カード詐欺向けの「クリーン」な住宅用プロキシの探し方

カーディング界隈では、レジデンシャルプロキシはもはや単なる匿名化ツールとして扱われていません。デバイスフィンガープリント、ブラウザプロファイル、請求情報、タイムゾーン、クッキー、取引行動などと並んで、より広範な身元偽装スタックを構成する要素の一つとして、ますます議論されるようになっています。

犯罪者たちが現在、このインフラをどのように利用・評価しているかをより深く理解するため、Flareの研究チームは、過去2年間に約545のディスカッションスレッドで投稿された2,889件のユニークなアンダーグラウンド投稿を分析しました。 これらの会話には、運用ガイド、トラブルシューティングの依頼、プロバイダーの比較、取引失敗に関する議論、そして「クリーン」または金融取引に対応していると謳うプロキシサービスの広告などが含まれています。 

これらを総合すると、住宅用IPアドレスはカード詐欺師にとって依然として重要であるが、それ単体ではもはや信頼できる回避手段とは見なされていないことが示されている。 その代わりに、犯罪者たちは、プロキシプールが過度に利用され、IPアドレスの評判が低下し、位置情報が不正確であり、金融サービスがIPアドレスの範囲全体をブロックしてしまうような市場状況について繰り返し言及しています。その結果、カード詐欺師たちはより選択的になり、IPの地理的位置を盗んだ身元情報と一致させようと試みながら、プロキシをアンチディテクトブラウザや、説得力のあるデジタルアイデンティティを構築するために設計されたその他の手法と組み合わせています。

これらの調査結果は、住宅用プロキシが依然としてカード詐欺エコシステムの重要な一部である一方で、その脆弱性が高まりつつある構成要素の一つでもあることを示唆している。

要点

• カード詐欺師たちは、プロキシが単に住宅用インターネットプロバイダーに属しているかどうかだけでなく、その履歴に基づいてプロキシを評価する傾向が強まっている。

• 地理的な整合性は、国の一致にとどまらず、都市、郵便番号、タイムゾーン、ブラウザの言語、請求情報にまで及んでいます。

• 住宅用 IP アドレスだけでは不十分であると見なされることが多く、検出回避ブラウザやフィンガープリントの操作と組み合わせて使用されることが頻繁にある。

• プロバイダーによる制限により、金融サービスにアクセス可能な、いわゆる「クリーン」な住宅用 IP アドレスの二次市場が生まれています。

• 防御側は、一般家庭からのトラフィックを「文脈」として扱うべきであり、ユーザーが正当であるという証拠として捉えるべきではありません。

住宅用プロキシとは？

住宅用プロキシは、インターネットサービスプロバイダが家庭や消費者のデバイスに割り当てた IP アドレスを経由してトラフィックをルーティングします。

Web サイトから見ると、その接続は、ホスティングプロバイダや商用 VPN から発信されたトラフィックというよりは、一般的な家庭ユーザーのトラフィックのように見える場合があります。

レジデンシャルプロキシには、ローカライゼーションテスト、広告検証、ブランド保護など、正当な用途があります。犯罪者たちがこれを重宝するのは、不正なセッションを通常の消費者トラフィックに近いものに見せることができるからです。

「レジデンシャル」に代わって「クリーン」が主流に

データセットから得られた最も明確な知見の一つは、カード詐欺師たちがもはやレジデンシャルプロキシを単一の信頼できるカテゴリーとして扱っていないという点です。代わりに、彼らはそれらを「クリーン」と「ダーティ」のプールに分類しています。

「カード詐欺に最適なクリーンなIPの入手方法」（下図のスクリーンショット参照）と題された、アンダーグラウンドで広く転載されているガイドでは、アドレスが不正利用のために繰り返し使用されるにつれて、レジデンシャル・プールでさえ品質が低下すると主張している。

別のガイドでは、重要な点は単にIPがレジデンシャルであるかどうかではなく、過去に銀行や決済処理業者、その他の不正利用に敏感なサービスに対して使用されたことがあるかどうかであると主張しています。

この考え方は、トラブルシューティングの議論にも見られます。ユーザーは不正スコアサービスを比較し、同じアドレスに対して著しく異なるレピュテーション評価が下されることに不満を述べ、当初はクリーンと見なされていたIPアドレスが、短期間の活動後に高リスクとなるケースを報告しています。

ここには重要な前提があります。カード詐欺犯たちは、プロキシのレピュテーションが動的なものであり、同じインフラストラクチャを利用する他のすべての顧客の影響を受けると、ますます強く信じているのです。

精度の基準は「国」から「IDの一貫性」へと移行しつつある

従来のカード詐欺に関するアドバイスは、盗まれたカードと同じ国の IP アドレスを選択することに重点が置かれることが多かった。しかし、最近の投稿では、はるかに厳格な基準が示されている。 

2026年1月の「地理的一貫性（geoconsistency）」に関するスレッド（下のスクリーンショット参照）では、IPのおおよその位置情報を、請求先の郵便番号、デバイスのタイムゾーン、OSの言語、ブラウザの特性と照合することについて議論されていました。

別の議論では、あるユーザーが、主要な住宅用プロキシプロバイダーが郵便番号によるターゲティング機能を廃止し、現在は国、州、都市の選択のみを提供していることに不満を述べていました。

このアクターは、都市レベルのターゲティングでは、不正防止対策をかいくぐるのに十分な精度が得られなくなるのではないかと懸念していた。

アンダーグラウンドフォーラムで述べられる技術的な主張がすべて正確であるとは限りません。しかし、これらの議論は、攻撃者の運用上の考え方を明確に示しています。彼らは、単に実IPアドレスを隠蔽するだけでなく、首尾一貫したデジタルアイデンティティを構築しようとしているのです。

プロキシは単なる一層に過ぎない

このデータセットでは、住宅用プロキシと、検知回避型ブラウザ、隔離されたデバイス、Cookie履歴、WebRTC設定、CanvasおよびWebGLフィンガープリント、ユーザーエージェントの一貫性との関連性が繰り返し示されている。

2026年4月のガイドの一つでは、ブラウザのプロファイルに矛盾する情報が露見すれば、「完璧な住宅用プロキシ」であっても失敗すると警告していた。別のセットアップガイドでは、デバイス、プロキシ、アカウント履歴、支払い情報、および対象となる加盟店をすべて総合的に評価する必要があるため、固定された設定をコピーするだけでは効果がないと論じていた。

これは、現代の不正検知の方向性を反映している。Stripeのドキュメントでは、単一の指標に依存するのではなく、取引、本人確認、カード、および履歴のシグナルを組み合わせた制御手法が説明されている。また、カードテストに関するガイダンスでは、取引頻度、繰り返される決済拒否、不整合な請求情報、およびカードや顧客情報の再利用についても重点が置かれている。

カード詐欺師たちは、金融サービスに対応したIPアドレスを探している

いくつかの投稿では、定評のあるプロキシプロバイダーが、銀行、決済処理業者、政府ポータル、およびその他の不正利用に敏感なサービスへのアクセスを制限していることに不満が述べられています。これはカード詐欺師にとって実用上の問題を引き起こします。つまり、IPアドレスが住宅用のように見え、不正スコアも低いにもかかわらず、意図した標的に対して使用できない場合があるのです。

一部の関係者は、こうした制限を、プロバイダーがアドレスプールを悪用から保護している証拠だと解釈している。広く出回っているあるガイドでは、制限のかかった一般家庭向けプールには、金融機関に対して繰り返し使用されていないがゆえに、より「クリーン」なIPが含まれている可能性さえ示唆されている。

同時に、こうした制限により、「金融対応」、「銀行互換」、あるいは特定の決済プラットフォームへのアクセスが可能なサービスに対する需要が生まれている。

アンダーグラウンドのユーザーたちは、プロバイダーの推奨情報や接続性をテストする方法を交換しているが、こうした情報の信頼性を確認するのは難しく、中には詐欺である可能性もある。

こうした利用可能な住宅用インフラの探求は、はるかに大規模で、競争が激化しつつあるプロキシ・エコシステムの中で行われている。2026年7月、FBIと業界パートナーは、NetNut住宅用プロキシ・プラットフォームおよびPopaボットネットに関連する数百のドメインを押収した。

研究者らは、このネットワークを、スマートテレビやストリーミングボックスなど、住宅用プロキシノードへと転用された少なくとも200万台の乗っ取られたデバイスと結びつけた。

このインフラは、広告詐欺、アカウント乗っ取り、その他の悪用トラフィックなどの活動に利用されていたと報告されている。

2026年3月のFBIの警告では、犯罪者が州や都市レベルまで絞り込んで住宅用プロキシアドレスを選択できるとさらに警告し、特にアカウント乗っ取りへの利用例として、銀行の地理位置情報制御が作動する可能性を低減するために、IPアドレスを被害者の居住都市と一致させる手法を具体的に挙げた。

こうしたアンダーグラウンドでの議論と最近の摘発事例を総合すると、カード詐欺犯たちが、単に住宅用アドレスを入手することと、十分にクリーンで正確な位置情報が特定され、金融サービスとのやり取りが許可されたアドレスを入手することとを、ますます区別するようになっている理由が明らかになる。

防御側が取るべき対策

住宅用IPアドレスは、本質的に信頼できるものとして扱ってはならない。より有力な指標となるのは、セッション全体にわたる一貫性である。具体的には、デバイスの利用履歴、アカウントの開設期間、ブラウザのフィンガープリント、決済手段、請求先情報、取引頻度、および決済後の行動などが挙げられる。

また、組織は、プロキシでは容易に隠蔽できないパターンにも注目すべきです。これには、繰り返されるIDの作成、類似したデバイスに紐付けられた複数のカード、急激な地理的変化、タイムゾーンの不一致、および低額な承認試行の集中などが含まれます。

アンダーグラウンドでの議論からは、セキュリティ担当者がすでに不正のコストを引き上げていることがうかがえます。カード詐欺犯たちは、汚染されていないインフラを探すのにより多くの時間を費やし、矛盾するレピュテーションスコアについて議論し、ますますきめ細かくなる本人確認シグナルを整合させようとしています。

住宅用プロキシはカード詐欺犯にとって依然として価値がありますが、もはや万能の回避手段ではありません。その有効性は、周囲を取り巻くあらゆる要素の信頼性にますます依存するようになっており、その広範な身元情報の確立は、サイバー犯罪者にとってはるかに困難な課題となっています。

無料トライアルに登録して、詳細をご確認ください。

Flareによる提供・執筆。