IP Geolocation＆IP Intelligenceデータベースである「SURFPOINT™」では、日々巧妙化するサイバー攻撃を検知・防御するため、各種の匿名ネットワークデータを収集・解析し、提供しています。

本記事では、近年サイバー犯罪の重大なインフラとなっている「レジデンシャルプロキシ（Residential Proxy）」の仕組み、悪用に伴うセキュリティ上のリスク、Apple等の正規プライバシープロキシとの技術的違いを解説します。

さらに、キャリアグレードNAT（CGNAT）環境において誤検知を抑えながら、「MMDB（MaxMind Database）形式」をはじめとするSURFPOINT™データベースのデータを効果的にセキュリティシステムへ組み込む多層防御の設計手法について解説します。

レジデンシャルプロキシとは

レジデンシャルプロキシIPとは、主に一般家庭向けのインターネット接続環境において、ISP（インターネットサービスプロバイダ）から各家庭のルーター、PC、スマート家電などのデバイスに割り当てられる動的なパブリックIPアドレスのことです。

通常、データセンターなどの固定されたIPアドレス帯（VPNや公開プロキシサーバー）からのアクセスは、ファイアウォールなどのフィルタリングシステムによって機械的に識別し、一括ブロックすることが容易です。しかし、レジデンシャルプロキシを経由した場合、送信者の本来のIPアドレスが隠蔽され、通信相手のWebサーバーには「実在する他人の一般家庭のIPアドレス」が記録されます。

これにより、金融機関やオンライン取引サービスなどのシステム側は「正規の一般ユーザーからのアクセス」と区別することが極めて困難となり、従来のアクセス制限や不正検知をすり抜ける手口として悪用されています。

レジデンシャルプロキシIPが提供される仕組み

サービスベンダーがレジデンシャルプロキシを提供する手段には、主に以下の2つの方法が存在します。

1. ベンダーによる自社調達：ベンダーがISPと個別契約を結び、家庭用の回線・IPを付与した中継サーバーを独自に構築・運用する方法。
2. P2P（ピア・ツー・ピア）型の中継ネットワーク：一般利用者の所有するデバイスを、P2P技術を用いて直接中継台（出口ノード）としてネットワークに組み込む方法。

近年、世界的に増加し、脅威となっているのが02のP2P型です。利用者が「無料で国内外の映像を視聴できる」とされる不審な格安ストリーミングデバイスを自宅のネットワークに接続したり、無料VPN、帯域提供で収益を得られるとうたう不審なアプリ等を安易にインストールしたりすることで、利用者自身が全く気づかないまま、自宅の回線やスマート家電がサイバー攻撃の中継台（出口ノード）として組み込まれてしまうケースが多数確認されています。

セキュリティ上の悪用リスクと最新の国内実態（NICT・警察庁データ）

一般家庭のIPを悪用するレジデンシャルプロキシは、日本のインターネットバンキングでの不正送金やアカウント乗っ取りなどの犯罪インフラとして深く根を張っています。

総務省・警察庁・NICT（情報通信研究機構）が2026年7月21日に共同で発表した最新のファクトシート等において、その深刻な実態が明らかになっています。

・大規模な出口ノードの存在：NICTの継続的な観測によると、国内において1日あたり最大約2万7千のIPアドレスが出口ノード（中継台）として観測されており、日本国内だけでも少なくとも数万台規模の悪用デバイスが存在していると推定されています。

・金銭的被害への直結：警察庁の分析では、2024年中におけるインターネットバンキング不正送金事犯において、被害件数の約44%（1,918件）、被害額の約33%（約28.9億円）でレジデンシャルプロキシが中継経路として悪用されていました。

・家庭内ネットワーク侵入の二次被害：中継台にされたIoT機器を経由して家庭内ネットワークにアクセスされることにより、デバイスにDDoSボット等のマルウェアをインストールされ、さらなるサイバー攻撃の踏み台にされてしまうセカンドハザードのリスクも報告されています。

警察庁：https://www.npa.go.jp/bureau/cyber/koho/news/residentialproxy.html
情報通信研究機構（NICT）：https://www.nict.go.jp/press/2026/07/21-1.html

【SURFPOINT™データ分析】日本国内における都道府県別の悪用履歴IPの分布

当社のコアデータベースである「SURFPOINT™」が国内のIPアドレスを調査・解析したデータ（都道府県別_proxy.csv）によると、日本国内において過去にプロキシとして悪用された履歴のあるIPは、以下のように大都市圏を中心に日本全国へ偏りなく分布しています。

  (データ出典：SURFPOINT™ データベース調査データ（自社調査）より。数値は過去にプロキシとして稼働が確認されたユニークIP数)

この実態が示す通り、大都市圏のブロードバンド環境だけでなく、日本全国のあらゆる地域にレジデンシャルプロキシ化された一般回線が存在します。したがって、地方銀行のインターネットバンキング口座や、地域密着型のECサービスであっても、なりすましアクセスの脅威を想定した対策が必要です。

Tor（トア）ネットワークとの技術的違い

匿名化技術として類似している「Tor（トア）ネットワーク」と「レジデンシャルプロキシ」の最大の違いは、アクセス元IPアドレスの「見え方（判定難易度）」にあります。

個人情報保護目的の「正規プライバシープロキシ」との違いと識別

近年、AppleやGoogleなどの大手プラットフォーマーは、ユーザーのプライバシー保護を目的としたプロキシ中継機能（プライバシープロキシ）を提供または計画しています。これらは、犯罪に用いられる「悪意あるレジデンシャルプロキシ」とは、技術的にも運用の面でも明確に異なります。

① Apple「iCloudプライベートリレー（iCloud Private Relay）」

• 仕組み: iOS 15やmacOS Monterey以降のiCloud+ユーザー向け機能。Safariでのブラウジングトラフィックを暗号化し、Appleの第1プロキシと、大手パートナーCDNが運営する第2プロキシを経由させることで、通信キャリアやサイト側からIPアドレスと閲覧履歴を同時に特定されないようにします。
• 特徴と差別化: プライバシーを守りつつも、Webサイト側が地域制限サービスやローカライズされたコンテンツを提供できるよう、ユーザーのおおまかな位置情報を反映したIPを割り当てる配慮がなされています。
• 識別方法: Appleは、公式にエグレス（出口）IPのアドレス範囲リストをCSV形式で随時公開しています（https://mask-api.icloud.com/egress-ip-ranges.csv）。SURFPOINT™データベースの属性情報とこのリストを併用することで、正規のプライバシー保護アクセスとしてホワイトリスト処理するなどの適切な切り分けが可能です。

② Google Chrome「IP Protection」

• 仕組み: Google Chromeブラウザが段階的に導入を進めている、サードパーティコンテキスト（クロスサイトトラッキング用ドメイン等）へのIPアドレス露出を抑止するプライバシー機能です。
• 特徴: おおまかな位置情報を維持したIPが付与され、広告や不正防止への配慮を行いながら動作するよう設計されています。

キャリアグレードNAT（CGNAT）がもたらす「過剰検知（巻き添え）リスク」

レジデンシャルプロキシ対策で最も考慮しなければならないのが、モバイル通信（4G/5G）や特定のプロバイダが採用しているキャリアグレードNAT（CGNAT / LSN）による影響です。

CGNATとは

CGNAT（Carrier-Grade NAT）は、IPv4アドレスの枯渇対策として、「1つのグローバルパブリックIPアドレスを、何百・何千もの異なる一般世帯・端末で同時に共有してインターネットに接続する」技術です。

発生する過剰検知（巻き添えブロック）

CGNAT配下の端末のうち、たった1台のデバイスが「気づかないうちにレジデンシャルプロキシの踏み台」になった場合、その共有グローバルIPアドレス全体が検知データベースで「Paid Proxy」等のフラグに登録されてしまいます。

この時、システム側が一律ブロック（Hard Block）する設計にしていると、同じグローバルIPを共有している同一エリアの全く無関係な正常ユーザーまで、サイトから一斉に締め出されてしまう（巻き添え）という極めて高いリスクが生じます。

SURFPOINT™におけるレジデンシャルプロキシの検知と過剰ブロック回避策

一般家庭のIPアドレスは日々動的に変化（ローテーション）するため、静的な固定ブラックリスト方式でレジデンシャルプロキシを防ぐことは不可能です。

「SURFPOINT™」データベースでは、独自の網羅的なパトロール・調査技術（DFLS等）により、レジデンシャルプロキシとして稼働・悪用された履歴のあるIP情報を収集し、データベースの匿名ネットワークデータ内において「Paid Proxy（有料プロキシ・レジデンシャルプロキシ）」という属性（Info属性値）を付与してリアルタイム配信しています。

モバイル（CGNAT）の傾向

SURFPOINT™の調査では、「Paid Proxy」属性が検出される比率は、IPアドレスが共有されやすいmobile回線（モバイルキャリア回線）で最も多いという特徴が確認されています。これは前述のCGNATの影響によるものです。

過剰ブロックを回避する「多層防御（ステップアップ認証）」

CGNAT下の一般モバイルユーザーや一般家庭の巻き添え（離脱）を防ぎ、セキュリティとユーザー体験（UX）を両立させるため、SURFPOINT™を導入するシステムエンジニアの皆様には、以下の「多層防御（ステップアップ認証）」ロジックの構築を強く推奨しています。

①一律ブロックの回避（Soft Signalとしての利用）

SURFPOINT™データベースに登録されている「Paid Proxy」を検出したからといって、無条件でアクセス拒否（403エラー等）にするのは避けてください。

②ステップアップ認証（MFA/CAPTCHA）の動的挿入

「Paid Proxy」属性が検出された接続元からの「ログイン」「重要取引」「フォーム送信」などの重要アクション時のみ、二段階認証（2FA/SMS送信）や、画像パズルを用いたボット判定ツール（CAPTCHA）を自動挿入するロジックを実装します。

• 自動化された攻撃ボット（不正送金や乗っ取り等）：CAPTCHAやMFAを突破できないため、不正アクセスを確実に阻止できます。
• 巻き添えを食った正規のユーザー：簡単な認証手続きをクリアすることで、サービスをそのまま継続利用できます。

③回線種別（mobile）に合わせたポリシーの最適化

SURFPOINT™データベースから取得できる回線種別判定が「mobile」かつ「Paid Proxy」である場合は、過剰ブロックのリスクが最大になるため、認証の難易度を下げるなど、回線特性に応じた柔軟なセキュリティスコアリングを実装します。

当社のログ調査では、アクセス数の規模に関わらず、ほぼすべてのWebシステムで一定割合のレジデンシャルプロキシ経由の接続履歴が観測されています。金融取引やアカウントの安全性を高めるため、巻き添えリスクを考慮したSURFPOINT™を活用した柔軟なセキュリティ設計をご検討ください。

システムの要件に合わせた「SURFPOINT™」の提供形式

SURFPOINT™は、お客様のセキュリティシステムやサーバーインフラの要件に合わせ、多様な提供形式をサポートしています。

• MMDB形式（MaxMind Database）: インフラエンジニアに最も馴染み深いバイナリデータベース形式です。Webサーバー（Nginx/Apache）の拡張モジュールやWAF、CDNなどに直接インポートすることが可能で、ネットワークトラフィックに影響を与えない「超低レイテンシ（マイクロ秒単位でのローカル処理）」によるPaid Proxy判定を実現します。
• CSV／JSON形式: 分析やバッチ処理、SIEM（セキュリティ情報イベント管理）等でのログ突合に最適な構造化テキストデータです。定期的なローカルデータベースの更新等にご利用いただけます。
• Web API形式: 動的に変化する最新の判定結果を、開発の手間を最小限に抑えながらリアルタイムにシステムへ組み込むことが可能です。