// シス担のミカタ
ネットワーク攻撃

BGPハイジャック びーじーぴーはいじゃっく

BGPルーティングAS（自律システム）プレフィックスハイジャックインターネット経路サイバー攻撃
BGPハイジャックについて教えて

簡単に言うとこんな感じ！

インターネットの「カーナビ」を書き換えて、本来とは別の場所にデータを誘導する攻撃だよ！「このサーバーへの道はこっちですよ」と嘘の経路情報を流して、通信を乗っ取ったり盗み見たりするんだ。国ごと影響が出ることもある超危険な攻撃なんだ！

BGPハイジャックとは

BGP（Border Gateway Protocol） は、インターネット上の無数のネットワーク同士が「どこへ行くにはどの経路を使うか」を互いに教え合うためのプロトコル（通信規則）です。世界中の AS（Autonomous System：自律システム） と呼ばれるネットワーク単位が、このBGPを使って経路情報を交換することで、インターネット全体のルーティング（通信の経路選択）が成り立っています。

BGPハイジャックとは、このBGPの仕組みを悪用して、攻撃者が「自分のところにその宛先への経路があるよ」と偽の経路情報（プレフィックス）を広告する攻撃です。正規の所有者になりすますことで、本来届くべきサーバーとは別の場所にトラフィック（通信データ）を誘い込みます。意図的な攻撃だけでなく、設定ミスによる偶発的なハイジャックも過去に多数発生しており、インターネット全体に影響が波及することがあります。

被害は個人・企業にとどまらず、国家レベルの通信が迂回・傍受されるケースも報告されており、インターネットインフラを支える根幹的な脅威として国際的に問題視されています。

BGPハイジャックの仕組み

インターネットの「地図」が書き換えられるイメージ

【正常な状態】
  ユーザー → AS-A（日本） → AS-B（米国） → 目的のサーバー

【BGPハイジャック発生後】
  ユーザー → AS-A（日本） → AS-X（攻撃者） → （中継または遮断）

BGPは「信頼ベース」のプロトコルであり、接続先のASが送ってきた経路情報を基本的に信じて転送する設計になっています。この性質が悪用されます。

攻撃の主な手口

手口内容目的
プレフィックスハイジャック他者のIPアドレスブロックを自分のものとしてBGP広告するトラフィックの横取り・なりすまし
サブプレフィックス広告より細かいIPアドレス範囲を広告してルータに優先させる特定宛先への誘導（より精密な攻撃）
ルートリーク意図せず内部経路を外部へ広告してしまう主に設定ミス。結果的に経路混乱を招く
中間者攻撃型経路をそらしつつ本来の宛先へも転送し傍受通信の盗聴・改ざん（被害者が気づきにくい）

BGPがなぜ騙されやすいのか

  • BGP自体には経路情報を検証する仕組みが標準で備わっていない
  • ASは隣接するASを「信頼できるピア（仲間）」として扱う設計
  • インターネット黎明期に「信頼できる機関同士が使うもの」として設計されたため、悪意あるアクターの存在が想定されていなかった

歴史と背景

  • 1989年 — BGP（RFC 1105）が公開。インターネットの急速な成長に対応するためにEGP（Exterior Gateway Protocol）の後継として登場
  • 1994年 — BGP-4（RFC 1771）が策定され、現在も使われるバージョンに
  • 1997年 — 「AS 7007インシデント」：米国のISPがミス設定により大量の誤経路を広告。インターネットの広範な障害を引き起こした偶発的ハイジャックの元祖
  • 2008年 — パキスタンテレコムによるYouTubeブラック​ホール事件：YouTube（google）のIPアドレスブロックをパキスタン国内向け遮断の目的で広告したところ、誤って全世界に伝播。約2時間YouTubeが全世界でアクセス不能に
  • 2010年 — 中国電信（China Telecom）事件：約15分間、米国政府機関を含む大量のトラフィックが中国のネットワークを経由。意図的か否かは不明
  • 2018年 — AmazonのRoute53（DNSサービス）のIPアドレスがハイジャックされ、仮想通貨サービスの認証情報が盗まれる事件が発生
  • 2019年以降 — RPKI（Resource Public Key Infrastructure） の導入が本格化。経路情報の正当性を暗号署名で確認できる仕組みとして普及が進む

対策技術との比較

BGPハイジャック対策として複数のアプローチが存在します。

BGPハイジャック対策技術マップ BGP（Border Gateway Protocol） インターネット経路制御の基盤プロトコル（RFC 4271） RPKI Resource Public Key Infrastructure IPアドレスブロックと AS番号の紐付けを暗号署名で検証 BGPsec RFC 8205 経路パス全体を暗号署名で 検証（普及途上） IRRフィルタリング Internet Routing Registry ISPがルーティングポリシーを 登録・フィルタリングで防御 対策手段の比較 手段 検証対象 普及状況 導入コスト RPKI 発信元ASとプレフィックス ★★★★☆（普及中） 中 BGPsec 経路パス全体 ★★☆☆☆（普及途上） 高 IRRフィルタリング 登録済みポリシーとの照合 ★★★☆☆（広く実施） 低〜中

RPKIとは

RPKI（Resource Public Key Infrastructure） は、現時点で最も実用的なBGPハイジャック対策です。IPアドレスブロックの正当な所有者が「自分のIPアドレスはAS番号XXXから広告される」という ROA（Route Origin Authorization：経路起点認証） を発行し、デジタル署名で保証します。受け取る側のルータはこの署名を検証することで、偽の経路広告をINVALID（無効） として除外できます。

日本では JPNIC や各地域インターネットレジストリ（APNIC など）が RPKI の普及を推進しています。

企業・発注担当者が知っておくべき実務ポイント

状況対処
自社でIPアドレスブロックを保有しているISPや上位プロバイダーにROAの設定を依頼する
クラウドサービスを利用しているAWS・GCP・Azureなど主要クラウドはRPKI対応済み
社内DNSやメールが突然つながらなくなったBGPハイジャックの可能性も疑い、ISPに問い合わせる
VPNや専用線でクリティカルな通信を行うBGPに依存しないルートを用意するのが理想

関連する規格・RFC

規格・RFC番号内容
RFC 4271BGP-4の基本仕様（現行バージョン）
RFC 6480RPKIのアーキテクチャと概要
RFC 6482ROA（Route Origin Authorization）の形式定義
RFC 6811BGPプレフィックス起点の検証（BGP Prefix Origin Validation）
RFC 8205BGPsec プロトコル仕様（経路パス全体の署名検証）
RFC 7454BGPオペレーションとセキュリティのベストプラクティス

関連用語