BGPハイジャックとは？インターネット経路乗っ取りの仕組みと企業が取れる対策を解説

「自社サービスの通信が、知らぬ間に第三者のサーバーを経由していた」——そんな事態が現実に起きているのが、BGPハイジャック（BGP Hijacking）という攻撃です。

インターネットは「どの経路を通ってパケットが届くか」を BGP（Border Gateway Protocol）という仕組みで制御しています。このプロトコルには設計当初からセキュリティ機能がほぼ搭載されておらず、悪意ある攻撃者が偽の経路情報を流すだけで、世界中のトラフィックが書き換えられてしまいます。

この記事では、BGPハイジャックの仕組みと実際の被害事例、そしてインフラエンジニアや情シス担当者が今から取れる現実的な対策を、攻撃者の視点から解説します。

BGP（ボーダーゲートウェイプロトコル）とは？

BGP（Border Gateway Protocol）は、インターネット上の自律システム（AS: Autonomous System）同士が「どの IP アドレス帯への経路を持っているか」を互いに広告し合うプロトコルです。

たとえば「192.0.2.0/24 という IP アドレス帯は AS64500 が持っている」という情報を各 AS が学習・伝搬させることで、世界中のルーターがパケットを正しい宛先に届けられます。

・AS（自律システム）: NTTや Amazon、大学など、独立した経路ポリシーを持つネットワーク単位。ASN（AS番号）で識別される
・BGPピアリング: 隣接する AS 間でルーター同士が TCP で接続し、経路情報（BGP プレフィックス）を交換すること
・プレフィックス: IP アドレスとネットワーク長のセット。192.0.2.0/24 のように表記する

BGP はインターネットの「道路地図」を作る仕組みです。この地図が改ざんされると、世界規模でパケットが誤った方向へ流れてしまいます。

BGP が設計された 1989年当時、インターネットは限られた研究機関や大学の間でしか使われておらず、「参加者は信頼できる」という前提がありました。その前提が崩れた現在も、プロトコルの根本的な設計は変わっていません。これが BGP のセキュリティ上の最大の課題です。

BGPハイジャックの仕組み（攻撃を知る）

BGP ハイジャックは、攻撃者が正規のプレフィックスを「自分の AS から到達できる」と偽って広告することで成立します。BGP には経路情報の正当性を自動検証する仕組みが標準では存在しないため、受け取った側のルーターは基本的に信用してしまいます。

1. 経路乗っ取りのパターン

主な攻撃パターンは 3 種類あります。

・完全なプレフィックス広告: 被害者の AS が持つ 192.0.2.0/24 をそのまま自分の AS から広告する。隣接 AS が攻撃者の経路を採用するとトラフィックが誘導される
・より長いプレフィックスでの乗っ取り（Most-Specific Route Hijack）: 192.0.2.0/25 や /26 のようにより細かい CIDR で広告する。BGP は「より具体的な経路」を優先する特性があるため、攻撃者の /25 が正規の /24 より優先されてしまう
・AS パスの偽装（AS Path Hijack）: 正規 AS のプレフィックスを、あたかも自分が正規 AS への中継点であるかのように広告する。検知が難しいタイプの攻撃

攻撃者がこの状態を作り出すと、本来 A 社のサーバーへ届くはずのパケットが攻撃者のサーバーへ流れ込みます。

2. ハイジャック後の悪用手口

トラフィックを横取りした攻撃者は、次のような手口で被害を拡大させます。

・通信の盗聴（Eavesdropping）: 暗号化されていないプロトコル（HTTP・FTP・SMTP など）の内容を丸ごと取得する
・中間者攻撃（MITM）との組み合わせ: HTTPS 通信を一度復号して内容を読み取り、再度暗号化して転送する。HSTS が正しく設定されていない場合に被害が拡大する
・メール盗聴・なりすまし: SPF/DKIM 設定前のメールサーバー向けパケットを横取りし、認証情報や企業メールを窃取する
・DNS ハイジャックとの連携: DNS 権威サーバーへのトラフィックを乗っ取り、名前解決ごと偽サイトへ誘導する複合攻撃
・サービス停止（ブラックホール）: 奪ったトラフィックをそのまま破棄することで、標的 AS のサービスを実質的に利用不能にする

実際に起きた BGP ハイジャック事例

BGP ハイジャックは理論上の脅威ではなく、過去に何度も大規模インシデントとして記録されています。

【事例1】Amazon Route 53 への BGP ハイジャック（2018年）

2018年4月、Amazon の DNS サービス（Route 53）の IP アドレスプールに対して BGP ハイジャックが発生しました。攻撃者は偽の経路広告を行い、MyCrypto という仮想通貨ウォレットサービスの DNS 解決を乗っ取りました。ユーザーが正規 URL にアクセスしても偽サイトへ誘導され、約 150,000 ドル相当の仮想通貨が窃取されたと報告されています。

【事例2】Rostelecom によるグローバル経路ハイジャック（2020年）

2020年4月、ロシアの通信事業者 Rostelecom が Google・Apple・Facebook・Cloudflare などのプレフィックスを誤って（あるいは意図的に）広告し、一時的にトラフィックが Rostelecom のネットワークを経由する状態になりました。約 1 時間で収束しましたが、影響は世界規模に及びました。

【事例3】パキスタンテレコムによる YouTube へのハイジャック（2008年）

2008年2月、パキスタンテレコムが政府の YouTube 遮断命令を実施するために YouTube のプレフィックスを広告したところ、フィルタリング不備によってその広告がグローバルに伝搬し、世界中で YouTube が約 2 時間にわたり利用不能になりました。意図しない設定ミスが世界規模の障害を引き起こした典型例です。

これらの事例が示すのは、「BGP ハイジャックは特定の国家・大企業だけの問題ではない」という現実です。設定ミスであれ悪意ある攻撃であれ、1 つの AS から誤った広告が出るだけで影響は世界中に波及します。

具体的な防御手順

1. RPKI（Resource Public Key Infrastructure）と ROA の導入

BGP ハイジャック対策として最も効果的なのが RPKI（Resource Public Key Infrastructure） と ROA（Route Origin Authorization） の組み合わせです。

RPKI は「このプレフィックスはこの AS から広告されるべきだ」という情報に電子署名を付与し、受け取ったルーターが署名を検証できるようにする仕組みです。ROA は RPKI における署名付きオブジェクトで、「AS番号 + プレフィックス + 最大プレフィックス長」の 3 点セットで構成されます。

ROA を作成するには、利用している IP アドレスを管理している RIR（地域インターネットレジストリ） のポータルにログインします。日本の場合は JPNIC（APNIC 経由）または直接 APNIC のポータル（myAPNIC）を使います。

# APNIC ポータル（https://myapnic.net）での ROA 作成手順（概略）
# 1. myAPNIC にログイン
# 2. 「RPKI」→「ROA Management」を選択
# 3. 「Create ROA」をクリック
# 4. 以下を入力する
#    - AS番号（例: AS64500）
#    - プレフィックス（例: 192.0.2.0/24）
#    - 最大プレフィックス長（例: /24 — /25以下の広告を INVALID にする場合）
# 5. 署名して保存
# → ROA が RPKI リポジトリに公開され、ROV 対応ルーターが参照できるようになる

ROA を作成したら、隣接 AS が ROV（Route Origin Validation） を実施しているかも確認しましょう。ROV は BGP ルーターが受け取った経路を RPKI と照合し、INVALID な経路を破棄する動作です。自組織が ROA を作成するだけでなく、上流 ISP に ROV の実施状況を確認することが重要です。

2. BGP モニタリングツールの活用

ROA の作成と並行して、自組織のプレフィックスが不審な AS から広告されていないかを継続的に監視します。以下のツールが有効です。

・BGPmon（bgpmon.net）: プレフィックスに変化が起きた際にアラートをメールで通知するサービス。無料プランで基本的な監視が可能
・RIPE RIS（Routing Information Service）: RIPE NCC が提供するグローバル BGP 経路の可視化サービス。自 AS の経路をリアルタイムで確認できる
・BGPlay（RIPE 提供）: AS 経路の時系列変化をグラフィカルに表示するツール。過去のハイジャックの証跡調査にも使える
・MANRS Observatory（manrs.org）: BGP の異常広告をグローバル視点で検出するサービス。RPKI 準拠状況の確認にも対応

# BGPmon でプレフィックスを登録する（Web UI の手順）
# 1. https://www.bgpmon.net/ にアクセスし、アカウントを作成
# 2. 「My Networks」→「Add Network」
# 3. 監視するプレフィックスを入力（例: 192.0.2.0/24）
# 4. AS番号を登録（例: AS64500）
# 5. アラート通知先メールアドレスを設定
# → 不審な広告が検出された際にメールで通知が届く
#
# ※ RIPE BGPlay での確認（経路変化の可視化）
# https://bgplay.massimocandela.com/ にアクセスし、
# 対象プレフィックスを入力すると経路変化の時系列グラフが表示される

3. ISP との BGP フィルタリング設定の確認

上流 ISP との BGP セッションで、以下のフィルタリングが設定されているかを確認・要求します。

・IRR（Internet Routing Registry）フィルタリング: JPIRR や RADB に登録された経路情報と照合し、登録外のプレフィックスを遮断する
・最大プレフィックス長の制限: /25 以下の異常に細かいプレフィックスを受け入れない設定（More Specific Hijack の抑制）
・Bogon フィルタリング: プライベート IP アドレス帯（10.0.0.0/8 など）や予約済みアドレス帯の広告を拒否する
・AS パスの検証: 明らかに不自然な AS パス長や、プライベート AS 番号（64512～65534）の混入を拒否する

ISP によってはデフォルトで RPKI ROV を実施しているケースもあります。契約している ISP のセキュリティポリシーを確認しましょう。

中小企業でも今日からできること

「自社は AS を持っていないから関係ない」と感じる方もいるかもしれませんが、BGP ハイジャックの被害はエンドユーザー側にも波及します。自社の IP アドレスやドメインが第三者のサービスを経由することで、メール・VPN・認証トークンが漏洩するリスクがあります。

AS を持たない中小企業でも、以下の対策を今日から実施できます。

・HTTPS の徹底と HSTS の有効化: 通信を TLS で暗号化し、HSTS（HTTP Strict Transport Security）を設定する。BGP ハイジャックによる中間者攻撃の被害を最小化できる
・VPN の利用（WireGuard / IPsec）: 拠点間通信や外部アクセスは VPN トンネルで保護する。BGP ハイジャックでトラフィックが迂回されても、VPN トンネルが維持されていれば内部通信は守られる
・メールの DMARC 設定（p=reject）: SPF・DKIM に加えて DMARC を厳格に設定することで、BGP 経由でのメール盗聴・なりすましへの耐性が上がる
・利用クラウドの RPKI 対応確認: AWS・Google Cloud・Azure などの主要クラウドプロバイダーはいずれも RPKI ROV を実施しています。クリティカルなサービスは RPKI 対応済みプロバイダーに集約することを検討する
・DNS over HTTPS（DoH）または DNS over TLS（DoT）の利用: 社内 DNS クエリを暗号化することで、BGP ハイジャックと連携した DNS 盗聴・改ざんへの耐性を高める

ネットワーク全体を守るための設計については、姉妹サイトCloudMasters.TOKYOのクラウドセキュリティ記事も参考にしてください。

よくある誤解と注意点

【誤解1】「HTTPS 通信だから BGP ハイジャックされても安全」

HTTPS は経路の正当性を保証しません。TLS の暗号化は正規の証明書がある前提で成り立っています。BGP ハイジャックと偽の TLS 証明書（フィッシング用の DV 証明書など）が組み合わされると、ユーザーのブラウザが「安全な接続」を示しながらも、実際には偽サイトへ誘導されるケースがあります。HSTS Preloading と証明書の透明性（Certificate Transparency）の活用が追加の防御になります。

【誤解2】「大手キャリアが BGP ハイジャックを自動で防いでくれる」

RPKI ROV の採用率は主要キャリアで高まっていますが、2026年時点でもすべての AS が実施しているわけではありません。自組織でも ROA の作成とプレフィックス監視を独自に行うことが重要です。

【注意】ROA の設定ミスで自社サービスが到達不能になるリスク

ROA を作成する際、最大プレフィックス長の設定を誤ると自組織のプレフィックスが INVALID 扱いされ、自社サービスへの到達性が失われる可能性があります。たとえば、192.0.2.0/24 を広告しているのに ROA の最大プレフィックス長を /23 で設定すると、/24 の広告が INVALID とみなされる場合があります。変更前には必ず RPKI Validator（例: routinator）でシミュレーションを行い、段階的に展開しましょう。

本記事のまとめ

BGP ハイジャックは「インターネットの根幹を揺るがす」攻撃であり、自組織が直接 AS を持たない場合でも無関係ではありません。

BGP はインターネットを動かす根幹プロトコルであり、その信頼性は参加するすべての AS が正しく行動することで成り立っています。自組織の管理範囲では RPKI/ROA の整備と継続的な監視体制の構築を進め、AS を持たない組織は HTTPS・VPN・DMARC といった通信保護の基本対策をしっかりと積み上げることが、BGP の脅威に対する現実的な防御の第一歩です。