトシートを公表」
• 警察庁・総務省・NICT「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」
• 警察庁「家庭用IoT機器を悪用したサイバー攻撃への官民一体となった対策の推進について」
• 警察庁「レジデンシャルプロキシ対策アライアンスの設立について」