IPルックアップ結果の読み解き方：サポートチームのための実践ガイド

サポート担当者は、苛立った顧客を待たせながら、日々IPルックアップの結果を読み解いています。これは、そんな現場の担当者に渡すための実践ガイドです。

まずスコアではなく、接続タイプを見る

スコアは要約にすぎません。接続タイプは、より直接的な事実です。確認は次の順番で進めます。

• Residential — 一般家庭向けISPの回線です。既知のResidential proxy出口でない限り、ほとんどの場合は実在する一般ユーザーです。
• Mobile — 携帯キャリアのネットワークで、大規模NATの背後にあります。1つのIPアドレスを何千人もの契約者が共有することがあるため、IP単位での判断は弱くなります。
• Business — 企業向けのIPレンジです。オフィスで共有されるため、1つのIPアドレスから多数のユーザーがアクセスするのは自然です。
• Hosting / datacenter — 家庭の回線ではなくサーバーです。何らかの中継、スクレイピング、自動化が行われている可能性があります。

ブロックに対して顧客から問い合わせがあり、接続タイプがResidentialなら、ルール側の誤判定である可能性が高いでしょう。一方でHostingなら、何を経由して接続しているのかを確認します。

次に組織名とASNを確認する

ASNを見ると、そのネットワークを運用している主体が分かります。たとえば同じdatacenterレンジでも、「AS13335 Cloudflare」と、不正利用履歴の長い小規模ホスティング再販業者では、意味合いがまったく違います。組織名だけでチケットが数秒で解決することもあります。企業のVPNゲートウェイ、大学、よく知られたプライバシーサービス事業者などが典型です。

位置情報は推定値として扱う

国レベルの精度は高い一方、市区町村レベルの精度はそこまで高くありません。IP geolocationは登録情報やネットワーク計測から推定されるもので、実際の顧客がいる都市とは別の、100キロ離れた都市として表示されることも十分にあります。特にモバイル回線では珍しくありません。顧客に対して「当社システムではXにいると出ているので、あなたの説明は虚偽です」と言ってはいけません。「そのネットワークはXを経由しているようです」と伝えるべきです。

フラグの意味を正しく理解する

• Proxy — トラフィックが中継されています。企業ゲートウェイの場合もあれば、不正利用ツールの場合もあります。
• VPN — 商用のプライバシーサービスです。一般の誠実なユーザーにも非常に広く使われています。
• TOR — 公開されている出口ノード一覧に含まれるアドレスです。匿名性を強く求める利用ですが、ジャーナリストや研究者も使います。

VPNフラグが立っているだけで不正とは言えません。ブラウザやアンチウイルス製品にVPN機能が同梱されていて、常時オンのまま使っている人は何百万人もいます。

実務で使えるエスカレーションの段階

• Residential、低スコア、失敗したチェックが1つだけ → ほぼ誤検知です。アクセスを復旧します。
• VPNまたはBusiness、中程度のスコア → VPNをオフにして再試行してもらうか、メールで本人確認します。
• HostingまたはTOR、高スコア、さらに別のシグナルあり（新規アカウント、請求先国との不一致、短時間の連続リトライなど） → 制限を維持し、不正対策キューにエスカレーションします。
• 長期利用中の有料アカウントに影響するブロック → まず解除し、調査はその後で行います。判断を誤ったときのコストは、左右対称ではありません。

判断理由を記録する

チケットを解決したら、確認した内容と最終判断をログに残します。数週間もすると、そのメモはしきい値調整のための最良のデータセットになります。自社のトラフィックから発生した実例であり、人間がラベル付けしたケースだからです。汎用的な推奨カットオフ値より、はるかに価値があります。