IPアドレスで接続元は特定できるか ─ 捜査・調査での扱い方と摘発の年表

IPアドレスの先にいるのは、事件と無関係の契約者かもしれない

IPアドレスからたどれるのは回線の契約者までで、その人が通信を操作したとは限りません。

2025年に警察が認知した証券口座への不正アクセスでは、IPアドレスから契約者を特定して自宅を訪ねると、契約者は関与を否定しました。調べると、動画ストリーミングデバイスに入れた音楽視聴アプリが、レジデンシャルプロキシとして第三者の通信を中継していました（警察庁の資料）。

レジデンシャルプロキシは、一般家庭の回線を中継点にして、通信の出どころを隠す仕組みです。記録に残ったIPアドレスが何を表すかは、最初の時点では見分けられません。

このため、IPアドレスは通信がインターネットに出た地点の記録として扱い、身元の証明としては扱いません。調べる流れは次のとおりで、この記事もこの順に進みます。

この記事は、Spur社の公開資料、米司法省・Google社・Lumen社・警察庁などの発表、弊社がSpur社のデータを集計した結果をもとに書いています。レジデンシャルプロキシの仕組みは、次の記事で解説しています。

関連記事レジデンシャルプロキシとは ─ 仕組みと悪用のリスク、検知の考え方一般家庭の回線が中継点になる仕組みと、回線が集められる経路、悪用の実態をまとめています。日本のレジデンシャルプロキシを5年分のデータで集計し、IPアドレスの一覧で止める対策が効きにくい理由と、判断の組み立て方も解説しています。

契約者の情報は、出口の持ち主の情報

回線事業者が示せるのは、その時刻にそのIPアドレスを割り当てた契約者です。レジデンシャルプロキシが使われていれば、それはプロキシの出口になった回線の持ち主で、あいだにはプロキシの事業者がいます。接続を売る会社と出口の機器を動かす網が、再販によって別々のこともあります。

この構造を知らずに進めると、次の誤りが起きます。

• 関与していない契約者を追い続ける
• 同じ運営者が使った別々の出口を、別々の相手と見てしまう
• 契約者がいちばん近い手掛かりに見えて、プロキシの事業者という調べ先を見落とす

記録の段階で決まること：時刻、タイムゾーン、ポート番号

IPアドレスは、時刻とポート番号と組で残します。プロキシとしての使われ方は日ごとに変わり、あとから照会しても事件のときの状態は分からないためです。

国内の民事の発信者情報開示の制度でも、IPアドレスは、組み合わされたポート番号と、送信された年月日・時刻と組で、発信者情報として総務省令（第2条）に定められています。

「誰のIPアドレスか」の前に「何の回線だったか」を確かめる

最初に問うのは「誰のIPアドレスか」ではなく、「事件のとき、どういう種類の接続だったか」です。答えによって、契約者の情報の意味と、次の調べ先が変わります。

通常の家庭・事業所の回線なら、契約者の情報がそのまま手掛かりになります。それ以外の7つでは、契約者の情報は出口や共有の地点の情報にとどまります。

照会は「事件の日付」で行う

回線の種類は、事件の日の状態で確かめます。弊社の集計では、日本のレジデンシャルプロキシのIPアドレスは毎日15%前後が入れ替わっており、今日の照会は過去を表しきれません（Spur社が観測できた範囲での数字）。このため、日付を指定して照会できるデータが重要です。

古い一覧がどれだけ当たらなくなるかは、レジデンシャルプロキシの解説記事で集計しています。

詳細記事レジデンシャルプロキシとは ─ 一覧は1週間で半分外れる日本のレジデンシャルプロキシのIPアドレスが毎日どれだけ入れ替わるかを、Spur社のデータで集計しています。ある日の一覧で、1週間後・1か月後・1年後のIPアドレスをどれだけ止められるかも示しています。

サービス名が分かると、次に当たる先が変わる

プロキシやVPNの出口だったなら、どのサービスかを確かめます。サービス名は、次の調べ先を決める手掛かりになります。

• 運営者や再販業者を割り出す
• 関わる国の法律の見当をつける
• 事業者が記録を残しているか、どう求めるかを調べる
• 複数のIPアドレスを、同じ網の出口として結びつける
• 相手の移動か、プロキシの切り替えかを見分ける

ただし、サービスを売る会社が網の機器を動かしているとは限りません。IPIDEAでは独立に見える13のブランドが同じ運営者の管理下にあり、NetNutの網も多くのブランドが自社の名前で売っていました。サービス名は、運営者そのものではなく、運営者へたどる入口として扱います。

複数のIPアドレスは、まとめて見る

いくつものIPアドレスは、1つずつではなく、まとめて見ると形が分かります。IPアドレスや位置が変わっても相手の移動とは限らず、プロキシの切り替えのことがあります。

• 同じプロキシのサービスが、繰り返し使われている
• 家庭の回線、VPN、データセンターのあいだを行き来している
• 狙う地域が一貫している
• IPアドレスが、短い間隔で入れ替わっている
• 複数のアカウントや事件で、同じ網が使われている

Spur社が公開している金融機関の事例では、ばらばらに見えた家庭の回線のIPアドレスを照合し、少なくとも2つの攻撃者が別々のサービスで似た手口を使っていたと分かりました。

なお、日本のレジデンシャルプロキシのIPアドレスの約3割には、2つ以上の事業者のタグが付いています（弊社の集計）。同じIPアドレスが出ても同じサービスとは限らないため、事件の日付で付いていたタグまで確かめます。

IPアドレスで言えること、言えないこと

IPアドレスは、捜査・調査の手掛かりと、ほかの証拠の裏付けとして使います。

手間をかける先は、回線の種類、サービスの特定の確かさ、時刻の精度、管轄、裏付けの有無で決めます。そのうえで、認証の記録、端末の識別子、決済や取引、通信の記録、事業者の回答、端末の調査の結果と合わせて評価します。

IPアドレスは、帰属を支えることも否定することもありますが、それだけで人を特定する根拠にはしません。

レジデンシャルプロキシの網の摘発・停止措置

レジデンシャルプロキシの網は、法執行機関の摘発と企業の措置で、繰り返し止められてきました。

対象の名前から、各機関・各社の発表を開けます。

年表から、捜査に持ち帰ること

網を止めることと、出口になる回線がなくなることは別です。

大規模な停止措置のあとも日本のレジデンシャルプロキシが増え続けていることは、レジデンシャルプロキシの解説記事で集計しています。

詳細記事レジデンシャルプロキシとは ─ 事業者を止めても、出口は残る1つのIPアドレスに複数の事業者のタグが付く割合と、付く事業者の組み合わせの変わり方を、日本のデータで集計しています。大規模な停止措置のあとも、日本のレジデンシャルプロキシが増え続けていることも示しています。

事件の時点を確かめるデータを選ぶ

ここまでの手順には、事件の時点でIPアドレスが何として使われていたかを確かめられるデータが必要です。

件数が多いとき、ログと突き合わせたいとき、外部に問い合わせずに済ませたいときは、データを自組織の環境に置く形が向いています。

弊社では、この用途に使えるデータとして、SpurとIPinfoを扱っています。どちらも、IPアドレスごとにプロキシのサービス名を返します。

返る項目の読み方は、レジデンシャルプロキシの解説記事で、照会結果の実例とともに説明しています。

詳細記事レジデンシャルプロキシとは ─ どのデータで判断するかIPインテリジェンスのデータを選ぶときの3つの観点と、Spurの照会結果で見る7つの項目を、東京のVPNの出口の実例で説明しています。APIとデータフィードの使い分けもまとめています。

関連製品Spur｜VPN・プロキシ・ボットネット検知プラットフォーム匿名化インフラの観測データを、API・オンプレミスのデータフィード・セッション単位の判定という3つの形で提供しています。日付を指定した過去の照会と、提供形態・プランをまとめています。

関連製品IPinfo｜IPインテリジェンスツールIPアドレスの位置情報、ネットワーク属性、VPN・プロキシの検知と、レジデンシャルプロキシのデータセットを、APIとデータベースで提供しています。提供形態とお取り扱いのプランをまとめています。

捜査・調査での使い方や、過去のデータの扱いについては、お問合せください。