ホワイトハウスのネットワークが、レジデンシャルプロキシサービスの出口として機能していたことが、Layer3 Intelの調査で明らかになりました。この状態は、世界で最も厳重に守られたネットワークの一つへの侵入経路になりかねません。
脅威インテリジェンス企業のLayer3 Intelはブログ記事で、同社のプロキシ列挙パイプラインが10月5日から11月3日にかけて、大統領府（Executive Office of the President）に登録されたネットワークAS2650を経由して236回出口になったと報告しました。出口となったのは6つのアドレスで、30日間のうち26日間にわたって確認されています。また、28のレジデンシャルプロキシサービスがこの経路を提供していました。
レジデンシャルプロキシサービスは、一般家庭などのデバイスへのアクセス権を販売しています。利用者は、そのデバイスを経由して通信を送ることで、通信があたかもそのデバイスのネットワークから発信されたように見せかけられます。今回のケースでは、利用者の通信がホワイトハウス内部から発信されたように見えることになります。
Layer3 Intelのチームは「これは誰でも利用できる状態です。公開されているレジデンシャルプロキシサービスに数ドルで登録し、リクエストを送るだけで入手できます」と指摘しています。
同社は、このネットワークを標的にしたわけでも、調査用の通信をあえてここから出そうとしたわけでもないと強調しています。社員は、同社の「Residential Proxy Observatory」を調べている際に、プロキシサービスを通じてグローバルなローテーションアクセスを要求しただけで、この動きに気づきました。偶然ではないことを確かめるため、他のプロキシ検出サービスと照らし合わせたところ、各サービスの公開IPページでも、これらのアドレスがレジデンシャルプロキシの出口として独立に判定されていました。
遅い時間帯に作業する誰か
通信の時間帯から、発信元を推測する手がかりが得られました。通信の約半数は米国東部時間の午後5時から深夜0時の間に集中し、早朝にはほとんど発生していません。
同社はこのパターンについて、「プロキシSDKに感染したデバイスを持つ誰かが、夜遅くまで定期的にホワイトハウスのネットワークに接続している」ことを示すと見ています。ただし、同社のデータで分かるのは出口の情報だけで、デバイスやその利用者については何も分かりません。
セキュリティ研究者のMatt Johansen氏はXで「午後5時から深夜0時の間にホワイトハウスにいる誰かが、侵害されたデバイスを持っています。少なくとも、ボットネットにレジデンシャルプロキシのアクセスを提供しているデバイスがあります」と投稿しました。
浮上したストリーミングアプリ
Layer3がアドレスの検証に使った検出サービスの一つ、Synthientは、さらに踏み込んだ見解を示しました。同社は11月4日、「ホワイトハウスの職員数名が、InfaticaSDKをインストールしたWindows 11マシンを使用している」と主張しました。
その翌日、同社はセッション単位でデバイスを検出できると説明しました。その結果、「Geonode、Infatica、Mellowtelなど既知のプロキシプロバイダーにビーコン通信を送るWindows 10およびWindows 11デバイスが多数」確認されたとしています。
Synthientは「インストールされているアプリはRave[.]ioだと高い確度で考えています。12個のプロキシSDKを組み込んだ共有ストリーミングアプリです」と述べています。Raveは、複数のユーザーが一緒に動画を視聴できるアプリで、Mac、iPhone、Android、Windowsで動作します。
内部システムへの侵入経路になる可能性
Layer3は過去の研究を引用し、セキュリティが不十分なプロキシSDKによって、部外者が内部ネットワークにアクセスし、横展開できる可能性があると指摘しています。
同社は次のように記しています。「過去のボットネットも、この方法で拡大してきました。Synthientの研究者は『A Broken System Fueling Botnets』の中で、Kimwolfボットネットがレジデンシャルプロキシネットワークを通じて、ADBサービスが公開されたAndroidデバイスを中心に、少なくとも200万台に到達したことを明らかにしています」
さらに「このネットワーク上のSDKに同様の欠陥があれば、プロキシアクセスを購入した誰もが、それを使って内部システムに到達できてしまいます」と警告しています。
ホワイトハウスから南極まで
このObservatoryでは、地球上で最も隔絶された場所の一部でもプロキシが見つかりました。Layer3は、世界で最も遠い有人島を含む南大西洋の領土、セントヘレナ・アセンションおよびトリスタンダクーニャで、413のアドレスと3万2000件を超える観測を記録しました。
南極からも3件の観測があり、いずれもマクマード基地に関連するCloudflare WARPのアドレスからでした。
同社は「レジデンシャルプロキシは世界のあらゆる場所に広がっており、到達できない場所はないようです」と結論づけています。
翻訳元: https://www.helpnetsecurity.com/2026/11/06/white-house-residential-proxy-traffic/
