200万台の家庭用デバイスが不正利用された「NetNut」ボットネット、Google・FBI・Lumenの協調作戦で壊滅的打撃

2026年7月2日、Googleの脅威インテリジェンスグループ（GTIG）は、FBIおよびLumen Technologiesと協力し、世界最大級のレジデンシャルプロキシネットワーク「NetNut」（別名Popa）への大規模な妨害作戦を発表しました。この協調行動は、一般家庭の電子機器をグローバルなサイバー犯罪中継システムに仕立て上げていた、最大級のボットネットの一つを標的にしたものです。

Googleは具体的に3つの措置を講じました：

• NetNut関連マルウェアの命令統制（C2）に利用されていたアカウントとサービスを無効化。
• NetNutのソフトウェア開発キット（SDK）やバックエンドインフラに関する詳細を含む技術インテリジェンスを捜査当局と共有。
• Google Play Protectを展開し、NetNutのプロキシコードを統合しているアプリを自動検出・警告・無効化。

さらに、FBIはNetNutおよびPopaボットネットインフラに関連する数百ものドメインを押収。FBIはNetNutのホームページを差し押さえ告知に差し替えました。

規模：少なくとも200万台、そして拡大中

• 世界中で少なくとも200万台の家庭用デバイスが乗っ取られ、トラフィックを一般家庭のIPアドレス経由でルーティング。対象にはスマートTV、Androidストリーミングボックス、スマートフォン、タブレットが含まれました。
• Synthient、Qurium、Nokia Deepfieldの研究者らは、約4年間活動していたPopaボットネットをNetNutおよびその親会社である公開企業Alarum Technologies（NASDAQ: ALAR）に直接結びつけました。
• Nokia Deepfieldの推定では、このネットワークはピーク時に1つの中継ノードあたり最大6万台のデバイス、35万9千以上の個別IPアドレスに及んでいました。感染デバイスの総数は900万から2600万台という推定もあります。
• 2026年5月だけでも、NetNut経由でルーティングされたデータスクレイピングトラフィックにより、140万以上のインターネットアドレスが影響を受けました。

わずか1週間で316もの脅威クラスター

観測期間中のたった1週間で、Google脅威インテリジェンスグループはNetNutプロキシインフラを経由して悪意あるトラフィックを送っていた316もの異なる脅威クラスターを検出。これらには以下が含まれます：

• 広告詐欺
• クレデンシャルスタッフィングとアカウント乗っ取り
• 大規模データスクレイピング
• フィッシングキャンペーン
• マルウェアC2中継

家庭用デバイスがどのようにネットワークの一部になるのか

Googleと研究者らは、主に2つの感染経路を特定しました：

1. プリインストールされたマルウェア — 特定のメーカーから出荷される低価格Android TVボックスやストリーミングデバイスに、Popa/Vo1dプロキシマルウェアがファームウェアにあらかじめ埋め込まれているケース。
2. アプリ内の隠されたプロキシコード — Google Playやサードパーティストアの一見正当なアプリが、密かにNetNutのプロキシSDKを含んでおり、ユーザーに知られることなくデバイスを中継ノードとして登録。Google Play Protectはこれらのアプリを検出・無効化するために使用されました。セキュリティ研究者らは、このコードを多数の海賊版ストリーミングアプリ、トレントクライアントのMediaGet、VPNサービスのRoboVPN、Android TV向けYouTubeクライアントのSmartTubeで発見しています。

Googleが消費者に警告

Googleは、「未使用の帯域幅を共有してお金を稼ぐ」と謳うアプリや「報酬と引き換えにインターネット接続を共有」するアプリを避けるよう警告。これらはレジデンシャルプロキシ勧誘のよくあるトロイの木馬だからです。消費者は、デバイスを常に最新の状態に保ち、聞いたことのないベンダーからの安価な無ブランドAndroid TVボックスを避け、ネットワーク権限を持つアプリを確認するようアドバイスされています。

広範なボットネットエコシステムとの関連性

Popaボットネットは、AndroidベースのIoTデバイスを標的とするMiraiボットネット亜種と共通の系統を持つVo1d/Mzmessファミリーに由来するマルウェアを使用していました。Mirai/TurboMiraiクラスのIoTボットネットであるAisuruボットネットも、この期間中にDDoS攻撃からレジデンシャルプロキシモデルへと移行しているのが観測されており、業界全体のシフトを浮き彫りにしています。2018年に初めて記録されたOMG Mirai亜種も、同様にIoTデバイスをプロキシサーバーに変えていました。

背景：レジデンシャルプロキシネットワークに対する継続的なキャンペーン

今回の行動は、Googleが2026年1月28日に行ったIPIDEAレジデンシャルプロキシネットワークの妨害作戦に直接続くものです。IPIDEAは当時、世界最大級のレジデンシャルプロキシネットワークでした。その作戦で、GoogleはIPIDEAがサイバー犯罪者や国家支援攻撃者のトラフィックをルーティングするために使用していたドメインやアカウントを排除しました。Googleは当時から、そして7月にも再確認したことですが、より広範なレジデンシャルプロキシ業界は依然としてサイバー犯罪エコシステムと深く結びついており、NetNut、LunaProxy、711Proxy、922Proxyといったトップサービスのそれぞれが100万以上の終端ノードを運用しています。NetNutの解体は、2026年3月のSocksEscort妨害や2026年6月の「Outsider」フィッシングネットワーク解体も含む継続的なキャンペーンの一部です。

Alarum Technologiesは2026年7月2日、声明を発表し、「インフラの悪用がないよう徹底的に調査するため、捜査当局に全面的に協力する」と述べました。