いちばん重要な性質を先に書きます。ボットネットにおいて、感染した機器の持ち主は「被害者」であると同時に「加害の道具」になります。

ランサムウェアなら、被害は自分に降りかかります。だから気づきます。ところがボットネットは違います。持ち主に実害を出さないほうが、長く使えるので都合がいいのです。

対比は筆者による整理です。

第1章 おわり — 次は第2章

警察庁は、一般家庭のIoT機器が持ち主の認識しないところで「レジデンシャルプロキシ」（一般家庭の回線を利用するプロキシ）として動作し、踏み台に悪用される事案が多発していると報告しています。

そして、その規模が数字で出ています。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』第1部。同資料は、令和7年中も引き続き同様の事案を多数認知しているとしています。

不正送金の2件に1件近くで、日本の家庭の回線が経由されていました。

どこから入ってくるのか

感染経路として、警察庁が名指しで挙げている例があります。

「購入前の段階で仕込まれている」——ここが重要です。使い方を間違えたわけでも、怪しいリンクを踏んだわけでもありません。箱を開けて電源を入れた時点で、すでに感染しています。

そして、なぜ日本の家庭の回線が狙われるのか。同資料はこう説明しています。海外の攻撃者であっても、国内の機器を踏み台にすれば、海外からのアクセスを制限したサーバにアクセスできるようになるからです。

第2章 おわり — 次は第3章

段階の整理は筆者によるものです。

3段階目が、この仕組みの本体です。ボットの仕事の大半は「待つこと」で、その間は何もしません。だから気づけません。

そして2段階目に、守る側の突破口があります。ボットは必ずC2サーバと通信します。指令を受け取れなければ動けないからです。この性質が、次章と第6章につながります。

1段階目の入り方は、4通りです

整理は筆者によるものです。

「探されている」のは、常時です

1段階目の相手は、人ではなく自動化された探索です。その規模が、公的な観測で分かります。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』図表13・図表14。NICTERの数値は同資料が「NICTER観測レポート2025」から引用したものです。

下の行の「不特定多数の機器を対象としたアクセスが半数以上」——これがボットネットの拡大活動そのものです。誰かを狙っているのではなく、ただ空いている機器を探し続けています。だから「うちは狙われるようなところではない」は成り立ちません。

第3章 おわり — 次は第4章

よくある3つの誤解

第4章 おわり — 次は第5章

用途の分類は筆者による整理です。DDoS被害の状況は警察庁資料にもとづきます。

最終行に注目してください。ボットネットは、それ自体が商品です。ランサムウェアがRaaSとして貸し出されるのと同じ構造で、集めた機器も貸し出されます。

だから、攻撃者は感染させた機器を大事に扱います。壊さない、遅くしない、気づかせない。第4章の1つ目の誤解は、ここから来ています。

第5章 おわり — 次は第6章

第3章のとおり、ボットはC2サーバから指令を受け取れなければ動けません。だから対処は、感染した何万台もの機器を1台ずつ直すのではなく、司令塔を止める方向に向かいます。これをテイクダウンといいます。

日本警察には、その実績があります。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』本文および資料編。年は西暦に換算しています。

VAWTRAKの無害化がうまい

2番目の事案は、手口が鮮やかです。同資料はこう説明しています——感染端末はC2サーバと定期的に通信して情報を取得する性質があったため、その性質を逆手に取り、無害なデータを取得させることで無害化した。

つまり、司令塔を乗っ取って「何もするな」という指令を配ったわけです。1台ずつ訪問して駆除するのではなく、仕組みそのものを使って止めています。

もう1つ、4番目の「Secure」で見つかったC2サーバについて、重要な記述があります。

C2サーバも、誰かの正規のサーバです。攻撃者が自前で用意した怪しいサーバではありません。家庭の機器だけの話ではなく、企業のサーバが、気づかれないまま司令塔にされます。

第2章と合わせると、構図がはっきりします。家庭の回線が踏み台に、企業のサーバが司令塔に。どちらも持ち主は気づいていません。ボットネットは、こうして他人の資産だけで組み立てられます。

第6章 おわり — 次は第7章

実務上の一般的な整理です。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ