家庭に置かれたインターネット接続機器（IoT機器）が、サイバー攻撃の「踏み台」にされる「レジデンシャルプロキシ」という脅威が広がっている。警視庁と総務省が対策アライアンスを立ち上げるほど問題視されており、2024年のインターネットバンキング不正送金事件では、被害件数の約44%がこの経路だったとされる。
「レジデンシャルプロキシ」とは何か
「レジデンシャル」は「住宅」、「プロキシ」は「代理（通信）」という意味だ。一般家庭に置かれているIoT機器を踏み台にして、攻撃者が家庭の回線経由で自由に通信できるようにする仕組みを指す。警視庁の資料では「おまえんち踏み台サービス」と表現されることもある。
IoT機器と聞いても、自分には関係ないと思うかもしれない。しかし、多くの家庭にあるブロードバンドルーターもIoT機器であり、テレビに接続するストリーミング用の小型デバイスやゲーム機などもその一種だ。これらのうちいくつかは、自由にアプリをインストールできるようになっている。例えばストリーミングのデバイスでは、利用者が各種配信サービスのアプリを入れて、映像やドラマを楽しんでいる。
もし、そこに悪意のあるアプリが紛れ込んでいたらどうなるか。これらのIoT機器はインターネットに常時接続されているため、攻撃者にとっては非常においしい環境だ。ひとたび悪意あるソフトウェアが入り込めば、攻撃者は外部からあなたのデバイスに接続し、そこからいくらでも不正な通信ができる。そのとき、被害組織から見た通信元は、あなたの家庭のインターネットの出入り口に当たるブロードバンドルーターになる。つまり、あなたの自宅が攻撃の「発信元」として見えてしまうのだ。
「無料で映像を楽しむ」広告が入り口に
「そんなアプリは入れたことがない」という方もいるだろう。しかし最近は、Web広告でも「無料で映像を楽しむ」「無料で音楽が聴き放題」といった文言のバナーをよく見かける。実は、こうした広告から誘導されてインストールするアプリこそが、あなたのIoT機器を「レジデンシャルプロキシ」化させるかもしれない。
先に紹介した警視庁の「サイバー空間をめぐる脅威の情勢」でも、レジデンシャルプロキシの脅威がたびたび紹介されている。さらに、警視庁と総務省が設置した「レジデンシャルプロキシ対策アライアンス」のWebページに掲載されている資料を見ると、2024年に発生したインターネットバンキング不正送金事件でも、レジデンシャルプロキシが高い割合で悪用されていたという報告がある。この資料では、レジデンシャルプロキシ化につながるソフトウェアとして、使用していない通信帯域（データ通信量）を共有することで収益を得られるという「収益アプリ」や「VPNアプリ」が目立つとしている。
「NOTICE」と利用者自身の対策
対策を考えてみよう。正直に言うと、すでに踏み台となってしまっている家庭が、それに気付くことは本当に難しい。かつては非力だったIoT機器も、今では複雑なタスクをこなせるほど高性能になっている。そのため、踏み台にされても「ちょっと動作が重くなった」といった変化が現れにくく、異変に気付けなくなっているはずだ。
通常とは異なる量や時間帯の通信があるはずだが、一般家庭でネットワークトラフィックを毎日チェックしている人はほとんどいない。そのため、基本的にはマルウェア対策を強化することになる。しかし「収益アプリ」や「VPNアプリ」は、利用者自身が選んでインストールした「通常の」アプリだ。マルウェア対策によるチェックも難しいのだ。
一方、総務省と国立研究開発法人情報通信研究機構（NICT）は、インターネットサービスプロバイダー（ISP）各社と連携し、2019年2月にプロジェクト「NOTICE」を開始した。IoT機器のセキュリティ対策を向上させ、サイバー攻撃の発生や被害を未然に防ぐための取り組みで、現在は一般社団法人ICT-ISACやIoT機器メーカー、SIerなども参加している。
NOTICEは、サイバー攻撃に悪用されるおそれのある機器やマルウェア感染が検知された機器について、ISPを通じて利用者に通知し、改善を促す仕組みだ。この通知が届いたときには、通知元が自分の契約しているISPかどうかを確認した上で、対策してほしい。契約していないISPや、それ以外の名前をかたっている場合は、フィッシングを疑ってほしい。
さらに言うならば、アプリを入れる機会そのものを減らすことも対策になる。もはやPCでは、OSの機能やWebブラウザがあればほとんどの作業ができるようになっているはずだ。PCに不慣れな家族には、怪しいアプリはインストールしないというより「アプリは原則、追加でインストールしない」という方針にしてもいいかもしれない。いったんレジデンシャルプロキシ化を狙うソフトウェアがIoT機器に潜んでしまうと、NOTICEでも発見は難しくなる。だからこそ、利用者自身がレジデンシャルプロキシを警戒しながら、インターネットを活用する必要がある。
セキュリティを高めれば利便性が下がる、利便性を追求すると危険度が高まるというのは、直感的に理解できる原則だ。技術が発展すればその両立は必ずできると信じている。しかし、ここ最近のインターネットの治安悪化を考えると、やや安全側にレバーを倒し、身や財産を守ることを考えねばならないかもしれない。セキュリティは誰かがやってくれるものではなく、自分自身が身を守るために必要なことだ。まずは「レジデンシャルプロキシ」という言葉を知り、意識を向けてみてほしい。
