自宅のルーターやネットワークカメラが、いつの間にか犯罪者の”通信の隠れ蓑”にされている――。総務省と警察庁は2026年7月21日、家庭用IoT機器を悪用する「レジデンシャルプロキシ」の実態を取りまとめて公表するとともに、官民連携で対策を進める「レジデンシャルプロキシ対策アライアンス」を設立したと発表した。2024年（令和6年）のインターネットバンキング不正送金では、被害額のうち約3割にあたる約29億円がこの手口を経由して生じていたことが明らかになっている。
「レジデンシャルプロキシ」とは何か
レジデンシャルプロキシとは、一般家庭のインターネット回線に接続されたルーター、ネットワークカメラ、デジタルフォトフレームといったIoT機器を第三者の通信を中継する「踏み台」として悪用する仕組みを指す。攻撃者はこれを経由することで、あたかもごく普通の家庭からのアクセスであるかのように装って不正な通信を行える。
この「一般家庭を装える」という点が、防御側にとって厄介な本質だ。データセンターや既知の攻撃インフラから発信される通信であれば、金融機関やセキュリティ製品は不審なアクセスとしてブロックしやすい。しかし、実在する家庭の回線を経由されると、正規の利用者による通信とサイバー攻撃を見分けることが著しく難しくなる。総務省はこの点について、被害者側からは一般家庭からの通信とサイバー攻撃を区別することが困難になると指摘している。
不正送金被害の約3割が経由
今回の公表で注目されるのは、被害の規模を具体的な数字で裏付けた点である。報道によると、2024年中に発生したインターネットバンキングに係る不正送金事犯のうち、少なくとも1,918件・被害額約28.9億円でレジデンシャルプロキシが悪用されており、これは被害件数全体の約44％、被害額全体の約33％を占めていた。総務省の発表資料でも、2024年の不正送金被害額の3割超（30億円超）がこの手口を経由した攻撃によって生じたと説明されている。
つまり、ネットバンキングを狙う不正送金のかなりの部分が、遠い海外のサーバーからではなく、日本国内のどこかの家庭に置かれた機器を”中継地点”として実行されていたことになる。
気づけない利用者、動き出す官民
問題をさらに深刻にしているのは、機器の持ち主の多くが、自分の機器が悪用されていることに気づいていないという点だ。総務省は、機器の利用者自身が悪用の事実を認識していない場合が少なくないとして、まず利用者側がレジデンシャルプロキシという手口の存在を知ることの必要性を強調している。
こうした背景を踏まえ、総務省・警察庁は情報通信研究機構（NICT）と連携し、悪用の実態や利用者側の対策をまとめたファクトシート「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」を公開した。あわせて、電気通信事業者やセキュリティ事業者など多様な関係者が協力して社会全体で対策を進めるための枠組みとして「レジデンシャルプロキシ対策アライアンス」を設立している。
家庭のIoT機器が防衛線になる時代
このニュースが示すのは、サイバー攻撃対策がもはや金融機関や大企業だけの課題ではなくなったという現実である。攻撃者は防御の堅い正面を避け、セキュリティ意識が相対的に低くなりがちな一般家庭のIoT機器を突破口に選んでいる。
利用者側にできる基本的な対策としては、ルーターやネットワークカメラなどのファームウェアを最新の状態に保つこと、出荷時のままの初期パスワードを推測されにくいものへ変更すること、使わなくなった機器をネットワークに接続したまま放置しないことなどが挙げられる。自宅の一台の機器が、見知らぬ誰かへの不正送金の踏み台にされているかもしれない――今回の公表は、その可能性を多くの人に突きつけるものだといえる。