概要
Google Threat Intelligence Group（GTIG）・FBI・IRS-CIの協調作戦により、世界200万台以上のIoT機器（スマートTV・ストリーミングボックス等）を住宅用IPプロキシ出口ノードとして不正利用していた NetNut（別名 Popa） ネットワークが摘発されました。運営元はイスラエルのナスダック上場企業 Alarum Technologies であり、FBIはNetNutの主要ドメインを差し押さえました。情シス担当者は、住宅用IPアドレス経由の不審なアクセスパターンを検知するSIEMルールの見直しと、管理デバイスへのGoogle Play Protect等の公式ストア経由アプリ利用を即時確認すべきです。
目次
1. 何が起きたか
2026年7月2日、Google Threat Intelligence Group（GTIG）は公式ブログで、FBI・IRS-CI（米国内国歳入庁犯罪捜査部門）・通信セキュリティ企業 Lumen との協調により、住宅用IPプロキシサービス NetNut（別名 Popa）の摘発を発表しました。
NetNut を運営していたのは、イスラエルのナスダック上場企業 Alarum Technologies（ティッカー: ALAR）です。同社は NetNut ブランドのほか、ホワイトラベル・再販モデルを通じて多数の商用レジデンシャルプロキシブランドにインフラを提供していました。
摘発の経緯
| 日時 | 出来事 |
|---|---|
| 2026年1月 | 関連プロキシサービス IPIDEA が摘発される（NetNut 摘発に向けた前段階） |
| 2026年7月2日 | GTIG が NetNut（Popa）摘発を公式発表 |
| 2026年7月2日 | FBI・IRS-CI が netnut.com、proxyjet.io、divinetworks.com のドメインを差し押さえ |
この摘発は、Googleが継続して実施している「住宅用プロキシネットワーク（レジデンシャルプロキシネットワーク）への対抗措置」の一環として位置づけられています。
2. NetNutの実態とビジネスモデル
レジデンシャルプロキシとは
レジデンシャルプロキシ（住宅用IPプロキシ） とは、一般家庭のインターネット回線に割り当てられた本物のIPアドレスを、第三者の通信を中継するプロキシ出口ノードとして利用する仕組みです。データセンター発のIPアドレスとは異なり、一般ユーザーのIPアドレスに見えるため、企業のセキュリティ対策やジオブロック・ボット検知を回避しやすい性質があります。
正規のビジネス用途（地理的制限のテスト等）もある一方で、犯罪グループによるフィッシング・スパム送信・情報収集・認証情報詰め込み攻撃（クレデンシャルスタッフィング）など幅広い悪用が確認されています。
IoT機器への感染経路
NetNut は以下の方法で家庭用IoT機器を感染させ、プロキシ出口ノードとして悪用していました：
- スマートTV・ストリーミングボックスのアプリに NetNut SDK を組み込む
- アプリがインストールされたデバイスは所有者の知らぬ間にプロキシノードとして動作
- デバイスの住宅用IPアドレスが、サイバー犯罪者を含む NetNut の顧客に「出口ノード」として貸し出される
世界で少なくとも 200万台 の家庭用IoT機器が、この方法でプロキシ網に組み込まれていました。
KYC（本人確認）の問題
GTIG は、NetNut が顧客の本人確認（KYC: Know Your Customer）が著しく不十分であったと指摘しています。実名を明かさない利用者でもプロキシ網を購入・運用できる環境が、犯罪グループによる悪用を容易にしていました。
ホワイトラベル・再販モデルによる広範な拡散
NetNut はホワイトラベル・再販業者を通じた広範な提供モデルを採用していたため、多くの商用レジデンシャルプロキシブランドが実質的に NetNut のインフラを利用していたと GTIG は評価しています。これにより、NetNut インフラは表向き別ブランドを装いながら、サイバー攻撃のプロキシ基盤として機能し続けていました。
Alarum Technologies の立場
Alarum Technologies は捜査への協力姿勢を表明している一方、「ボットネット」という表現には従来から異議を唱えています。同社は NetNut を合法的なビジネスとして位置づけていますが、今回の法執行機関による摘発を受けて主要ドメインが差し押さえられました。
3. Googleと法執行機関が講じた対抗措置
Googleの3段階対抗措置
GTIG は以下の3段階で NetNut への技術的対抗措置を実施しました：
① Googleアカウント・サービスの無効化
NetNut が C2（指令・制御）に利用していた Google アカウントおよび Google サービスを無効化しました。これにより、NetNut のボットネット制御基盤の一部が機能停止しました。
② 技術情報の業界・機関共有
NetNut の SDK およびバックエンド C2 インフラに関する技術情報を、業界パートナー・法執行機関・セキュリティ研究機関と共有しました。これにより、他のセキュリティ企業・機関が独自の対抗措置を講じることが可能になりました。
③ Google Play Protect による自動警告・無効化
Google Play Protect を通じて、NetNut SDK を内蔵するアプリを自動的に警告・無効化します。既存インストール済みアプリへの対応に加え、今後の新規インストール防止も実施します。Android ユーザーは Play Protect が有効であれば、NetNut 組み込みアプリから自動的に保護されます。
FBIによるドメイン差し押さえ
FBI および IRS-CI は以下のドメインを差し押さえました：
| 差し押さえドメイン |
|---|
| netnut.com |
| proxyjet.io |
| divinetworks.com |
これらのドメインは NetNut の主要なサービス提供・マーケティング基盤であり、差し押さえによりサービス継続が困難になりました。
4. 悪用の実態と脅威の深刻さ
316件の脅威クラスタが NetNut 出口ノードを利用
GTIG が分析した2026年6月のある1週間のデータでは、316件の異なる脅威クラスタが NetNut の出口ノードを使用していたことが確認されました。これには以下が含まれます：
- 金銭的動機を持つサイバー犯罪グループ
- 国家関与が疑われるサイバースパイ活動グループ
これは住宅用IPプロキシが、単なる「プライバシーツール」ではなく、組織的なサイバー攻撃のインフラとして機能していることを如実に示しています。
BADBOX 2.0との関連
NetNut のインフラ内には、大規模な Android デバイス感染ボットネットとして知られる BADBOX 2.0 向けのプラグインコンポーネントが確認されています。BADBOX 2.0 はスマートTV・セットトップボックスへの感染で知られており、NetNut との連携によって感染範囲と悪用規模がさらに拡大していた可能性があります。
なぜ住宅用IPが危険なのか
- ファイアウォール・IPブロックリストの回避: 一般家庭のIPアドレスは、通常のセキュリティフィルタリングではブロックされにくい
- ジオロケーション偽装: 任意の国・地域のIPアドレスとして通信できるため、地理的制限をバイパス可能
- ボット検知の回避: データセンター発のIPと異なり、一般ユーザーのアクセスに見えるためCAPTCHAやボット検知を回避しやすい
5. 企業・情シス担当者が取るべき対策
① SIEMルールの見直しと住宅用IP異常アクセス検知
住宅用IPアドレス（ISP管理のレジデンシャルIP）からの大量アクセスや、不審な地理的分散が見られる場合は攻撃の可能性があります。以下を確認・設定してください：
- レジデンシャルIPのASN（Autonomous System Number） からの大量アクセスをSIEMで検知するルールを追加する
- 認証ログに対して、同一アカウントへの複数の地理的に離れたIPからの短時間アクセスを検知する（クレデンシャルスタッフィング対策）
- Threat Intelligence フィードで NetNut / Popa の既知 C2 IP・ドメインをブラックリストに追加する
② MDMとデバイス管理の徹底
- 業務利用するAndroidデバイスには Google Play Protect を有効化 する（設定 > セキュリティ > Play プロテクト）
- MDM（Microsoft Intune等）でアプリインストールを公式ストア（Google Play / Apple App Store）のみに限定するポリシーを適用する
- サイドローディング（非公式ソースからのアプリインストール）を禁止する
③ ルーター・IoT機器の管理
NetNut の感染対象はスマートTV・ストリーミングボックス等の家庭用IoT機器でしたが、企業環境でも同種の機器が会議室・受付等に設置されているケースがあります：
- ネットワーク分離: IoT機器を業務ネットワークから分離されたVLANに隔離する
- ファームウェア・アプリの更新: スマートTV・ストリーミングデバイスのファームウェアを定期的に更新する
- 出口トラフィック監視: IoT機器からの外部通信をファイアウォールで監視し、不審な宛先への通信を検知する
④ KYCの甘いクラウド・プロキシサービスの利用制限
業務上の正規利用であっても、KYC要件が不明確なプロキシサービスや匿名性の高いVPNサービスの業務利用は、情報漏洩リスクや法的リスクを伴う場合があります。利用するサービスのKYCポリシーおよびデータ取り扱い方針を確認してください。
まとめ
Google・FBI・IRS-CIによる NetNut（Popa）摘発は、住宅用IPプロキシが組織的なサイバー攻撃インフラとして機能している実態を改めて示しました。200万台のIoT機器が知らぬうちにプロキシ出口ノードとして悪用され、316件もの脅威クラスタが1週間でNetNutを利用していたという事実は、IPベースのセキュリティ対策だけでは不十分であることを意味します。情シス担当者は、住宅用IPアドレスからの不審アクセスを検知するSIEMルールの見直し、デバイスへのPlay Protect有効化、IoT機器のネットワーク分離を優先的に実施してください。