モバイルキャリアIPと共有NAT：1つのIP遮断が数千人に影響する理由

セキュリティエンジニアにとって、IPインテリジェンスは不正アクセスや悪用の兆候を見つけ、被害を抑えるための重要な手がかりです。悪用が確認されたIPをブロックすること自体は、いまも広く使われている基本的な対策です。

ただし、相手がモバイルキャリアのIPアドレスとなると話は単純ではありません。一見すると「問題のあるIPを1つ止めただけ」に見えても、その背後ではCarrier-Grade Network Address Translation（CGNAT）によって、数百から数千の正規ユーザーが同じIPを共有していることがあります。その結果、ピンポイントのつもりだった遮断が、大量の無関係なユーザーを巻き込んでしまうのです。

Understanding CGNAT and Mobile Networks

モバイルネットワーク事業者（MNO）は、IPv4アドレスの枯渇という長年の課題に向き合っています。IPv6の普及は進んでいるものの、インターネット上には依然としてIPv4に依存するサービスが数多く残っています。

限られたグローバルIPv4アドレスを有効活用しながら、増え続けるスマートフォンやIoT端末に接続性を提供するため、MNOではCGNATが広く導入されています。

How CGNAT Works

CGNATは、家庭用ルーターで使われる一般的なNATを、通信事業者規模に拡張した仕組みです。家庭では、ルーターが宅内のプライベートIPを1つのグローバルIPに変換します。一方、CGNATではMNOのコアネットワーク内にある大規模NAT装置（Large Scale NATに由来して「LB」や「LSN」デバイスと呼ばれることもあります）が、多数の端末に割り当てられたプライベートIPv4アドレスを、より少ない数のグローバルIPv4アドレスへ変換します。

外部サービスから見ると、一定時間のあいだに数百、場合によっては数千の異なるモバイル端末が、同じグローバルIPv4アドレスからアクセスしているように見えます。つまり、1つのグローバルIPが、多数の加入者によって同時に、あるいは短い間隔で使い回されているのです。

The Security Implications of Shared Mobile IPs

このような共有IPの環境は、セキュリティチームやIPインテリジェンス基盤に特有の難しさをもたらします。

• Attribution Difficulties: CGNAT配下のIPから不正な通信が発生しても、外部サービス側だけで「どの端末」「どのユーザー」が実行したのかを確実に特定することはできません。同じ共有グローバルIPからの通信は、すべて1つの送信元に見えてしまいます。
• Amplified False Positives: ここが最大の問題です。共有CGNAT IPを使っている1人のユーザーが、ボットネット参加、クレデンシャルスタッフィング、スクレイピング、スパム、不正登録などを行ったとします。そのグローバルIPをブロックすると、同じIPを現在共有している、または直近まで共有していた他の正規ユーザーまでまとめて遮断されます。結果として、誤検知の影響が一気に大きくなります。
• Ephemeral Nature: モバイルIPは非常に動的です。ユーザーが基地局をまたいで移動したり、端末を再起動したり、時間が経過したりするだけで、別のIPが割り当てられることがあります。そのため、特定IPを長期間ブロックしても継続的な攻撃者には効きにくく、むしろ後からそのIPを割り当てられた無関係なユーザーをブロックしてしまうリスクが高まります。

Identifying Mobile Carrier IPs

IPインテリジェンスプラットフォームは、モバイルキャリアIPやCGNATの可能性を見極めるために、いくつかのシグナルを提供します。

• ASN (Autonomous System Number): モバイル事業者は通常、専用のASNを保有しています。IPに紐づくASNを確認することで、そのIPがAT&T Mobility、Vodafone、China Mobileなど既知のモバイルキャリアに属するかどうかを判断できます。これは非常に強い手がかりになります。
• rDNS Hostname: モバイルIPの逆引きDNSには、モバイルネットワーク由来であることを示す汎用的なホスト名が含まれることがあります。たとえば dialup-123-45-67-89.mobile.att.net や pool-123-45-67-89.dynamic.vodafone.co.uk のような形式です。これらは、静的なサーバーのrDNSレコードや一般的な固定回線ISPの表記とは傾向が異なります。
• Hosting Range Type: IPインテリジェンスデータでは、IPレンジがカテゴリ分けされています。モバイル向けレンジは mobile や cellular と明示されることが多く、datacenter、residential、business、education などのレンジと区別できます。
• High User Count/Dynamic Behavior: guarda.netのようなプラットフォームでは、IPの典型的な振る舞いを観測し、レポートできます。極端に多くの異なるUser-Agentが確認される、短時間でジオロケーションが大きく変化する、短い時間帯に非常に多いリクエストが集中する、といったIPは、共有CGNAT環境である可能性があります。

なお、MNOのコアネットワーク設備に関連する範囲では、datacenter という分類が一部重なるケースもあります。ただし、ユーザー向けに実際に使われるIPレンジは、通常はより明確に区別されています。

Mitigating the Risk: Strategies for Security Engineers

モバイルIPからも実際に脅威は発生するため、「モバイルIPは一切ブロックしない」という運用は現実的ではありません。重要なのは、不正利用を抑えつつ、正規ユーザーへの影響をできるだけ小さくすることです。

1. Granular Risk Assessment

IPのリスクスコアだけを根拠に一律ブロックするのではなく、他のシグナルも組み合わせて判断します。たとえば、あるIPに high risk score が付いていても、それが mobile carrier IP であり、hosting range: mobile、さらに動的割り当てを示す rDNS hostname を持っているなら、同程度のリスクスコアを持つ静的なデータセンターIPとは扱いを変えるべきです。

guarda.netのようなプラットフォームは、TOR exit、proxy、VPN、直近の悪用報告など複数の要素を集約した包括的な risk score を提供します。これは判断の出発点として有用ですが、IPの出自やネットワーク特性に関する文脈情報を重ねて使うことが重要です。

2. Rate Limiting and Behavioral Analysis

モバイルIPから不審なアクティビティが見られた場合、即座にブロックするのではなく、より厳しめのレート制限を適用する方法があります。さらに、行動分析と組み合わせることで精度を高められます。

• Session-level tracking: IP単位だけでなく、セッション単位でユーザー行動を追跡します。モバイルIPからの特定セッションが、短時間に大量のログイン失敗を繰り返す、不自然な画面遷移を行う、ボットらしい間隔で操作する、といったパターンを示す場合は、そのセッションをブロックする、または追加のチャレンジを課す方が合理的です。
• Account-level reputation: そのモバイルIPが既存アカウントに紐づく場合は、アカウント自体の信頼度も活用します。十分な利用履歴があり信頼できるアカウントに対して、モバイルIPから新しい端末や普段と違う場所でログインがあった場合、即時ブロックではなくMFAなどのステップアップ認証を求める方が適切なことがあります。

3. Progressive Security Measures

許可か遮断かの二択にせず、中間的な対策を用意します。

• CAPTCHA/reCAPTCHA: モバイルIPからの不審な操作に対してチャレンジを表示します。人間のユーザーを完全に締め出さずに、ボットだけを効果的に減らせます。
• JavaScript challenges: クライアント側のJavaScript解析により、ボットでよく使われる自動化ブラウザやヘッドレス環境を検出できます。
• Temporary blocks: 軽微な違反に対しては、5〜15分程度の短時間ブロックを適用します。IPが再割り当てされる、正規ユーザーが別の接続経路で再試行する、あるいは実際の攻撃者が離脱する余地を残せます。

4. Leverage IP Intelligence Hosting Range and TOR Exit Status

モバイルIPは慎重に扱う必要がありますが、datacenter や anonymous proxy のような特定の hosting range 分類、あるいは明示的な TOR exit ステータスは、悪用の可能性がより高いシグナルになり得ます。利用しているプラットフォーム上で mobile と明確に区別されているなら、こうしたIPにはより強い制御を適用できます。要点は、共有モバイルIPと匿名化・ホスティング系インフラを同じように扱わないことです。

Conclusion

CGNAT配下で運用されるモバイルキャリアIPは、ネットワークセキュリティにとって扱いの難しい存在です。静的な脅威に対して有効な単純なIPブロックも、モバイルネットワークでは正規ユーザーに大きな摩擦を生む可能性があります。

ASN、rDNS、hosting range、risk scoreといった高度なIPインテリジェンスシグナルを理解し、guarda.netのようなプラットフォームから得られる文脈情報を組み合わせることで、エンジニアはより精度が高く、ユーザー体験を損ないにくいブロック戦略を設計できます。不正利用を抑えることと、正規ユーザーの利便性を守ること。その両立こそが、モバイル時代のIPベース防御に求められています。任意のIPを手早く確認したい場合は、guarda.netのホームページで提供されている無料のIP lookupツールを利用できます。