家庭のルーターが犯罪の踏み台に 官民対策で問われる「利用者任せ」の限界
家庭のルーターやネットワークカメラが、知らないうちに犯罪者の通信を中継する「レジデンシャルプロキシ」として悪用されています。警察庁と総務省は、通信事業者やセキュリティー事業者などが連携する対策組織を設立しました。
結論から言えば、初期パスワードの変更を利用者に呼びかけるだけでは足りません。メーカーによる安全な初期設定と更新提供、通信事業者による異常検知、行政による情報集約を一つの仕組みとして動かす必要があります。
- 2024年のネットバンキング不正送金被害のうち、少なくとも約30億円がレジデンシャルプロキシ経由
- 攻撃元が一般家庭の回線に見えるため、犯罪者の所在特定や通信遮断が難しくなる
- 警察庁と総務省は「レジデンシャルプロキシ対策アライアンス」を設立
- 利用者には、更新が続く製品を選び、管理画面のパスワードを変更する対応が求められる
何が起きているのか
警察庁と総務省は、NICT（情報通信研究機構）などとの検討結果をまとめ、家庭用IoT機器を悪用するレジデンシャルプロキシの実態を公表しました。
レジデンシャルプロキシとは、家庭のインターネット回線を外部の通信に使わせる中継機能です。正当な用途もありますが、犯罪者が侵入済みの機器を経由すれば、アクセス元を一般家庭のIPアドレスに見せかけられます。
悪用され得るのは、例えば次のような機器です。
- Wi-Fiルーター
- ネットワークカメラ
- 録画機器やセットトップボックス
- インターネットに常時接続する各種IoT機器
機器の所有者が攻撃に加担しているとは限りません。脆弱性の放置、不適切な設定、悪意のあるソフトウェアなどを通じ、本人が気付かないまま通信の出口として使われるケースが問題です。
警察庁によると、2024年のインターネットバンキング不正送金被害のうち、少なくとも約30億円がレジデンシャルプロキシを経由した攻撃で生じました。家庭内の一台の機器が、預金を奪う犯罪インフラの一部になり得ることを示す数字です。
新しい官民連携は何を目指すのか
今回設立される対策アライアンスには、業界団体、電気通信事業者、セキュリティー事業者などの参加が想定されています。協議するのは、周知だけではありません。
- 関係者が連携して対処する手順
- 悪用を減らすために必要な環境整備
- 機器利用者への注意喚起
- 悪用実態や対策情報の共有
ここで重要なのは、責任を家庭だけに負わせないことです。一般の利用者には、機器が外部通信を中継しているかを自力で判断するのは困難です。通信量が増えても、動画視聴やクラウド同期との違いを見分けられるとは限りません。
ここがポイント: 利用者への注意喚起は必要ですが、異常を発見できる通信事業者、修正プログラムを提供できるメーカー、犯罪情報を持つ警察が連携して初めて実効性が生まれます。
暮らしと国益にどう関わるのか
被害は、機器が一時的に遅くなるだけではありません。
不正送金やアカウント侵害を助ける
犯罪者は家庭回線を経由することで、金融機関などの不正検知をすり抜けやすくなります。国内の一般的な接続に見える通信は、国外のデータセンターなどからのアクセスより警戒されにくい場合があるためです。
その結果、預金者の被害に加え、金融機関の補償・調査費用や認証強化の負担が増します。利便性を保ちながら犯罪を防ぐという難しい課題が、社会全体に広がります。
日本の回線が攻撃基盤になる
大量の家庭用機器が踏み台になれば、日本国内の通信網が海外を含む攻撃に利用されかねません。これは個人のセキュリティー問題であると同時に、通信インフラへの信頼を守る経済安全保障上の課題です。
犯罪に使われる国内IPアドレスが増えれば、正当な利用者の通信まで厳しい確認や遮断の対象になるおそれもあります。安全性の低い機器を市場に残すコストは、所有者だけでなく国内の事業者や利用者が分担することになります。
欧州はメーカーの責任を制度化
海外では、IoTを含むデジタル製品の安全性をメーカー側の義務として扱う動きが進んでいます。
EUの「サイバーレジリエンス法」は、デジタル要素を持つ製品に横断的なセキュリティー要件を設けました。2026年9月11日からは、悪用されている脆弱性や重大なセキュリティー事故について、メーカーの報告義務が適用されます。原則として、認知後24時間以内の早期警告と72時間以内の通知が必要です。
日本がEUと同じ規制をそのまま導入すべきだという話ではありません。厳しい義務は中小メーカーの開発費を押し上げ、安価な製品の選択肢を減らす可能性があります。
ただし、長期間使われるルーターやカメラについて、販売後の更新期間や脆弱性対応窓口を明示させる考え方は参考になります。日本企業がEU市場で製品を販売するうえでも、同法への対応は避けられません。
批判的に見るべき三つの論点
官民組織の設立だけで被害が減るとは限りません。今後は、具体的な運用を確認する必要があります。
1. 誰が悪用機器を発見するのか
通信事業者は異常な通信を把握しやすい一方、監視の範囲を広げれば通信の秘密やプライバシーとの調整が必要です。何を検知し、どの条件で利用者に警告するのか。基準の透明性が欠かせません。
2. 更新が終わった製品をどうするのか
古いIoT機器は、故障しない限り使われ続けます。しかし、メーカーが更新を打ち切れば脆弱性は残ります。
販売時に少なくとも次の情報を分かりやすく示す仕組みが必要です。
- セキュリティー更新を提供する期間
- 自動更新の有無
- サポート終了日
- 脆弱性が見つかった場合の連絡先
3. 対策費用を誰が負担するのか
通信事業者の検知設備、メーカーの長期更新、行政の分析体制には費用がかかります。全額を価格に転嫁すれば利用者負担が増え、事業者だけに負わせれば参入や製品供給を妨げます。
政府には、必要な最低基準を明確にしたうえで、中小企業の製品改善を支援するなど、規制と産業育成を組み合わせる視点が求められます。
家庭で今すぐ確認できること
制度整備を待つ間も、利用者が被害の可能性を下げることはできます。
- ルーターなどの管理用パスワードを初期値から変更する
- ファームウェアの自動更新を有効にする
- メーカーの更新が終了した古い機器は買い替えを検討する
- 使っていない遠隔操作機能やポート開放を無効にする
- 中古品を使う場合は初期化し、公式の更新を適用する
- 不明なアプリや「回線を貸して報酬を得る」サービスを安易に導入しない
初期化や設定変更の方法が分からない場合は、メーカーや契約中の通信事業者に確認するのが安全です。出所不明の「修復ツール」を入れると、かえって被害を広げるおそれがあります。
今後は成果を数字で示せるか
今回の官民連携は、家庭の機器を犯罪基盤にしないための出発点です。ただし、会議や啓発資料を増やすだけでは十分ではありません。
今後見るべきなのは、次の具体的な成果です。
- 悪用された機器の把握数と利用者への通知件数
- 通知後に更新・交換された機器の割合
- メーカーが示す更新期間の明確化
- 不正送金など実被害の減少
- 異常検知と通信の秘密を両立させる運用基準
家庭のルーターは、購入後に意識されにくい機器です。だからこそ、利用者の注意だけに依存しない設計が要る。次に問われるのは、アライアンスが「誰が、いつ、何をするか」を示し、約30億円という被害を実際に減らせるかです。