プールサイズの見出しはスケールを示すものであり、出自を示すものではない。調達、セキュリティ、コンプライアンスの各チームにとって、レジデンシャルIPキャパシティの出自は、そのプロキシサービスが正当な取引先なのか、それとも管理されていないサイバーリスクなのかを左右しうる。
2つのプロバイダーがどちらも数百万のレジデンシャルIPへのアクセスを販売していることがある。一方は明確で撤回可能な同意と管理されたパートナーシップを通じて参加者を募っているかもしれない。もう一方は不透明なソフトウェア開発キット、誤解を招く開示、あるいはマルウェアを通じてキャパシティを獲得しているかもしれない。買い手からすれば、セキュリティレビュー、法執行機関の措置、あるいはIPレピュテーションの悪さがその違いを露呈させるまで、両者の製品は似たように見えてしまう。
本記事は、マルウェアを出自とするレジデンシャルプロキシと、調達前にエンタープライズチームが求めるべき証拠に焦点を当てる。
キーポイント
- レジデンシャルプロキシの在庫は、透明なオプトインプログラム、あいまいに開示されたプロキシウェア、あるいは明確なマルウェアやボットネットを通じて募集されうる。
- 学術研究および911 S5の訴追事例は、侵害されたデバイスによるネットワークが非常に大規模に運用されてきたことを示している。
- 意味のある同意は必要だが、それだけでは十分ではない。プロバイダーには強力な不正利用対策、モニタリング、パートナーガバナンスも必要である。
- 異常に低い価格そのものは不正行為の証拠ではないが、不透明な経済性や出自に関する回答のはぐらかしは、より深いデューデリジェンスを引き起こすべきである。
- エンタープライズの買い手は、レジデンシャルプロキシの出自を単なる接続性の購入ではなく、サイバーサプライチェーンの依存関係として評価すべきである。
プールサイズは出自ではない
レジデンシャルプロキシは、インターネットサービスプロバイダーが住宅用のネットワークやデバイスに割り当てたIPアドレスを経由してトラフィックをルーティングする。そのネットワーク上の位置は、地域限定の公開ウェブ調査、価格モニタリング、広告検証、検索データ収集といった正当な用途を支えることができる。しかし「レジデンシャル」というラベルは、そのエンドポイントがどのようにネットワークに参加したのか、参加者に何が伝えられたのか、トラフィックをどのような管理体制の下で扱っているのかについては何も語らない。
この区別が重要なのは、エンドポイントが抽象的なクラウドリソースではないからである。それは、個人、家庭、または組織に属する実在の接続である。したがって調達チームは、出自のチェーンとそれを取り巻く運用管理の両方を理解する必要がある。適切な問いは「プールにはIPがいくつあるか」だけではない。「そのIPはどのようにしてそこに到達したのか、そしてその回答を正当化できる証拠は何か」である。
同じ製品ラベルの背後にある3つの調達モデル
| 調達モデル | キャパシティの募集方法 | 買い手が検証すべきこと |
|---|---|---|
| 透明なオプトイン | 参加者は明確な通知を受け、積極的に参加し、価値の交換内容を理解し、不必要な手間なく離脱できる。 | 同意記録、離脱プロセス、パートナーガバナンス、参加者への通知内容、不正利用対策。 |
| プロキシウェアまたはSDKによる収益化 | リレー用のSDKがアプリケーションまたはサービスに組み込まれる。ユーザーは対価、無料機能、その他の利益を受け取ることがあるが、開示や同意の質は大きく異なりうる。 | 正確な同意文言、独立したオプトイン、アプリまたはSDKパートナーとの契約、通知の挙動、監査権、撤回の管理体制。 |
| マルウェアまたはボットネットによる募集 | デバイスは、意味のある許可を得ずに、悪意のあるソフトウェア、海賊版アプリケーション、または隠れたバックドアを通じて登録される。 | 正当性を示す証拠は存在しないはずである。隠密な募集を示す兆候はいかなるものも重大なサプライヤーリスクの検出結果として扱うべきである。 |
中間のカテゴリーは、単純な「倫理的か非倫理的か」というラベル付けが破綻しがちな場所である。ユーザーは技術的には「同意する」をクリックしていても、実際には混乱を招く、束ねられた、あるいは不完全な情報しか受け取っていない場合がある。しっかりしたレビューでは、同意画面が存在するだけで十分とみなすのではなく、その同意が具体的で、十分な情報に基づき、可視化されており、本当に撤回可能であるかを検証すべきである。
侵害されたネットワークやあいまいに募集されたネットワークについて研究が示すこと
2019年のIEEE研究Resident Evil: Understanding Residential IP Proxy as a Dark Serviceは、230を超える国と52,000のインターネットサービスプロバイダーにわたる、およそ600万のレジデンシャルプロキシIPを特定した。研究者らは、観測された多くのプロキシがIoTデバイスを含む侵害された可能性のあるホスト上で動作していると見られると報告し、一部のホストをフィッシング、マルウェアのホスティング、その他の不正行為に関連づけた。
2021年のNDSS研究によるモバイルプロキシネットワークの調査では、963のアプリケーションにわたる1,701のAndroidパッケージにプロキシSDKが含まれており、合計で少なくとも3億件のインストールがあることが判明した。研究者らは、同意の通知が分かりにくい場合があることを発見し、通知を表示せずにトラフィックを中継していた1つのSDKを記録した。また、パッケージの48.43%が少なくとも5つのアンチウイルスエンジンによってフラグ付けされ、アプリケーションの86.60%が2019年10月までにGoogle Playから削除されていたことも報告している。
より最近の研究は重要な留保を加えている。自発的にインストールされたネットワークであっても、顧客の活動が管理されていなければ、実質的な下流リスクを伴いうるということである。2024年の研究では、8つのユーザーインストール型レジデンシャルプロキシアプリケーションを7.5か月間運用し、368GBのプロキシ経由トラフィックを分析した。そのケーススタディは、出会い系プラットフォームでの不正行為、フィッシング関連の活動、ウェブスクレイピングでの使用可能性を示しており、参加者の同意に加えて、不正利用の検出とプロバイダー側の管理の必要性を強調している。
同意は入口の管理であり、管理体制のすべてではない。正当性を主張できるレジデンシャルネットワークには、パートナー監督、許容利用ポリシーの施行、トラフィックのモニタリング、インシデント対応、そして不正利用または侵害されたエンドポイントを除去するプロセスも必要である。
ケーススタディ：911 S5ボットネットが明らかにしたこと
911 S5事件は、マルウェアによって供給されたレジデンシャルプロキシサービスが世界規模で運営されていたことを示す最も明確な公開事例である。2024年5月、米国司法省は同サービスの運営停止を発表し、その運営者と目される人物を逮捕した。起訴状および公式発表によれば、マルウェアは無料VPNアプリケーション、海賊版ソフトウェア、有料インストール型のバンドルを通じて配布され、190を超える国にわたる1,900万を超えるユニークIPアドレスへのアクセスを生み出していた。
FBIは911 S5を最大級のレジデンシャルプロキシサービスおよびボットネットの一つと表現し、所有者が自分の接続がリレーとして使用されていることを知らなかった侵害済みデバイスから構築されたものだと述べた。当局はこのサービスを数十億ドル規模の確定被害額に関連づけており、起訴状は運営者が乗っ取られたIPアドレスへのアクセスを販売することで約9,900万米ドルを受け取ったと主張している。
この事件は、調達リスクが技術的パフォーマンスだけでは終わらない理由も示している。米財務省はこのネットワークに関連する個人および団体を制裁した。プロバイダーまたは関連する事業体が刑事手続きや制裁の対象となった場合、顧客は自分たちが行ったデューデリジェンスの内容、公的な措置後も取引を継続していたかどうか、そして重要な取引先をどれだけ迅速に代替できるかを説明する必要が生じうる。
買い手に移りうる4つのリスク
1. プライバシーおよび法的リスク
法的な分析は、データ、役割、管轄区域、契約上の取り決めに依存する。IPアドレスは状況によっては個人データを構成しうるものであり、個人データの処理にサプライヤーを利用する組織は、法的根拠、透明性、セキュリティ、契約、および継続的なサプライヤー保証を評価する必要がある。英国情報コミッショナー事務局(ICO)は、コントローラーは処理者が十分な保証を提供しているかどうかを評価し、継続的にコンプライアンスをモニタリングすべきであると述べている。
これは、すべてのプロキシ取引が同じ法的リスクを生じさせるという意味ではない。しかし、サービスが個人のデバイス、ネットワーク識別子、または国境を越えたデータフローを伴う可能性がある場合、買い手はあいまいな出自の主張を受け入れるべきではないということを意味している。参加者が意味のある許可を与えていない場合、その調達モデルは深刻なプライバシー、契約、監査上の懸念を生じさせる可能性がある。組織は自らの用途に基づいた助言を得るべきである。この点についての当社独自の見解はレジデンシャルプロキシとGDPRコンプライアンスにある。
2. サイバーおよびサプライチェーンのリスク
プロキシプロバイダーは顧客のデジタルサプライチェーンの一部となる。それはネットワークトラフィック、認証情報、ルーティングメタデータを扱い、SDKパートナーや他の上流サプライヤーに依存している場合がある。英国国家サイバーセキュリティセンター(NCSC)は、組織が自らのサプライヤーが誰であるかを理解し、それらが生じさせるリスクを評価し、適切な管理体制が整っているという確信を得るべきだと推奨している。
レジデンシャルプロキシの購入において、これはプロバイダーが自らのサプライチェーンをどこまで追跡できるか、パートナーがどのように評価されているか、第三者がどのような技術的アクセスを保持しているか、そしてインシデントがどのように調査されるかを問うことを意味する。自らのエンドポイントの出自をマッピングできないプロバイダーは、顧客に対して測定不能な依存関係を受け入れるよう求めていることになる。
3. 運用上のリスクとIPレピュテーションのリスク
侵害されたエンドポイントには、すでに不正利用の履歴、ブロックリストへの露出、あるいは疑わしい活動の評判が付いている可能性がある。実際には、これはより多くのCAPTCHA、より多くの再試行、より低い完了率、使用可能な結果1件当たりのより高い帯域幅コストにつながりうる。このため、出自は品質の問題でもある。当社のIPレピュテーションに関するガイドでは、不正利用の履歴とプールの管理不足が、本来レジデンシャルであるはずのIPが対象サイトから信頼されるかどうかにどのように影響しうるかを説明している。
4. 捜査、制裁、レピュテーションのリスク
法執行機関による摘発は、インフラ、アカウント、取引記録を調査の対象として露出させる可能性がある。これはすべての顧客が有罪であることを意味するわけではないが、監査、法務、レピュテーションに関して大きな作業を発生させうる。制裁はさらなる懸念を生じさせる。組織は、サプライヤー、所有者、または関連事業体が指定された場合にそれを特定し対応できるよう、スクリーニングとエスカレーションのプロセスを必要とする。
価格はデューデリジェンスのシグナルであり、証拠ではない
異常に低い価格は、そのネットワークがマルウェアを出自としていることの証明にはならない。スケール、自動化、商業戦略、長期契約はいずれもコストを下げうる。しかし正当なレジデンシャルキャパシティにも経済性は存在する。参加者や販売パートナーには明確な価値交換が必要であり、エンドポイントにはモニタリングが必要であり、プロバイダーは不正利用対策、サポート、ネットワーク保守に資金を投じなければならない。
したがって有用な調達上の問いは「この価格は安すぎて本当ではないのではないか」ではない。「プロバイダーはこの価格の背後にある経済性と管理体制を説明できるか」である。正当性を主張できるサプライヤーは、参加者がどのように募集されているか、何を受け取っているか、同意がどのように記録されているか、パートナーがどのように統制されているか、そして不正なトラフィックがどのように検出されているかを説明できるはずである。もし答えが単に「独自技術のため非公開」であるなら、リスクは買い手に残ることになる。
レジデンシャルプロキシ調達のためのデューデリジェンス・チェックリスト
以下の問いは、広範な倫理的主張を、調達、セキュリティ、コンプライアンスの各チームが評価できる証拠へと変換するものである。レビューの深さは、用途と、関わるデータやシステムの機密性に応じて適切なものであるべきだ。
| 質問 | 求めるべき証拠 | 潜在的な危険信号 |
|---|---|---|
| エンドポイントはどのように募集されているか | 文書化された調達モデル、パートナーの分類、参加者の体験フロー、地理的制限。 | プロバイダーが「グローバルパートナー」以上に自らのサプライチェーンを説明できない。 |
| 同意はどのようなものか | 実際の通知文、独立したオプトイン、バージョン履歴、離脱プロセス、参加者向けサポート窓口。 | 同意が長大な利用規約に埋め込まれている、事前選択されている、離脱が難しい、あるいは一貫して表示されていない。 |
| 参加者はどのような価値を受け取るか | 対価、サービス上の利益、その他の交換内容の明確な説明、およびそれを誰が負担しているか。 | デバイス所有者が参加する理由についての一貫した説明がない。 |
| SDKおよび配布パートナーはどのように統制されているか | 契約、監査権、技術的な制限、承認基準、現在のサブサプライヤー一覧。 | 制限のないサブ配布、またはSDKがどこに埋め込まれているかを特定できないこと。 |
| 顧客による不正利用はどのように管理されているか | 許容利用規則、顧客のリスク評価、トラフィックのモニタリング、レート制御、調査および解約手続き。 | 「一切質問しない」販売モデル、または執行の証拠がないこと。 |
| エンドポイントの品質はどのように管理されているか | IPレピュテーションのモニタリング、ブロックリストの確認、エンドポイントの廃止、インシデント指標、修復プロセス。 | プールサイズが品質よりも優先され、燃え尽きたエンドポイントや疑わしいエンドポイントが稼働し続けている。 |
| どのような独立した保証が存在するか | 関連する監査報告書、認証、ペネトレーションテストの概要、ポリシー、セキュリティ担当窓口。 | 範囲、日付、裏付けとなる文書のないロゴのみ。 |
| インシデント発生時には何が起きるか | インシデント対応計画、通知に関する約束、証拠保全、制裁スクリーニング、退出または事業継続の取り決め。 | 明確な担当者がいない、通知の期限がない、影響を受けたエンドポイントを隔離するプロセスがない。 |
正当性を主張できる調達とはどのようなものか
正当性を主張できるレジデンシャルプロキシネットワークは、次の5つを実証できるはずである。
- 追跡可能な出自。 プロバイダーはエンドポイントがどこから来たのかを説明でき、パートナーチェーンをどこまで見通せるかを示せる。
- 意味のある参加。 人々は明確な情報を受け取り、積極的な選択を行い、離脱できる。
- 能動的な不正利用ガバナンス。 調達の管理は、顧客側の管理、モニタリング、執行によって補完されている。
- 独立した保証。 セキュリティおよびコンプライアンスに関する主張は、最新かつ範囲の明確な証拠によって裏付けられている。
- 運用の透明性。 プロバイダーはインシデント、エンドポイントの品質、サービス継続性、修正措置について説明できる。
Shifterでは、買い手は自らが評価するあらゆるプロバイダー(当社を含む)に対して、これらの問いへの文書化された回答を期待すべきだと考えている。「倫理的に調達された」は、それだけで議論を終わらせるマーケティング用語であってはならない。それは、証拠に基づくレビューの出発点であるべきだ。より広いガバナンスの文脈については、当社のAIデータ収集のための倫理的なレジデンシャルプロキシガイドを参照してほしい。
結論
プールサイズは、プロバイダーがどれだけのキャパシティを提供すると主張しているかに答える。出自は、企業がその購入を正当化できるかどうかに答える。侵害されたネットワークやあいまいに募集されたネットワークに関する研究、そして911 S5事件は、レジデンシャルプロキシの調達が、サイバーサプライチェーン保証、処理者に対するデューデリジェンス、運用上のレジリエンスと同じ議論の中に位置づけられるべきものであることを示している。
市場に必要なのは、もう一つの未検証な「倫理的」バッジではない。必要なのは調達基準である。すなわち、明確な募集方法、意味のある同意、パートナーへの責任、不正利用対策、そして追跡的な質問にも耐えうる証拠である。説明のつかない価格差は、そうした問いを促すものであるべきで、問いに取って代わるものであってはならない。
もし貴社の調達、セキュリティ、またはコンプライアンスチームがレジデンシャルプロキシインフラストラクチャを評価しているのであれば、ネットワーク管理、導入要件、そして貴社のレビューのために利用可能な保証文書についてShifterチームに相談してほしい。
本記事は一般的な情報提供のみを目的としており、法的助言を構成するものではない。
よくある質問
マルウェアを出自とするレジデンシャルプロキシとは何か。
これは、意味のある許可を得ずに登録されたデバイスから作られたレジデンシャルプロキシのエンドポイントであり、通常はマルウェア、隠れたバックドア、または欺瞞的なソフトウェア配布を通じて生じる。買い手はレジデンシャルIPへのアクセスを得るが、デバイスの所有者はその接続の提供に知りながら同意していない。
安価なレジデンシャルプロキシは常にマルウェアを出自としているのか。
いいえ。低価格はスケール、効率性、または商業戦略から生じることがある。プロバイダーが参加者の募集方法、対価の支払い、情報提供、保護の方法を説明できない場合に、それはデューデリジェンスのシグナルとなるべきである。
911 S5ボットネットとは何だったか。
911 S5は、マルウェアによって侵害されたデバイスから構築されたレジデンシャルプロキシサービスであった。米国当局は、190近い国にわたる1,900万を超えるIPアドレスが関与し、大規模なサイバー犯罪を可能にしたと述べた。米国司法省は2024年5月に同サービスの運営停止と、運営者と目される人物の逮捕を発表した。
ユーザーのオプトインがあれば、レジデンシャルプロキシネットワークは安全になるか。
それだけでは安全にならない。意味のある同意は不可欠な調達管理であるが、プロバイダーはSDKパートナーを統制し、顧客の活動をモニタリングし、許容利用規則を執行し、不正利用を調査し、侵害された、あるいは燃え尽きたエンドポイントを除去する必要もある。
エンタープライズの買い手はどのような証拠を求めるべきか。
調達モデル、参加者の同意と離脱プロセス、パートナーガバナンスの管理体制、不正利用モニタリングのプロセス、エンドポイント品質の管理体制、独立した保証の証拠、サブサプライヤーに関する情報、インシデント対応の約束事について問い合わせるべきである。
レジデンシャルプロキシの利用はコンプライアンスに適合しうるか。
正当な業務用途を支えることはできるが、コンプライアンスは調達モデル、意図された活動、関わるデータ、管轄区域、契約、技術的な管理体制に依存する。組織は自らの役割を評価し、必要に応じて法的助言を得るべきである。