家庭用回線（レジデンシャルプロキシ）経由の不正ログインを見抜く

背景

• GreyNoise の調査で、NAS や録画機（D-Link ShareCenter、UniFi Video NVR など）の既知の脆弱性を突いて少なくとも 143 台を乗っ取り、回線共有アプリ「Pawns.app」を攻撃者のアカウントで入れて収益化する「プロキシジャッキング」が見つかった。一部では攻撃者の SSH 鍵も追加されていた。
• 別の侵入事例では、Entra ID のサインインログにある IP が会社の所在地に合う家庭用回線だった。発覚の決め手は、複数の利用者が同じ家庭用 IP から認証していたこと。
• 同じ IP が無関係な攻撃の中継にも使われるため、「レジデンシャルプロキシだった」だけではそのログインが不正かどうかは決められない。

検知のしかた

1. 認証ログで、1 つの IP から認証した異なるユーザー数を数える。家庭用回線の IP で 2 人以上は要調査。
2. そのログインの端末 ID、セッション ID、User-Agent を、本人のふだんの値と比べる。所在地が合っていても、端末やブラウザーの特徴が合わなければ疑う。
3. 認証ログの IP を、プロキシ判定や脅威インテリジェンスのデータと突き合わせる。
4. 怪しければ、該当ユーザーのセッションを失効させ、MFA の登録内容と最近の操作を確認する。

Entra ID のサインインログを Log Analytics に送っている場合の例（KQL）：

SigninLogs
| where TimeGenerated > ago(7d) and ResultType == 0
| summarize Users = dcount(UserPrincipalName), UserList = make_set(UserPrincipalName, 20) by IPAddress
| where Users >= 2
| order by Users desc

社内の NAT やオフィスの固定 IP は除外リストにしてから見る。

自分の機器が「踏み台」にされないために

• NAS・録画機・ルーターなどのネット側に出ている機器は、更新を止めない。サポートが切れた機器は外に出さない。
• 機器の authorized_keys に見覚えのない鍵がないか確認する。
• 社員には、「回線を貸して稼ぐ」系の無料アプリを私物端末にも入れないよう伝える。

追記（2026-10-25）: CGNAT 配下では IP 単位で拒否しにくい

• 携帯回線や Starlink など、1 つの IPv4 アドレスを多数の利用者で共有する（CGNAT）ISP では、そのアドレスにレジデンシャルプロキシがいても、同じアドレスを使う他の人については何もわからない。
• MaxMind の GeoIP Residential Proxy データは、こうした ISP の IPv4 ネットワークでは信頼度を最小値 1 にするよう変更した（2026-10-11 に Starlink などの一部 ISP から適用）。
• そのため、レジデンシャルプロキシ判定だけで IP を拒否すると、正規の利用者を巻き込みやすい。信頼度の値を見て、低いときは拒否ではなく追加認証やリスクスコアの加点にとどめる。
• 出典: @matsuu · 2026-10-24 、MaxMind dev.maxmind.com

出典

• @MalwareBibleJP · 2026-10-20
• GreyNoise「skynox7: Proxyjacking Edge Devices Into Residential Proxies」: greynoise.io