皆さまどうもこんにちは、@strinsert1Na という人です。 普段は情報セキュリティ部のマネージャーとして働いている筆者ですが、「たまには羽を伸ばしたい!」というモチベーションから先月開催されたセキュリティカンファレンス「BSides Tokyo 2026」に登壇し、近年世間を騒がせているレジプロ関連の話題についてお話ししてきました。 この記事では、筆者が発表した内容の簡単な紹介に加えて、カンファレンスの様子や参加してみた感想についてまとめたいと思います。
はじめに ― What is BSides Tokyo?
まずはじめに、情報セキュリティコミュニティにおける「BSides」について簡単に紹介します。 BSidesとは、有志によるコミュニティ主導で開催されるセキュリティイベント構築フレームワークの総称、およびそれによって開催されるセキュリティカンファレンス群のことを指します。 元々は「時間と枠の都合で Black Hat USA に採択されなかった価値のあるプロポーサルを別の場所(Bサイド)に持ち寄ってコミュニティで共有しよう」という思想で行われているカンファレンスです。 よって、発表テーマはセキュリティに関連していれば自由であることが多く、コマーシャルな雰囲気も感じない非常に楽しい場であることが特徴です。
BSidesのフレームワークは国際的に展開されており、2026年5月時点では72カ国291都市で開かれ日本人の発表者および参加者も多く見られます。1 日本でのBSidesは東京で実施されるタイミングが多く、今年は2026年5月16日に『BSides Tokyo 2026』としてIIJで実施されました。
BSides Tokyo 2026 Tickets are NOW LIVE! 🚀
— Soya Aoyama (@SoyaAoyama) 2026年3月17日
Join us for an amazing day of infosec sessions and community networking in Tokyo! 🇯🇵
🗓 May 16, 2026
📍 Internet Initiative Japan Inc. (IIJ)
🎟 Get your tickets here: https://t.co/NnJBjxnWSh#BSidesTokyo #Infosec #CyberSecurity
筆者は本カンファレンスに『Ghost in the 7‑Zip: The Shadow of Residential Proxies Creeping into Your Life』のタイトルでプロポーサルを提出し、無事に採択されたため登壇をしてきたという流れになります。
何を発表してきたのか? ― What is レジプロ?
唐突ですが、皆さまは2026年1月頃に大きな騒ぎとなった「偽物の 7-Zip インストーラ配布事例」についてご存知でしょうか? wizSafe Security Signal が出したレポート『非公式7-Zip Webサイトにて公開されているインストーラによる不審なファイルの展開』を機会に知ったという方もいらっしゃるのではないかと思います。
こちらの偽インストーラ起因のマルウェアに感染するとどうなるかというと、感染端末はバックグラウンドで第三者の通信をプロキシするようになります。 このような一般家庭や住宅の回線を通信の出口IPとして利用するプロキシを『在宅用プロキシ(レジデンシャルプロキシ, 略称: レジプロ)』と呼び、現在セキュリティコミュニティでは対策について議論されている大きなトピックの1つとなっています。2 マルウェア感染によってレジデンシャルプロキシ化してしまった端末は、「日本に在住している人のクレジットカードの不正利用」といったサイバー犯罪に知らず知らずのうちに巻き込まれてしまっているという状態です。
今回筆者が BSides Tokyo 2026 でプレゼンテーションした内容は、1月に偽物の 7-Zip インストーラを展開した同一の攻撃者によるレジデンシャルプロキシ展開キャンペーンのピボッティングと、これらを展開した背後にいる組織やエコシステム全体の構造に対する考察となっております。 詳細については SpeakerDeck にスライドを公開しておりますので、こちらをご確認ください。
スライドをご覧いただくと、同様のレジデンシャルプロキシの展開キャンペーンは現在進行形で無料のVPNやサードパーティーツールを介して行われており、7-Zip の一件は氷山の一角であることがご理解いただけるかと思います。 一般企業や情シス組織としてはインストールできるアプリケーションに制限を入れることや、サプライチェーンでの展開なども考えて開発環境と業務環境をきちんと分離しておくことを推奨しています。
ここまでさまざま述べてきましたが、レジデンシャルプロキシの大きな課題として、インターネット上からはプロキシ化していることがわからないということがあります。 IoTやNW機器を侵害してプロキシ化するタイプのマルウェアは外部からプロキシ化された端末を確認できますが、レジデンシャルプロキシはファイアウォールの内側から端末自身がプロキシ通信を開始する仕組みになっているので何の脅威情報もなしに端末がレジデンシャルプロキシ化していることを疑うことは困難です。 現在 AI に話題を奪われておりますが能動的サイバー防御についても議論が進んでいるため、将来的にISP事業者としてレジデンシャルプロキシの駆逐に何かしら貢献できればとは思っております。
全体を通しての感想
最後に、BSides Tokyo 2026 に登壇および参加してきた感想を述べて締めたいと思います。 単刀直入に書くと、全体的にプレゼンテーションの質が高く驚きましたし非常に充実した内容尽くしで大満足な一日でした。 筆者は「楽しくネットワーキングできればいいなぁ〜」程度の軽いモチベーションで参加と登壇をしてきましたが、そもそもプロポーサルの採択倍率は4倍以上とかなり高い競争率だったようです。 本年採択されたプレゼンテーションの合計は12でしたが、発表の内容のいくつかは Black Hat や Botconf といった海外の質の高いカンファレンスでも採択されているリサーチの派生であったため、厳選されているプロポーサルのみが通過しておりそれがカンファレンスの質の高さにつながっているのでしょう。3
そして、筆者が BSides Tokyo 2026 の登壇者の方々と対話をして強く印象に残っていることがもうひとつあります。 それは「上位プレイヤーたちはAIの力を駆使してアウトカムの量と成長を加速度的に上昇させている」ということです。 現に筆者自身も今回プレゼンテーションしたマルウェア解析の8割以上はAIに自律的にやらせており、筆者のリサーチの大部分はAIではできなかったピボッティングやオープンソースからの探索に焦点を当てて行ってきました。 複数のキャンペーンの詳細を一人で追って分析しようとすると数ヶ月の時間を要しますが、最も時間のかかる解析部分をAIに外注させることによって1ヶ月程度でここまでの全体像を調査することを可能にしてくれました。
他の登壇者の方も「今はAIが分析をしてくれるからさまざまなプレゼンテーションのトピックがどんどん生まれてくるんだよね」といった趣旨のことをネットワーキングの場で話されており、AIはミドル層がトップ層に追いつくことをますます困難にさせていそうだ、というのを筆者は感じております。 約1年前は「AIの登場によって専門知識の溝が減ってカンファレンス発表の敷居も下がるのではないか」と筆者は思っておりましたが、実態としては全然そんなことはなくむしろ「何かを分析しました」程度の発表は排除されていて、「リサーチクエスチョンや評価手法の組み立てが優れているもの」「AIに問い合わせただけでは解決しない技術(ピボッティングなど)を保有していること」といったこれまでよりも高いレイヤーのコントリビューションがなければ採択が厳しくなっているのが現状だと思います。 セキュリティカンファレンスに登壇されることを考えている皆さまは、「Key takeaway (コミュニティに貢献するポイント)はなにか?」というのをより一層吟味してプロポーサルに表現する力が求められるでしょう。
まとめ
BSides Tokyo 2026 の様子とレジデンシャルプロキシに関するリサーチ内容について簡単に紹介させていただきました。 この記事を見て少しでも興味が沸いた方は、ぜひ来年は BSides Tokyo に参加してみることをお勧めします。 ちなみにですが、今年は200名のキャパシティがある会場のチケットが事前に売り切れてしまったようなので、参加を検討している方は早めにチケットを購入しておくとよいでしょう。
また、筆者自身レジデンシャルプロキシを試行錯誤しながらリサーチしていますが、具体的な防御や対策への道筋についてはまだまだ検討ができていない部分も多いです。 同じような悩みを抱えている方がいれば一緒にリサーチができればいいなぁと考えているので、ぜひ声をかけていただけると嬉しいです。
宣伝 (おまけ)
最後に、NTTドコモ/NTTドコモビジネスは現場受け入れ型インターンシップの募集を2026年6月14日まで行っております。 筆者は『【D11】CSIRTで脅威インテリジェンスをハンドリングするセキュリティエンジニア』のポストを募集しているチームに所属しておりまして、CSIRT の現場で一緒に脅威インテリジェンスを生成してみたい方がいればぜひエントリーをお待ちしております。
それでは!
- 詳細は『Security BSides』をご参照ください https://bsides.org↩
- 著名なレジデンシャルプロキシの実例として、2024年5月に解体された「911 S5 Botnet」などがあります。参考: https://www.justice.gov/archives/opa/pr/911-s5-botnet-dismantled-and-its-administrator-arrested-coordinated-international-operation↩
- なおプロポーサル12のうち日本から採択されたプロポーサルの数は8つであり、そのうち3つがNTTグループ(2つはNTTドコモビジネス)からの発表でした。↩
