スマートテレビが攻撃の中継地点に？GoogleがNetNutプロキシ網を大幅縮小

GoogleはFBIやLumenなどと連携し、家庭用機器を通信の中継地点として利用する住宅向けプロキシネットワーク「NetNut」に対する妨害措置を実施しました。Googleは、少なくとも200万台の機器が関係していたと推定しており、利用可能な端末数を数百万台規模で減少させたと説明しています。ただし、ネットワーク全体が完全に停止したとはされておらず、関連サービスが別ブランドなどを通じて再び現れる可能性には注意が必要です。The Hacker News：Google Disrupts NetNut Residential Proxy Network Spanning 2 Million Home Devices

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

NetNutまたは「Popa」と呼ばれるネットワークに組み込まれた家庭用インターネット接続機器
スマートテレビやAndroidベースのストリーミングボックスなど、家庭内で常時インターネットに接続される機器
購入時から不審なソフトウェアが組み込まれている可能性がある、知名度の低いメーカーの安価な機器
プロキシ機能を隠したSDKが含まれる無料アプリ、VPNアプリ、プロキシアプリ
「未使用の帯域を共有して報酬を得る」などの機能を提供するアプリやサービス
NetNutのネットワークを別名称で提供している可能性がある住宅向けプロキシサービス

推奨される対策

アプリは原則として公式アプリストアから入手し、提供元や利用者の評価を確認する
VPNやプロキシ関連アプリが要求する権限、通信機能、バックグラウンド動作を確認する
「未使用の通信帯域を共有する」「インターネット接続を貸し出す」と説明するアプリの導入を避ける
Android機器ではGoogle Play Protectを有効にし、警告されたアプリを使用しない
スマートテレビやストリーミング端末は、信頼できるメーカーや販売元の製品を選ぶ
出所が不明なアプリや不要なサイドロードアプリが端末にないか確認し、疑わしいものは削除する

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

住宅向けプロキシ：一般家庭や個人が使用するインターネット回線のIPアドレスを経由して、別の利用者の通信を転送する仕組みです。
出口ノード：プロキシネットワークを経由した通信が、最終的にインターネットへ送信される中継端末です。アクセス先からは、その端末のIPアドレスが通信元に見えます。
SDK：Software Development Kitの略称です。アプリに特定の機能を組み込むためのプログラム部品や開発ツールを指します。
C2：Command and Controlの略称です。外部からマルウェアや不正な端末へ指示を送り、動作を制御するための通信基盤です。
パスワード推測攻撃：推測しやすいパスワードや、流出したパスワードリストなどを用いて、アカウントへの不正ログインを試みる攻撃手法（総当たり攻撃やパスワードスプレー攻撃など）の総称です。
ホワイトラベル：ある事業者が構築したサービスを、別の企業が独自ブランドのサービスとして販売する形態です。
ボットネット：外部から操作可能な状態となった多数の端末によって構成されるネットワークです。不正通信の中継や攻撃などに利用される場合があります。

家庭の通信回線が第三者の隠れみのになる仕組み

住宅向けプロキシネットワークは、一般家庭で使用されているIPアドレスを経由して、利用者の通信を別のWebサイトやサービスへ転送します。データセンターから送られる大量の通信とは異なり、アクセス先からは通常の家庭用回線による閲覧に見えやすいため、不審な通信を検知する仕組みを回避する目的で悪用されることがあります。

こうしたサービスを成立させるには、多数の家庭用機器でプロキシ用のプログラムを動作させる必要があります。Googleによると、NetNutは「Popa」とも呼ばれ、スマートテレビやストリーミングボックスなど、家庭内で使用される機器をネットワークへ組み込んでいたとされています。機器によっては購入時点で関連ソフトウェアが導入されている場合があり、別のケースでは、利用者がインストールした無料アプリにプロキシ機能が隠されている可能性があります。

組み込まれた端末は出口ノードとして動作し、契約者や第三者の通信を家庭のインターネット回線から外部へ送信します。その結果、アクセス先の記録には本来の利用者ではなく、出口ノードとなった家庭のIPアドレスが残ります。端末の所有者が通信内容を把握していなくても、不正アクセスやパスワード攻撃などの送信元として扱われ、正常な通信までサービス事業者に遮断される可能性があります。

さらにGoogleは、出口ノードを通じて外部からの通信が家庭内ネットワークへ入り込むことで、同じネットワークに接続されたほかの機器がインターネット上の脅威にさらされる危険も指摘しています。問題は対象端末だけに限定されず、家庭や小規模オフィスのネットワーク全体へ影響が広がる可能性がある点にあります。

GoogleとFBIが実施した妨害措置と確認された悪用

Google Threat Intelligence Group（GTIG）は、FBIやLumenなどと連携し、NetNutのネットワークを大幅に弱体化させたと発表しました。Googleなどのパートナーによる取り組みに加え、法執行機関（FBI）がNetNutに関連する一部のドメインを差し押さえる（Seizure）などの対抗措置が行われています。

Googleは一連の共同対処によって、NetNutが利用可能なデバイスのプールを数百万台規模で減少させたと説明しています。ただし、今回の対応はネットワークの完全な消滅（停止）ではなく、あくまで運用能力を低下させる「妨害（degradation）」にとどまります。Android端末においては、安全のためGoogle Play Protectなどの内蔵保護機能を有効に保つことが、こうした不審なプログラムからの自衛策として推奨されています。

Googleの観測では、2026年6月の1週間だけで、NetNutの疑いがある出口ノードを使用した316の異なる脅威活動グループが確認されました。これにはサイバー犯罪者だけでなく、諜報活動を行うグループも含まれていたとされています。確認された用途には、実際の接続元を隠した被害組織へのアクセス、攻撃用インフラへの接続、パスワードスプレー攻撃などが含まれます。

一方、NetNutを所有するAlarum Technologiesは、研究者による「ボットネット」との評価に反論し、同社のソフトウェアは利用者の同意に基づく帯域共有を目的としており、機器を侵害するものではないと主張しています。これに対し、研究者側は調査した20以上のアプリで同意画面が確認できなかったと報告しています。ネットワークの構築方法や事業者側の認識については主張が対立しているため、確認された通信経路や技術的挙動と、事業者の意図に関する評価は分けて捉える必要があります。こうした対立に対し、進展がありました。Alarum社のコーポレート法的顧問であるオメル・ワイス（Omer Weiss）氏は、2026年7月2日にFBIによるドメイン差し押さえの事実を知らされたことを公表しました。同社およびNetNutはこの事態を厳粛に受け止め、インフラの悪用について徹底的な調査を行うため、法執行機関に全面的に協力する意向を明らかにしています。

家庭と企業で確認すべきアプリやネットワーク機器

利用者にとって特に分かりやすい警告サインは、「使用していない通信帯域を共有すると報酬が得られる」「インターネット接続を貸し出して収益化できる」と案内するアプリです。この種の機能は住宅向けプロキシネットワークが端末数を増やす方法の一つであり、利用者のIPアドレスを第三者の通信に提供する可能性があります。報酬の有無だけで判断せず、どのような通信が端末を通過するのか、停止方法が明示されているか、同意内容が十分に説明されているかを確認する必要があります。

スマートテレビやストリーミングボックスを使用している場合は、提供元が不明なアプリや、公式ストアを介さずに導入したアプリがないか確認することが重要です。特に、知名度の低いメーカーの安価な機器には、購入時から不要なソフトウェアが含まれている可能性があるため、価格だけで製品を選ばないことが推奨されます。Google Playを利用できるAndroid機器では、Google Play Protectを無効にせず、表示された警告を無視しないようにしてください。

企業でも、会議室のスマートテレビ、デジタルサイネージ、動画配信用端末などが社内ネットワークへ接続されている場合があります。こうした機器に従業員が任意のアプリを追加できる運用になっていると、家庭向けアプリを経由して組織の回線が出口ノードとして利用される可能性があります。管理対象の機器と導入済みアプリを把握し、業務上不要なVPN、プロキシ、帯域共有アプリが存在しないかを確認する必要があります。

NetNutには、同じネットワークを別企業が独自ブランドで販売できる再販の仕組みがあるとGoogleは説明しています。そのため、NetNutという名称のサービスが停止または縮小しても、関連する通信が別の住宅向けプロキシブランドを通じて再び現れる可能性があります。今回の妨害措置だけで問題が解消されたと判断せず、端末の調達元、インストール済みアプリ、セキュリティ警告を継続的に確認することが重要です。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）