ネットワークセキュリティにおけるIPスプーフィングとは？仕組み・事例・リスクを徹底解説

IPスプーフィングとは何か

IPスプーフィング（IPアドレス偽装）とは、IPパケットの送信元アドレスを不正に書き換えることで、攻撃者の正体を隠蔽したり、信頼された別のシステムになりすましたりするサイバー攻撃手法です。オンライン世界における「スプーフィング」は、他人やデバイス、クライアントに成り済ます行為を指し、多くの場合、サイバー攻撃の際に攻撃トラフィックの発生源を隠すために利用されます。

攻撃者はパケットヘッダー内の送信元IPアドレスを改ざんすることで、受信側のコンピューターに「パケットが同じネットワーク上の信頼できるマシンから送られてきた」と誤認させることができます。この攻撃はネットワーク層で実行されるため、外部からは改ざんの痕跡がほとんど現れないのが特徴です。

コンピューターネットワークにおけるスプーフィングの仕組み

スプーフィングが行われると、電子通信は既知の信頼できる発信元から来ているように見えますが、実際にはそうではありません。悪意ある攻撃者は、この手法を使ってネットワークへのアクセス権を取得し、より大規模なサイバー攻撃――たとえば高度持続的脅威（APT）や中間者攻撃（MITM）――を実行します。

技術的には、IPスプーフィングツールを使用して送信元アドレスを変更したパケットを作成することで、送信者の身元を隠したり、別のシステムになりすましたりすることが可能になります。その結果、パケットには偽造された送信元アドレスが含まれることになります。

そもそも、インターネット上のIPアドレスはグローバルなルーティングに使用されているため、送信元IPアドレスの偽装は構造的に可能となっています。

具体的な事例

代表的な例として、DNSサーバースプーフィングが挙げられます。これはDNSサーバーの情報を改変することで、ドメイン名を攻撃者が用意した別のIPアドレスへ誘導する手口です。ユーザーは正規のサイトにアクセスしたつもりでも、気づかないうちに偽サイトへ誘導されてしまう恐れがあります。

メールの例では、偽の送信元アドレスを使って機密情報を要求するメールが送りつけられるケースがあります。こうしたメールには、悪意のあるウェブサイトへのリンクが含まれていることも少なくありません。

IPスプーフィングがもたらすセキュリティリスク

DDoS攻撃への利用

IPスプーフィングは、分散型サービス拒否攻撃（DDoS攻撃）で頻繁に悪用されます。攻撃者は偽装したIPアドレスを使って大量のデータパケットを標的に送り付け、サーバーを過負荷状態に陥らせ、正規ユーザーがサービスを利用できないようにします。

なりすましによる不正アクセス

サイバー犯罪者は、別のコンピューターのIPアドレスを「信頼できる発信元」として装うことで、ターゲットのコンピューターへの侵入を試みます。これにより、システムへの不正アクセス、データ窃取、金銭の盗難、マルウェアの拡散など、さまざまな被害が生じる可能性があります。

フィッシングとの違い

フィッシングはユーザーから直接個人情報を引き出すことを目的とするのに対し、スプーフィングは自分の正体を偽ったり隠したりして悪意ある活動を行うことを目的としています。どちらも「変装」や「虚偽の表示」を用いる点で共通しており、密接に関連した手口だと言えます。

攻撃に使われる主なツール

サイバー攻撃者がスプーフィング攻撃を仕掛ける際に悪用されることがあるツールには、以下のようなものがあります。

• Netcommander：ARPスプーフィング向けの、市場で最も使いやすいとされるツールの一つです。
• IPv6対応ツール：近隣探索プロトコル（NDP）を利用して、IPv6アドレスの偽装を生成します。
• Aranea：クリーンで高速かつ効果的なスプーフィングツールとして知られ、ネットワークへの攻撃に悪用されることがあります。

IPスプーフィングは違法なのか

IPスプーフィングそのものが直ちに違法となるわけではありません。企業ウェブサイトのセキュリティテストなど、悪意のない目的で行われる場合には違法性がないとされています。しかし、他人や企業の機密データを不正に取得し、なりすましや詐欺といった犯罪に利用する目的で行われた場合は、明確に違法行為となります。

IPスプーフィングは追跡できるのか

通常のDoSフラッド攻撃では、攻撃元デバイスのIPアドレスを隠すために、パケットの送信元アドレスが偽造されています。そのため、攻撃の真の発生源を特定するには、特別な追跡調査が必要となります。偽装されたIPアドレスだけでは発信者を特定できないため、ISP（インターネットサービスプロバイダー）の協力を得たパケット追跡などの高度な手法が用いられます。