米国のサイバーセキュリティ企業ReliaQuest（リライアクエスト）で攻撃者の動向を調べている研究者たちが、企業の従業員を狙う新たな攻撃の手口を明らかにした。人の心理的な隙を突いてパスワードなどを聞き出す「ソーシャルエンジニアリング」の技術に、「レジデンシャルプロキシ（Residential Proxy）」と呼ばれる仕組みを組み合わせるものだ。
レジデンシャルプロキシは、一般家庭のインターネット回線につながった機器に、第三者の通信を中継させる仕組みだ。中継役にされるのはパソコンやスマートフォン、動画ストリーミング端末などで、持ち主の多くは自分の機器が使われていることに気づいていない。
攻撃者は、こうした機器を中継役として貸し出すサービスを利用し、被害者の所在地に近い家庭の回線を選んで使える。盗んだ認証情報（IDやパスワードなど）でログインしても、被害者の地元にある家庭からの接続に見えるため、不審な通信として見抜かれにくい。
攻撃者はパスキーの登録などを口実にした攻撃を仕掛けており、家庭の回線を経由させることで、実戦で使える武器に仕立てている。パスキーは、パスワードの代わりに、スマートフォンなどのロック解除と同じ指紋認証や顔認証、PINでサインインする仕組みだ。パスキーそのものは登録したサイトにしか提示されないため、偽のページでは使えない。
攻撃者は、パスキーの設定や端末の登録（デバイス登録）が必要だと持ちかけて従業員を偽のページへ誘導し、認証情報などを盗み取る。ソフトウェアの脆弱性もマルウェアも使わずに効果を上げ、最初の侵入から6分以内にデータを盗み始めることもある。知っておくべき点は以下のとおりだ。
※編注：日本でも、家庭のIoT機器がレジデンシャルプロキシとして悪用されている。総務省は2026年7月21日、官民で対策を協議する「レジデンシャルプロキシ対策アライアンス」の設立を発表した。
警察庁は2026年9月7日、同アライアンスの第1回会合で2024年の被害状況を示した。インターネットバンキングの不正送金のうち、少なくとも1918件（全4369件の44％）でレジデンシャルプロキシが悪用されていた。被害額では、約86.9億円のうち少なくとも約28.9億円（33％）が該当する。
2025年度の報告では、機器にあらかじめ仕込まれたマルウェアによるものが約5割を占め、その約9割が動画ストリーミング端末だった。
