プロキシの種類：データセンター、ISP、住宅用、モバイルを比較

「プロキシ」という一つの言葉が、少なくとも4つの役割を担っています。スクレイパーのトラフィックを中継するレンタルのクラウドサーバーと、クレデンシャルスタッフィングの試行を中継する見知らぬ人のスマートテレビは、どちらもプロキシですが、攻撃者にかかるコストも、背後にある巻き添え被害の大きさも、あなたに求められる対応も異なります。ここでは、重要な2つの軸それぞれの実用的な分類を、2026年10月20日に実行した実際のルックアップとともに紹介します。

第1の軸：出口IPの出どころ

出どころの軸は、あなたの判断を左右します。アドレスがレジストリ上でどう見えるか、そしてブロックしたときに無関係な人が何人影響を受けるかを決めるからです。

データセンタープロキシ

出口は、クラウドまたはホスティング事業者のサーバーです。アドレスは、ASNがホスティングに分類されている空間にあり、そのネットワークは一般消費者のトラフィックを運ぶことを想定していません。

データセンタープロキシは安価で高速、大きなブロック単位で販売されるため、最も見つけやすい種類です。データセンターまたはホスティングのレンジから届く一般消費者向けのログインやチェックアウトは、実在の顧客がクラウドサーバーから買い物をすることはまれなので、もう一度確認する価値があります。当社のホスティングチェックは、厳選した853のホスティングASNに加え、AWS、Google Cloud、Azureを含む10のクラウド事業者が公開しているレンジを利用しています。

正直に言うと、例外は業務のトラフィックです。企業のVPNの出口、セキュリティゲートウェイ、企業向けSASE製品は、正当にホスティングの空間から出口に出ます。これはB2B製品における現実の誤検知のクラスであり、以下のルックアップが示すように、ホスティングのアドレス単体のスコアがblockではなくallowの帯域に収まる理由でもあります。

ISPプロキシ（固定住宅用）

ISPプロキシは、多くの人が聞いたことのないハイブリッド型です。IPアドレスは一般消費者向けISPに登録されていますが、そのアドレスで応答するマシンはデータセンターにあります。運用者は、一般消費者向けISPのアドレス空間を取得またはリースし、ホスティングのインフラから広告します。

その結果は意図的な矛盾です。データセンターの速度と稼働率を持ちながら、一般消費者向けISPのWHOISレコードをまとっています。レジストリだけを読むチェックは、ケーブル会社だと判断して先に進んでしまいます。役立つ証拠は挙動にあります。アドレス上でプロキシやVPNのプロトコルが応答している、あるいはレンジ内のすべてのホストがサーバーのように振る舞っている、といったことです。だからこそ、プロキシ検出は、単一のレジストリのフィールドを信用せず、独立した複数のシグナルを重ねています。限界は、公開されているサービスがない静かなISPプロキシは、レジストリの記載どおりに見えてしまうことです。

住宅用プロキシ

出口は、実在の家庭にある本物の一般回線です。アドレスは正規のISPのもので、ジオロケーションはもっともらしい郊外の町になり、顧客とまったく同じに見えます。実際に顧客だからです。ただし、他人の顧客です。

住宅用プロキシは高価で、通常はアドレス単位ではなく帯域単位で販売され、ホスティングのシグナルを回避できるため、本格的な不正利用の標準的な道具です。GeoIPHubは住宅用プロキシを検出しません。 IPレイヤーから見ると、プロキシのトラフィックを中継している家庭の回線と、同じ回線で映画を観ている状態は同じに見えます。役に立つのはIPの周辺にあるあらゆる情報であり、それについてはトラフィックに住宅用プロキシが多く現れる理由と不正対策の実践ガイドで詳しく説明しています。

モバイルプロキシ

出口は、実在のキャリアにある本物のモバイル回線です。これは最も難しいケースで、その難しさは見えないことよりも、巻き添え被害にあります。

モバイルネットワークはキャリアグレードNAT（RFC 6888、2013年4月）の背後にあるため、1つのパブリックアドレスが、無関係な多数の契約者を同時に表すことがあります。アドレスをブロックすれば、その全員をブロックすることになります。IPルックアップでは、アドレスがモバイルキャリアのものであることは分かりますが、背後にあるスマートフォンのどれかが自分の回線を売っているかどうかは分かりません。適切な対応は拒否ではなく追加の本人確認であり、フィールドレベルの詳細はモバイルプロキシを検出する方法にあります。

4種類の比較

最後の2列を合わせて読んでください。データセンタープロキシは見つけやすく、ブロックしても安全です。モバイルのアドレスはキャリアのものと特定しやすい一方、ブロックは危険です。住宅用の出口は見つけにくく、ブロックもしづらいものです。単一の「is_proxy」という真偽値では、こうした違いがすべて潰れてしまうため、対応を決めるのはプロキシの種類であるべきです。

レンタルサーバーはallow、プロービングされたVPNはblock

ホスティングのアドレス単体ではblockに達しませんが、VPNのハンドシェイクが確認されるとblockになります。2026年10月20日のUTC 04:34に45.33.32.156を、04:35に185.213.155.73を、キーなしでcurlを使ってルックアップしました。1つ目はscanme.nmap.org、LinodeにあるNmapの公開テストサーバーで、プロキシではありません。何もする前のレンタルサーバーが、どのように見えるかを示すものです。2つ目は、フランクフルトにあるMullvadのVPNサーバーです。値はそのままで、一部を抜粋します。

どちらのアドレスもホスティングASN内のレンタルサーバーで、どちらもis_hosting: trueを返します。Linodeのサーバーはそこで止まります。メソッドはdatacenter_ipの1つだけで、スコアは10、allowです。サーバーを借りることは不正ではないからです。Mullvadのサーバーには、さらに3つの理由が加わります。Mullvad自身が公開しているサーバーリストに載っていること（known_vpn_server。vpn_confidence: 95は、プロバイダー自身のリストと一致した場合の値）、そのリストがこのサーバーをWireGuardサーバーとしていること（wireguard_open）、そしてホスティングとVPNのシグナルが組み合わさること（datacenter_with_vpn_proxy）です。スコアは100に達し、blockになります。

4つのアクションは固定の帯域に対応しているため、どのスコアも同じように読み取れます。

ユーザーを隠すが、4つの種類には当てはまらない2つのアドレス

Torの出口とAppleのiCloud プライベートリレーも、背後にいる人物を隠すもので、プロキシの議論にはどちらもよく登場します。同じセッションでこれらもルックアップしました。

リレーは料金を支払っているAppleの顧客のためのものであり、スコアはリレーのアドレスを60に制限するため、blockには達しません。Torの出口は、Tor Projectが公開している出口リストに基づいており、当社はこれを毎日読み込んでいます。この行について一点補足すると、このアドレスの逆引きDNSは現在は解決できるにもかかわらずno_ptr_datacenterが発動しました。これは当社が保存しているPTRレコードの欠落によるもので、記録済みです。Torについては、IPでTorトラフィックを検出するで個別に解説しています。

第2の軸：プロキシの通信方式

プロトコルの軸は、プロキシがどのようなトラフィックを運べるかを決めるもので、出口がどこにあるかとは独立しています。「プロキシの種類」を扱う多くの記事は、「HTTPプロキシ」と「住宅用プロキシ」をどちらかを選ぶものであるかのように並べています。しかし、これらは別の問いに答えています。住宅用プロキシは何らかのプロトコルで通信し、SOCKS5は4つのいずれの種類の上でも動作しうるプロトコルです。

HTTPプロキシはHTTPを理解します。クライアントは完全なリクエストをプロキシに送り、プロキシはそれを読み取り、キャッシュし、ヘッダーを書き換え、フィルタリングできます。不注意なものは、自らの存在を示すViaやX-Forwarded-Forヘッダーを付加します。

HTTPSトンネルはCONNECTメソッド（RFC 9110）を使います。これはプロキシに、生のTCPトンネルを開いて解釈をやめるよう求めるものです。プロキシは単なる管になり、TLSはその中を端から端まで通り、プロキシには接続先は見えても内容は見えません。

SOCKS5（RFC 1928、1996年3月）は、アプリケーション層より下に位置します。TCPと、前身のプロトコルと違ってUDPも中継し、認証、ドメイン名、IPv6に対応しています。ペイロードを検査することも、ヘッダーを追加することもありません。

攻撃者がSOCKS5を好むのは、静かだからです。防御側にはそれを試験する手段があります。当社のスキャナーは、SOCKS5、SOCKS4、HTTP CONNECT、OpenVPNを含む8つのVPN・プロキシのプロトコルについて、実際のプロトコルハンドシェイクで25のポートをプローブします。プローブの工程は最大でも12時間に1回実行され、以前にヒットしたものは7日経過した時点で再確認されます。WireGuardのプローブはありません。Mullvadのルックアップにあるwireguard_openは、そのサーバーをWireGuardとタグ付けしているMullvad自身のサーバーリストに由来するものです。スイープはホスティングネットワークとVPNプロバイダーのサーバーレンジを巡回し、公開されているプロキシフィードに載っているアドレスも確認します。一般消費者向けISPの空間は巡回しないため、家庭向けに登録されたアドレス上のISPプロキシは、公開フィードが先に名指ししていた場合にのみ、プローブの結果が得られます。

限界は物理的なものです。プローブが確認できるのは、受信接続を受け付けるプロキシだけです。アプリを通じて住宅用ネットワークに登録されたスマートフォンやテレビボックスは、世帯のルーターの背後にあるため、外部からのプローブには応答する相手がいません。

フォワード、リバース、トランスペアレント

フォワードプロキシはクライアントの代理として動作するもので、本稿の対象です。リバースプロキシは、あらゆるCDNやロードバランサーのように、サーバーの代理として動作します。トランスペアレントプロキシは、ホテルのキャプティブポータルのように、クライアント側の設定なしにトラフィックを横取りします。不正対策で重要なのは、フォワード型だけです。

住宅用プロキシの供給源は実際にどこにあるのか

住宅用プロキシのネットワークには実在の家庭が必要ですが、実在の家庭が自ら進んで協力することはまれです。そのため、「住宅用プロキシをブロックすればよい」という指示は単純すぎます。

最初の本格的な学術研究であるResident Evil（IEEE Symposium on Security and Privacy、2019年）は、これらのサービスに潜入し、230を超える国と5万2,000を超えるISPにまたがる約600万の住宅用プロキシIPを検出しました。事業者は参加者が自発的であると主張していたにもかかわらず、多くはIoT機器を含む、侵害された可能性の高いホスト上で動作していました。

FBIは、2026年3月12日の公開情報で、勧誘の経路を整理しました。挙げられているのは5つです。プロキシサービスがアプリ開発者に報酬を払って組み込ませるSDK、利用規約の奥に登録の規定が埋もれた無料VPN、侵害されたIoT機器、無料ゲームや海賊版メディアに隠されたマルウェア、そして帯域に対して報酬を払うパッシブインカムアプリです。機器の一覧は、二度読む価値があります。テレビのストリーミング機器、ストリーミングスティック、Android TVボックス、デジタルフォトフレーム、スマートフォン、タブレット、ルーター、デジタルプロジェクター、後付けの車載インフォテインメントシステムが含まれています。

これが到達する規模は記録されています。米国司法省が2024年5月29日に発表した作戦で解体された911 S5ボットネットは、米国内の613,841件を含む、1,900万を超える固有のIPアドレスに関連していました。

したがって、住宅用プロキシがログインページに届くとき、そのアドレスの持ち主は、たいていまったく気づいていない人です。これが、家庭のアドレスを恒久的にブロックすることに反対し、実在の顧客をブロックせずに匿名化トラフィックを扱うことを支持する論拠です。

不正アドレスのリストが住宅用プロキシの供給に負ける理由

ブロックリストは、不正なアドレスが再び現れることを前提としていますが、住宅用の供給は、再び現れる前に入れ替わってしまいます。最近の2つの測定がそれを示しています。

GreyNoiseは、2025年11月29日から2026年2月27日までの約40億セッションを分析し、ネットワークの境界を狙った固有IPの39%が家庭のインターネット回線からのものであり、それらのアドレスが生み出したのはセッションの22%だったと報告しました。この差こそが発見です。住宅用IPの78%は、90日間を通じてわずか1〜2セッションにしか現れませんでした。評判リストは、2回目のリクエストの前に姿を消すアドレスにフラグを立てることはできません。

規模も同じ方向を示しています。Infobloxは2026年6月9日に、住宅用プロキシのドメインへの月間DNSクエリ数が、400億弱から500億超へと約25%増えたと報告しました。また、Threat Defense Cloudの顧客の65%超が、住宅用プロキシのネットワークに関連するドメインを問い合わせていたことも分かりました。

IPインテリジェンスは、アドレスが何であるか、つまりホスティング、VPN、Tor、リレー、キャリアのいずれかという点については、今も有効です。不正な家庭用アドレスの静的なリストは、有効ではありません。

住宅用・モバイルプロキシについてIPレイヤーで分かること、分からないこと

IPレイヤーは、アドレスをネットワークの種類に位置づけることはできます。そのネットワーク上のデバイスが何をしているかは見えません。最も難しい2つの種類については、使える事実は次の短いリストにとどまります。

• 家庭用ISPのアドレスは、プロキシの証拠が現れるまで、疑わしきは罰せずとして扱われます。 住宅用の逆引きDNSで識別できる家庭の回線は、ISPとして17ポイント、逆引きDNSとして16ポイントが減点されます。同じアドレスにプロキシ、VPN、Torの証拠が付くと、ISPの割引はresidential_with_threatという理由に置き換わり、21.25ポイントが加算されます。
• モバイルキャリアのアドレスは、割引が小さくなります。 モバイルキャリアのアドレスは12ポイント、モバイルのプールに見える逆引きDNSは7ポイントが減点されます。
• 共有アドレスには上限があります。 プロキシ、VPN、Tor、ボットネット、不正利用の証拠が自身にないキャリアグレードNATのアドレスは、50を超えるスコアにならないため、IPのみでは最大でもreviewまでです。
• オープンなプロキシポートは証拠になりますが、ここで得られることはまれです。 当社のプローブはSOCKS5、SOCKS4、HTTP CONNECTを対象としますが、家庭向けに登録されたアドレスに到達するのは、公開プロキシフィードに載っている場合だけです。そのアドレスでリスナーが見つかっても、住宅用プロキシのネットワークについては何も分かりません。

それ以外はすべて、あなた側から得る必要があります。アカウントごとのリクエスト速度、古いアカウントでの新しいデバイス、セッションと一致しない請求先の国などです。疑わしい1つのアドレスを最初から最後まで追うには、インシデントごとのIP調査手順に従ってください。

プロキシの種類に応じて対応を合わせる

この分類の効用は、一律の強硬なルールではなく、段階的な対応が取れることです。scoring.recommended_actionを既定とし、種類に応じて調整してください。

• 一般消費者向けの操作でのデータセンター。 素のホスティングアドレスは、10だったLinodeのルックアップのようにallowの帯域に入ります。そこに自分のコンテキストを加えてください。製品の性質上必要なら、一般消費者向けのログインやチェックアウトでブロックまたはサンドボックス化し、B2Bでは既知の企業の出口を例外にします。
• ISP／固定住宅用。 レジストリと矛盾する何かが見つかった時点で、データセンターと同じように扱います。detection_methodsにプローブのメソッドがあればそれに該当しますが、当社のスイープが一般消費者向けISPの空間に届くのは公開プロキシフィード経由のみなので、矛盾は通常、あなた自身のデータから見つかります。レジストリだけでは、住宅用であるとしか分かりません。
• 住宅用。 通常、プロキシであることは分かりません。自分のデータによる裏付けがあった場合にエスカレートし、世帯はおそらく被害者なので、拒否よりも追加認証を優先します。
• CGNATの背後にあるモバイル。 アドレスだけでブロックしてはいけません。共有IPのリクエスト速度の制限を緩め、ユーザーを確認し、アカウントとデバイスのシグナルに頼ります。
• VPNとTor。 プロービングされた、またはリストに載っているVPNは、Mullvadのサーバーのようにblockに達することがありますが、VPNであること自体は不正ではありません。VPN経由のログインにはstep_upを選び、blockはTorと複数のシグナルが重なった場合のために残す、という選択もできます。

5つすべてに通じる原則はこうです。プロキシの種類は、ネットワークのシグナルにどれだけの重みを持たせるかを決め、残りは他の何かが担う必要があります。

対応を選ぶ前に、プロキシの種類を特定する

上記の各シグナルがどのように収集されるかは、方法論に記載しています。すべてのフィールドが、1日1,500ルックアップの無料プランで利用でき、不正防止の概要では、スコアがどのように判断につながるかを示しています。1つのアドレスを今すぐ確認するには、VPN検出テストまたはデータセンターIPチェックにかけ、どのdetection_methodsが発動したかを読んでから、どの種類のプロキシなのかを判断してください。

よくある質問

プロキシにはどのような種類がありますか？

プロキシは、互いに独立した2つの軸で分類されます。出口IPの出どころによる分類では4種類あります。データセンター（レンタルしたクラウドやホスティングのサーバー）、ISPまたは固定住宅用（データセンターのハードウェア上でホストされる一般消費者向けISPのアドレス空間）、住宅用（実在の家庭にある実際の一般回線）、モバイル（キャリアNATの背後にある実際のモバイル回線）です。プロキシの通信方式による分類では、一般的なプロトコルが3つあります。HTTPプロキシ、CONNECTメソッドによるHTTPSトンネル、そしてSOCKS5です。最初の軸は、IPルックアップで何が見えるか、そしてプロキシのコストがどれほどかを決めます。2つ目の軸は、どのようなトラフィックを運べるかを決めます。

データセンタープロキシと住宅用プロキシの違いは何ですか？

データセンタープロキシは、クラウドやホスティング事業者でレンタルしたサーバーから出口に出るため、アドレスはホスティングに分類されるASNの空間にあり、IPルックアップではっきりと分かります。住宅用プロキシは、実在の家庭にある本物の一般回線から出口に出ます。多くの場合、アプリのSDK、無料VPN、プロキシウェア、マルウェアを通じて取り込まれたものです。そのため、アドレスは正規のISPのものであり、顧客とまったく同じに見えます。IPだけでは、住宅用プロキシの出口と、その回線を持つ世帯とを見分けることは通常できません。だからこそ攻撃者にとってのコストが高く、本格的な不正利用の標準的な手段になっています。

ISPプロキシとは何ですか？

ISPプロキシは、固定住宅用プロキシとして販売されることもあるハイブリッド型です。IPアドレスは一般消費者向けISPに登録されていますが、そのアドレスで応答するマシンはデータセンターにあります。運用者は、一般消費者向けISPのアドレス空間を購入またはリースし、ホスティングのインフラから広告します。レジストリを確認しても住宅用のアドレスに見えます。有用な証拠は矛盾の存在です。たとえば、そのアドレスでプロキシのプロトコルが応答している、といったことです。

モバイルプロキシは住宅用プロキシより対処が難しいですか？

はい。その理由は巻き添え被害です。モバイルプロキシは、キャリアグレードNATの背後にある実際のモバイル回線を出口にするため、1つのアドレスが、無関係な多数の契約者を同時に表すことがあります。IPルックアップでは、そのアドレスがモバイルキャリアのものであることは分かりますが、背後にいる人のうち誰かがプロキシを動かしているかどうかは分かりません。アドレスをブロックすると、それを共有するすべての人に不利益が及ぶため、モバイルのアドレスはハードブロックではなく、追加の本人確認を促す対象とすべきです。

SOCKS5はHTTPプロキシより優れていますか？

解決する問題が異なります。HTTPプロキシはHTTPを理解し、リクエストを読み取って書き換えられるため、キャッシュやフィルタリングに便利ですが、Webトラフィックに限られます。RFC 1928で定義されるSOCKS5は、アプリケーション層より下で動作し、TCPとUDPを中継するだけなので、あらゆるプロトコルを運べ、ペイロードを検査することもありません。攻撃者は、識別につながるヘッダーが漏れにくいことから、たいていSOCKS5を好みます。