「あなたのIPアドレスから不正アクセスがありました」「IPアドレスを乗っ取られたかもしれない」と聞くと、自宅や会社のIPアドレスそのものが攻撃者に奪われ、その後も自由に使われ続けるのではないかと不安になることがあります。しかし、「IPアドレス乗っ取り」は厳密な技術用語ではなく、実際には複数の異なる事象をまとめて表現していることがあります。

代表的なのは、送信元IPアドレスを偽装するIPスプーフィング、同一LAN内で通信経路を偽装するARPスプーフィング、ルーターやWi-Fiへ第三者が侵入して同じグローバルIPから不正通信を行うケースです。また、IPアドレスだけを信頼条件とするシステムでは、IPベースのアクセス制御が悪用される場合もあります。

そのため、「自分のIPアドレスが悪用された」という情報だけでは、単なる送信元偽装なのか、自宅や社内のルーター・端末が実際に侵害されたのかを判断できません。特に自分の回線から攻撃通信が発生したと指摘された場合は、ルーター・Wi-Fi・端末・ログを分けて確認することが重要です。

そこで本記事では、IPアドレス乗っ取りと呼ばれる状態の意味、IPスプーフィングやARPスプーフィングとの違い、よくある誤解、自分のIPから不正アクセスがあった場合の確認方法、被害を防ぐための対策、フォレンジック調査で原因を確認する方法までわかりやすく解説します。

IPアドレス乗っ取りとは

「IPアドレス乗っ取り」は、一般的に使われる表現であり、特定の一つの攻撃手法を指す正式な技術用語ではありません。

実際には、IPアドレスを偽装したり、同一ネットワーク上の通信を横取りしたり、ルーターやWi-Fiへ侵入して正規利用者と同じグローバルIPから通信したりする状態が「IPアドレスを乗っ取られた」と表現されることがあります。

IPスプーフィングで送信元IPを偽装される

IPスプーフィングとは、IPパケットに設定される送信元IPアドレスを偽装する手法です。

攻撃者が実際とは異なるIPアドレスを送信元として設定することで、攻撃元を分かりにくくしたり、別の端末から通信しているように見せたりします。

ただし、通常のTCP通信では応答が偽装したIPアドレス側へ返されるため、単純に送信元IPだけを偽装してWebサービスへの双方向ログインを成立させることは容易ではありません。

IPスプーフィングは、DDoS攻撃における反射・増幅や、ログ上の送信元を偽装する目的などで利用されることがあります。

ARPスプーフィングでLAN内通信を横取りされる

自宅や会社など同じLAN内で問題になりやすいのが、ARPスプーフィングです。

ARPは、IPアドレスとMACアドレスを対応付けるための仕組みです。攻撃者が偽のARP情報を送信し、「ルーターのIPアドレスは攻撃者のMACアドレスに対応している」と端末へ誤認させることで、通信を攻撃者の機器へ経由させる場合があります。

通信経路へ入り込まれると、暗号化されていない通信の盗聴、DNS応答の差し替え、通信妨害などにつながる可能性があります。

ルーターやWi-Fiを第三者に不正利用される

IPアドレスを直接偽装されたのではなく、自宅や会社のルーター・Wi-Fiそのものが第三者に利用されているケースもあります。

たとえば、Wi-Fiパスワードが第三者に知られている、ルーターの管理者パスワードが初期値のまま、ファームウェアに脆弱性がある、といった場合です。

第三者が同じネットワークから通信すると、外部のWebサービスやログ上では、自分と同じグローバルIPアドレスからアクセスしているように見えることがあります。

IPベースのアクセス制御を悪用される

企業システムなどでは、「特定のIPアドレスからの接続だけ許可する」といったアクセス制御を利用する場合があります。

IPアドレスだけを信用の根拠にしていると、ネットワーク構成や攻撃条件によっては、その信頼関係が悪用される可能性があります。

IPアドレスだけを認証として利用するのではなく、ID・パスワード、MFA、端末証明書など複数の認証要素を組み合わせることが重要です。

IPスプーフィングとARPスプーフィングの違い

「IPアドレスを偽装する攻撃」として混同されやすいのが、IPスプーフィングとARPスプーフィングです。両者は対象となる通信層や目的が異なります。

IPスプーフィングは送信元IPアドレスを偽装する

IPスプーフィングでは、通信パケットの送信元IPアドレスを書き換えます。

そのため、受信側から見ると、本来とは別のIPアドレスから通信が送られてきたように見える場合があります。

ただし、偽装したIPアドレスへ応答が返るため、双方向通信が必要な攻撃ではそれだけで十分とは限りません。

ARPスプーフィングはLAN内の通信経路を書き換える

ARPスプーフィングでは、端末が持つARPキャッシュへ偽の情報を登録させます。

たとえば、デフォルトゲートウェイのIPと攻撃者のMACアドレスを誤って対応付けさせることで、通信を攻撃者経由にできる場合があります。

このため、公衆Wi-Fiや管理が不十分な社内LANなどでは、同一ネットワーク内の不正端末にも注意が必要です。

IPアドレスを知られただけで乗っ取られる？

IPアドレスを第三者に知られただけで、直ちにパソコンやスマートフォンが乗っ取られるわけではありません。

インターネットでWebサイトやサービスへ接続する際には、通信上、接続元IPアドレスが相手側から確認できることがあります。つまり、IPアドレス自体は必ずしも秘密情報ではありません。

不要なポートがインターネットへ公開されている

ルーターや端末で外部公開する必要のないサービスがインターネットからアクセスできる状態になっていると、攻撃対象になる可能性があります。

特に、管理画面やリモートデスクトップなどを外部へ公開している場合は、アクセス制御や認証設定を確認する必要があります。

ルーターのファームウェアが古い

古いルーターや更新されていないファームウェアには、既知の脆弱性が残っている場合があります。

メーカーが提供する最新のファームウェアを確認し、サポート終了済みの機器であれば交換も検討します。

管理者パスワードが初期値・弱いままになっている

ルーターの管理者パスワードが初期設定のままだったり、推測されやすい文字列だったりすると、不正ログインされるリスクが高まります。

Wi-Fiのパスフレーズとは別に、ルーター管理画面の管理者パスワードも見直すことが重要です。

リモート管理機能が外部公開されている

WAN側からルーター管理画面へアクセスできるリモート管理機能が有効になっている場合は、必要性を確認します。

利用していないのであれば、無効化を検討します。

不要なポート転送・UPnP設定が有効になっている

ポート転送やUPnPによって、意図せず端末やサービスが外部へ公開されることがあります。

設定内容を確認し、業務や利用上必要のないものは無効化します。

IPアドレスそのものを知られたことよりも、そのIPの先にあるルーター・端末・公開サービスに弱点がないかを確認することが重要です。

「あなたのIPから不正アクセスがあった」と言われた場合の確認方法

サービス事業者や取引先などから、「あなたのIPアドレスから不正アクセスが確認された」と指摘された場合、すぐに自分の端末が攻撃したと断定することはできません。

IP偽装のほか、Wi-Fiへの第三者接続、ルーターや端末の侵害、VPNやプロキシの利用、グローバルIPの再割り当てなども確認する必要があります。

発生日時・送信元IP・宛先を確認する

まず、「いつ」「どのIPアドレスから」「どこに対して」「どのような通信があったのか」を確認します。

時刻が曖昧なままでは、自宅・会社のどの端末が利用されていた可能性があるのかを切り分けにくくなります。

当時のグローバルIP割り当てを確認する

インターネット回線では、グローバルIPアドレスが固定ではなく変動する場合があります。

現在表示されているIPアドレスが、問題となった日時にも自分へ割り当てられていたとは限りません。

必要に応じてISPへ問い合わせ、該当日時のIP割り当てについて確認できるか相談します。

ルーターのNAT・DHCP・接続ログを確認する

ルーター側にログが残っている場合は、NAT、DHCP、接続端末、管理ログなどを確認します。

問題となった時刻に、どの内部端末が通信していた可能性があるのかを調べる手掛かりになります。

ただし、家庭用ルーターでは詳細な通信ログが保存されないこともあります。

Wi-Fiへ不明な端末が接続していないか確認する

ルーターの接続端末一覧やDHCPリースを確認し、見覚えのないスマートフォン、PC、IoT機器などがないか確認します。

知らない端末が存在する場合は、その情報を記録したうえでネットワークから切断し、Wi-Fiパスフレーズや管理者パスワードを変更します。

端末のマルウェア感染を確認する

Wi-Fi接続端末のどれかがマルウェアに感染し、攻撃の踏み台として通信している可能性もあります。

PC、スマートフォン、NAS、IoT機器などを更新し、対応可能な端末ではセキュリティスキャンを実行します。

IPアドレスの不正利用が疑われる場合の対処法

ルーター・Wi-Fi・端末の不正利用が疑われる場合は、証拠となる設定やログを必要に応じて保存したうえで、ネットワークの認証情報と公開設定を見直します。

ルーターの管理者パスワードを変更する

ルーター管理画面のパスワードを、推測されにくい一意のものへ変更します。

Wi-Fiへ接続するためのパスワードとは別の認証情報である点に注意します。

Wi-Fiパスフレーズを変更する

第三者がWi-Fiへ接続している可能性がある場合は、Wi-Fiパスフレーズを変更します。

変更後は、正規に利用する端末だけを再接続します。

ルーターのファームウェアを更新する

メーカーの公式情報を確認し、利用しているルーターに最新のファームウェアを適用します。

サポートが終了しているルーターでは、セキュリティ更新が提供されないこともあるため、機器交換も検討します。

不要なリモート管理・UPnP・ポート転送を見直す

WAN側リモート管理、UPnP、ポート転送などが有効になっている場合は、本当に必要な設定なのか確認します。

自分で設定した覚えのないポート転送やDNS設定が存在する場合は、その状態を記録してから対応することが重要です。

不明な端末をネットワークから隔離する

接続中クライアントに見覚えのない機器があれば、MACアドレスやホスト名などを記録します。

その後、対象端末を切断し、他の正規端末についてもセキュリティ状態を確認します。

企業ネットワークでIPアドレスの悪用が疑われる場合の確認ポイント

会社のグローバルIPから攻撃通信があった場合は、家庭用ネットワークよりも広範囲のログを確認できます。

ファイアウォール・NATログ

外部へどの端末から通信が発生していたのかを調べるうえで、ファイアウォールやNATログが重要になります。

問題となった送信先IP、宛先ポート、発生時刻などを手掛かりに検索します。

DHCPログ

DHCPログから、該当時間帯に内部IPアドレスがどの端末へ割り当てられていたかを確認できる場合があります。

NATログと組み合わせることで、通信元端末の特定につながります。

Proxy・DNSログ

ProxyやDNSログを確認することで、該当端末がどのドメインやサービスへアクセスしていたかを整理できます。

マルウェアによるC2通信などが存在していないかを確認する際にも利用されます。

VPN・IdP・認証ログ

VPNやクラウドサービスが関係する場合は、VPN接続履歴やIdPのサインインログなども確認します。

不正利用された認証情報を使って外部から社内へ接続された可能性も考慮する必要があります。

EDR・端末ログ

通信元と疑われるPCやサーバーについて、EDRアラートやプロセス実行履歴などを確認します。

ネットワーク機器だけでなく、端末側にマルウェアや不正ツールが存在していないかを調べることが重要です。

企業環境では、各ログの時刻がずれていると正確な突合が難しくなります。NTPなどによる時刻同期状態も確認し、同じ時系列でログを比較できる状態にすることが重要です。

IPアドレスの不正利用を防ぐための対策

IPアドレスの悪用を防ぐには、IPそのものを隠すだけでは不十分です。ルーターやWi-Fi、端末、認証方式を含めた対策が必要です。

ルーター・ネットワーク機器を継続的に更新する

ルーターやファイアウォールの脆弱性が悪用されないよう、ファームウェアやセキュリティ更新を継続して適用します。

管理者パスワード・Wi-Fi認証を強化する

初期パスワードや短いパスワードを避け、管理者アカウントとWi-Fiの認証情報をそれぞれ適切に管理します。

不要な公開ポートやサービスを閉じる

外部から利用する必要のない管理画面、リモートアクセス、ポート転送などを無効化します。

IPアドレスだけを認証条件にしない

企業システムでは、接続元IPだけで「安全な利用者」と判断しないことが重要です。

MFAや端末証明書、ユーザー認証などを組み合わせます。

ネットワークと端末のログを取得する

不正通信が発生したときに原因を確認できるよう、ファイアウォール、VPN、認証、端末などのログを保存します。

平時からログを取得しておくことで、「本当に自社ネットワークから通信したのか」を後から確認しやすくなります。

IPアドレスの不正利用をフォレンジック調査で確認する方法

自分のIPから攻撃通信が発生したと指摘された場合、IPアドレスだけを見ても、送信元偽装なのか、ルーターや端末が実際に不正利用されたのかを判断できません。原因を特定するには、ネットワークと端末双方の記録を確認する必要があります。

問題となった時刻の通信ログを確認する

まず、問題となった日時に実際に対象IPから通信が発生していたのかを確認します。

企業環境では、FW、NAT、Proxy、DNSなど複数のログを時系列で突合します。

通信元となった端末を特定する

NATログやDHCPログなどが残っている場合は、外部通信と内部IPアドレス、利用端末を関連付けます。

これにより、自社ネットワーク内のどの端末が通信元だった可能性があるのかを絞り込めます。

ルーター・端末の侵害痕跡を確認する

ルーターのDNS設定、ポート転送、管理ログなどに見覚えのない変更がないか確認します。

通信元と疑われる端末についても、実行されたプログラムやログ、マルウェア感染の痕跡などを調べます。

マルウェアや不正アクセスの有無を調べる

端末が踏み台として利用されていた場合、マルウェアや不正な遠隔操作ツールなどが存在している可能性があります。

端末側の痕跡とネットワークログを照らし合わせることで、いつ、どのような経路から侵害された可能性があるかを整理します。

フォレンジック調査会社に相談する

「自分のIPアドレスから攻撃があった」と通知されたものの、IPスプーフィングなのか、ルーター・Wi-Fi・端末が実際に不正利用されたのか判断できない場合は、フォレンジック調査会社への相談を検討できます。

フォレンジック調査会社では、端末に残る操作・実行履歴や、取得可能なネットワークログなどを確認し、実際に不正通信が発生していた可能性や、通信元となった端末、マルウェア感染の有無などを調査できます。

特に企業ネットワークでは、FW、NAT、DHCP、VPN、認証ログなどを保全しておくことで、問題となった通信を時系列で追跡しやすくなります。

原因を調べる前にルーターを初期化したりログを削除したりすると、不正利用の原因を確認する手掛かりが失われる恐れがあります。第三者から通報を受けている場合や業務ネットワークが関係している場合は、設定変更前に必要なログを保存することが重要です。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

「IPアドレス乗っ取り」は厳密な技術用語ではなく、IPスプーフィングによる送信元偽装、ARPスプーフィングによるLAN内通信の横取り、ルーターやWi-Fiの不正利用などを指して使われることがあります。IPアドレスという番号そのものを恒久的に奪われるという意味ではありません。

IPアドレスを第三者に知られただけで、直ちに端末が乗っ取られるわけでもありません。危険性が高まるのは、不要な公開ポート、脆弱なルーター、弱い管理者パスワード、外部へ公開されたリモート管理機能などが存在する場合です。

「自分のIPアドレスから不正アクセスがあった」と指摘された場合は、問題となった時刻、当時のグローバルIP割り当て、ルーターのNAT・DHCPログ、接続端末、端末のマルウェア感染などを確認し、送信元偽装なのか実際のネットワーク不正利用なのかを切り分けます。

企業ネットワークでは、FW、NAT、DHCP、Proxy、DNS、VPN、IdP、EDRなど複数のログを時刻同期したうえで突合することが重要です。原因調査が必要な場合は、ルーターの初期化やログ削除を急がず、必要な証拠を保全したうえでフォレンジック調査を検討します。