トラフィックにレジデンシャルプロキシが多いのはなぜか

不正対策ツールの多くは、データセンター IP をかなりうまくブロックします。攻撃者が AWS や DigitalOcean を経由した瞬間に、何かが捕捉するからです。レジデンシャルプロキシは、まさにその防御を迂回するために存在しており、VPN とプロキシを多層的に検出する手法でも最も見つけにくい種類です。大量に現れているのであれば、データセンター IP しかチェックしないシステムを狙ったときに、技術的に高度な攻撃がどのような姿になるかを目にしていることになります。

レジデンシャルプロキシネットワークの正体

レジデンシャルプロキシネットワークとは、分単位でレンタルできる実在の家庭用インターネット回線のプールです。利用者がこれを使うと、本来の IP の代わりに、Comcast などの一般消費者向け ISP が実在の世帯に割り当てた家庭の IP からトラフィックが出ていきます。接続先のサーバーから見ると、リクエストはその世帯から来たように見えます。

プール内の IP の入手元は、次の 2 つのいずれかです。

ボットネット由来(同意なし): 被害者の端末に仕込まれたマルウェアが、第三者のトラフィックを被害者の回線経由で中継します。被害者は何も知りません。その世帯の IP はプロキシのマーケットプレイスで 1 GB あたり 5〜15 ドルで売られ、帯域の料金は被害者が払います。多くの法域で違法です。

SDK 由来(埋もれた同意): 無料アプリ(VPN、ゲーム、ユーティリティ、ブラウザ拡張機能)に、ソフトウェア SDK が組み込まれています。何千語もの利用規約の中に、運営者があなたの帯域を使えるという条項が埋もれています。ユーザーは形式上は同意していますが、何に同意したのかは理解していません。Honeygain、IPRoyal Pawns などのサービスがこの方式で運営されています。

どちらも、検出の観点では機能的に同じ出口 IP を生み出します。どんな単純なチェックも通過する、実在の住宅向け ISP のアドレスです。これが、プロキシの種類の全体像の中でデータセンター側のプロキシと区別される点です。同じ供給網はすでにキャリアネットワークにも及んでおり、モバイルプロキシは 4G/5G の出口 IP を貸し出していて、さらに対処が難しくなっています。

基本的なチェックで見逃される理由

レジデンシャルプロキシがなぜ存在するのかを理解すると、不正フィルターの出力になぜ現れるのかも理解しやすくなります。

信頼できる検出方法は、レジデンシャルプロキシが偽装できないシグナルに頼るものだけです。具体的には、多数の異なるセッションが同じ IP を同時または順番に使っているという行動上の証拠(高い再利用)、プロキシネットワークの広告データベースへの出現、IP の住宅としての特徴とセッションの端末や行動プロファイルとの不一致です。その大半はセッションレベルにあります。IP ルックアップ単体では、GeoIPHub の VPN・プロキシ検出を含め、ASN データからレジデンシャルプロキシかどうかを大まかに推定することしかできません。

レジデンシャルプロキシネットワークの規模

その数字は、多くの不正対策チームの想像より大きなものです。

• Bright Data(公表している規模では最大のレジデンシャルプロキシネットワーク)は、プールに 7,200 万を超えるレジデンシャル IP があるとしています
• Oxylabs は 1 億以上のレジデンシャル IP があるとしています
• Smartproxy、SOAX、NetNut は、それぞれ数千万を掲げています

これらは正規(または準正規)の商用プロバイダーが公表している数字です。ボットネット由来のネットワークはプールの規模を公表しませんが、Lumen/Black Lotus Labs は、2024 年に単一の「プロキシとしてのボットネット」運用で、侵害された住宅ノードが 19 万以上稼働していたと推定しています。

商用と犯罪組織を合わせた全プロバイダーのプール総数は、おそらく 2 億 IP を超えます。検出を導入すれば、トラフィックに占める量が意外ではなくなるのはこのためです。

ログに現れるレジデンシャルプロキシのトラフィック

検出を導入する前、レジデンシャルプロキシのトラフィックは見えません。検出後には、次のようなパターンが現れます。

ボットキャンペーンでの IP の多様性: クレデンシャルスタッフィング攻撃では、リクエストごとに異なるレジデンシャル IP が使われます。IP あたりのリクエスト数は 1〜3 件にとどまり、レート制限をはるかに下回ります。手がかりになるのは IP ごとの量ではなく、セッションをまたいだパターンです。

地理的な分散: レジデンシャルプロキシのプールは数百か国に広がっています。これを使うキャンペーンでは、数分のうちに 40 か国以上からリクエストが来ることがあり、これは自然なトラフィックの分布と一致しません。

タイミングの異常: レジデンシャルプロキシ経由の自動化されたキャンペーンでは、リクエストの間隔が規則的すぎる(ログイン間隔が 1 秒未満)、または不規則すぎる(人間の操作速度と矛盾するバースト状のパターン)ことがよくあります。

端末と IP の不一致: アイオワ州の田舎にいるモバイル端末を名乗るセッションが、ヒューストンの Comcast の住宅 IP から来ています。ジオロケーションは家庭として矛盾はありませんが、申告された端末やセッションの挙動とは矛盾しています。

IP を調べる: 実際のルックアップ

アドレスをレジデンシャルプロキシと判定する前に、まずルックアップしてください。以下は 104.28.46.99 に対する GeoIPHub API の実際のレスポンスで、この問いに関わるフィールドだけに絞っています。

このアドレスはレジデンシャルプロキシではまったくありません。iCloud Private Relay の出口であり、その背後にいるのは、プライバシー機能を有効にした有料の Apple 顧客である可能性がきわめて高いということです。API はそれを直接示しており(is_relay: true、relay_provider: "iCloud Private Relay")、スコアは 9、推奨アクションは allow です。

これが「レジデンシャルプロキシが多すぎる」ダッシュボードの落とし穴です。「想定外の場所にある一般消費者向け IP かどうか」だけを調べると、リレーのトラフィック、モバイルキャリアの NAT、本物のプロキシ出口は、どれも似たように見えます。detection_methods を読んでどのシグナルが作動したのかを確認し、is_residential_proxy は、プロキシネットワークを直接観測した結果ではなく、ASN に基づく大まかな推定として扱ってください。誰かをブロックする前に、上述のセッションパターンと組み合わせて判断しましょう。

対応方法

ほとんどのフローでは、レジデンシャルプロキシの検出は、強制的なブロックではなくリスクスコアに反映させるべきです。推奨される対応は状況によって異なります。

重要な原則は、レジデンシャルプロキシは強いシグナルではあるものの、それだけで最終判断になることはまずないということです。プライバシーを重視する正当なユーザーが、レジデンシャルプロキシサービスを使うこともあります。正当な市場調査担当者なら、確実に使います。強制的なブロックは、高い再利用スコア、不正履歴、行動の異常、同一セッション内での複数の検出など、他のシグナルとレジデンシャルプロキシが同時に現れた場合に限りましょう。

量が増えている理由

ツールがレジデンシャルプロキシを大量に検出しているのは、検出が過剰に反応しているからではありません。次のような事情を示しています。

1. 攻撃者がデータセンタープロキシ(検出しやすい)からレジデンシャルプロキシ(検出しにくい)へ移行した
2. 自社の検出が、攻撃トラフィックのある場所に追いついた
3. 商用のレジデンシャルプロキシ市場が拡大し、低価値の不正行為にも使えるほど安価になった

以前のツールでレジデンシャルプロキシの比率が低く出ていたなら、おそらく検出できていなかっただけです。それらは最初からなくなっていたわけではありません。正確な検出によって、攻撃対象領域の本当の規模が見えてきます。

広告主はこの変化を最も強く感じています。ログインルールを破るのと同じレンタルのレジデンシャル IP が、広告プラットフォームの IP 除外リストも破るからです。だからこそ、IP アドレスによるクリック不正の検出は、ブロックの問題ではなくスコアリングの問題として扱う必要があります。

関連記事

• レジデンシャルプロキシ不正の検出: 完全ガイド: 検出の仕組みを詳しく解説
• アカウント乗っ取りとクレデンシャルスタッフィング: レジデンシャルプロキシがクレデンシャルスタッフィングを大規模に可能にする仕組み
• IP レピュテーションとは: レジデンシャルプロキシの履歴がレピュテーションスコアにどう反映されるか

よくある質問

レジデンシャルプロキシとは何ですか?

レジデンシャルプロキシは、Comcast や Vodafone などの一般消費者向け ISP が世帯に割り当てた、実際の家庭用インターネット回線の IP アドレスを経由してトラフィックを中継する仕組みです。出口 IP が一般の家庭ユーザーのものに見えるため、データセンター IP を遮断するチェックをすり抜けます。レジデンシャルプロキシのネットワークは、マルウェアに感染した端末(同意なく乗っ取られたもの)か、ユーザーが帯域を何か(「無料」の VPN やゲームなど)と引き換えに提供するピアツーピアのプロキシアプリのどちらかから構築されます。

レジデンシャルプロキシが一見正当なトラフィックに現れるのはなぜですか?

正当に見えるように作られているからです。IP は実在する家庭のアドレスなので、ASN チェックは通過し、ジオロケーションは実在する地域を返し、データセンター IP を遮断する基本的な不正対策ルールも作動しません。攻撃者が IP ベースの制御を大規模に回避する必要があるとき(クレデンシャルスタッフィング、広告不正、スクレイピング、カーディング)、周囲に溶け込めるレジデンシャルプロキシが選ばれる道具になります。

レジデンシャルプロキシのネットワークはどのように IP を集めていますか?

主な入手元は 2 つあります。1 つ目はマルウェアのボットネットです。マルウェアに感染した端末が、被害者の自宅回線を通じて攻撃者のトラフィックをひそかに中継します。ユーザーは気づいていません。2 つ目は同意に基づくピアツーピアのネットワークです。SDK の提供者がアプリ(VPN、ファイル共有ツール、ゲームなど)にプロキシ機能を組み込み、ユーザーは無料サービスと引き換えに、それと知らずに帯域の共有に同意します。Honeygain、Peer2Profit などのサービスはこの方式を合法的に運営しており、マルウェアのボットネットは同じことを違法に行っています。

レジデンシャルプロキシの検出はすべて悪意のあるものですか?

いいえ。市場調査、広告検証、アクセシビリティテストのための正当なレジデンシャルプロキシサービスも存在し、レジデンシャルプロキシのトラフィックのうち、こうした業務用途が占める割合はわずかです。ただし、EC のチェックアウト、金融口座へのログイン、コンテンツプラットフォームといった一般消費者向けの場面では、実在の顧客がレジデンシャルプロキシを使う正当な理由はほとんどありません。適切な対応は、自動的にブロックすることではなく、高リスクのシグナルとして扱うことです。

レジデンシャルプロキシの IP をすべてブロックすればよいのではありませんか?

IP は絶えず入れ替わり、実在の家庭に属しているからです。今日プロキシとして使われた住宅 IP をブロックすると、明日、あるいは同時刻にも、実在の顧客をブロックしてしまうかもしれません。CGNAT や共有ルーターのために、複数の人が同じ IP を使っているからです。ほとんどのフローでは、レジデンシャルプロキシの検出を他のセッションシグナルと組み合わせ、強制的なブロックではなく、チャレンジ(ステップアップ MFA、メール認証)に引き上げる方法が適切です。

レジデンシャルプロキシの検出は VPN の検出とどう違いますか?

VPN の検出は比較的単純です。VPN サーバーはサーバーソフトウェアを実行し、データセンターの ASN を持ち、プロトコルのプローブに応答します。レジデンシャルプロキシはその逆で、出口 IP は住宅用、ISP は一般消費者向けのプロバイダーであり、プローブできるサーバーソフトウェアもありません。検出には行動面のシグナルが必要です。たとえば、プロキシネットワークの広告に IP が現れること、異常なトラフィックパターン、複数のセッションにまたがる高い再利用、IP の家庭としての特性とセッションの挙動の不一致などです。