海外IP制限はなぜ必要？警察庁のデータから学ぶWebセキュリティ対策

関連記事：情報漏えいを防ぐために知っておきたいWebサービスのセキュリティ対策

Webサイトやキャンペーンシステムを安全に運用するうえで、重要なのが不正アクセス対策です。
なかでも、国内向けのサービスで検討したい対策の一つが「海外IP制限」です。

「海外からのアクセスを制限する必要はあるのか？」
「WAFを導入していれば、海外IP制限は不要なのでは？」

このような疑問を持つ方も多いのではないでしょうか。

しかし、警察庁が公表したサイバー空間の脅威に関する資料では、脆弱性探索行為などの不審なアクセスが多数観測されており、その多くが海外を送信元とするアクセスでした。

特に、国内ユーザーを対象としたWebサイトやキャンペーンシステムでは、海外IPアドレスからのアクセスを適切に制限することで、不要な通信を減らし、セキュリティリスクの低減につなげられる場合があります。
ただし、海外IP制限だけですべての攻撃を防げるわけではありません。WAFやIPSなど、ほかのセキュリティ対策と組み合わせることも重要です。

今回は、警察庁の公開資料をもとに、海外IP制限が有効な理由やWAF・IPSとの違い、導入時の注意点について分かりやすく解説します。

1. 警察庁のデータから見る不審なアクセスの実態

Webサイトやサーバーをインターネット上に公開すると、一般ユーザーからのアクセスだけでなく、脆弱性や設定上の弱点を探る不審な通信を受けることがあります。

警察庁が公表しているサイバー空間の脅威に関する資料では、インターネット上で観測された不審なアクセスの送信元について、海外からのアクセスが大きな割合を占めるデータが示されています。

警察庁の公開資料によると、令和7年（2025年）に観測された不審なアクセスの状況は、以下のとおりです。

このデータからは、観測された不審なアクセスの大部分が海外を送信元としていたことが分かります。

ただし、この数値は特定の観測環境で検知されたアクセスに関するものであり、日本国内のすべてのWebサイトへの攻撃や、実際に被害が発生した件数を示すものではありません。また、海外からのアクセスがすべて悪意のあるものというわけでもありません。

それでも、Webサイトやサーバーが外部からの不審なアクセスに日常的にさらされていることは、セキュリティ対策を考えるうえで重要なポイントです。

◎ 攻撃は脆弱性を探すところから始まる

サイバー攻撃では、いきなりシステムへの侵入を試みるだけでなく、攻撃に利用できる弱点を探すための探索的なアクセスが行われることがあります。

例えば、攻撃者や自動化されたプログラム（ボット）は、次のような情報を探るためにWebサイトへアクセスすることがあります。

• ・外部からアクセスできる管理画面やログインページ
• ・古いソフトウェアや既知の脆弱性が残るシステム
• ・設定に不備のあるWebサービス
• ・不正ログインを試みることができる認証機能

こうした探索的なアクセスが、すべて実際の攻撃につながるわけではありません。
しかし、システムの弱点を探る通信を減らすことは、Webセキュリティ対策を考えるうえで重要です。

特に、国内ユーザーだけを対象としたWebサイトやキャンペーンシステムでは、サービスの利用に必要のない海外からのアクセスを制限することで、攻撃対象となる範囲を狭められる可能性があります。

そのため、海外IP制限は、WAFやIPSなどの対策と組み合わせて活用したいセキュリティ対策の一つです。

2. 海外IP制限で攻撃の入口を狭める

海外IP制限の大きな役割は、サービスの利用を想定していない地域からのアクセスを制限し、攻撃の対象となる範囲を狭めることです。

例えば、国内ユーザー向けのキャンペーンサイトや、自治体・商業施設が実施するデジタルスタンプラリーなど、海外からの利用を想定していないサービスでは、海外IPアドレスからのアクセスを制限することで、不要な通信を減らせる可能性があります。

海外IP制限によって期待できる効果は、主に次の5つです。

◇脆弱性を探るアクセスの抑制
サービスの利用に必要のない海外からの探索的なアクセスを制限し、システムの弱点を探る通信を減らす。

◇不審な通信の削減
自動化されたプログラム（ボット）などによる不要なアクセスを減らし、サーバー負荷の軽減につなげる。

◇不正ログインの試行を抑制
ログイン画面などに対するブルートフォース攻撃（総当たり攻撃）など、海外IPアドレスからの不正ログインの試行を抑制する。

◇不正リクエストの送信を抑制
Webサイトやアプリケーションの機能に対する、海外IPアドレスからの不審なリクエストを減らす。

◇攻撃対象となる範囲の縮小
外部からアクセスできる範囲を絞り、WAFやIPSなど、ほかのセキュリティ対策と組み合わせてリスク低減につなげる。

ただし、海外IP制限を導入すれば、すべての不正アクセスを防げるわけではありません。
国内のIPアドレスを経由した攻撃や、正規のアクセスに見せかけた攻撃などは、海外IP制限だけでは防げない場合があります。

そのため、海外IP制限は単独で万全な対策と考えるのではなく、WAFやIPS、ソフトウェアの脆弱性管理などと組み合わせて活用することが重要です。

3. 海外IP制限とWAF・IPSの違い｜多層防御が重要な理由

「WAF（Web Application Firewall）を導入しているから、海外IP制限は必要ないのでは？」という疑問を持つ方もいるかもしれません。

しかし、Webセキュリティにおいて重要なのは、一つの対策だけに頼らず、複数の対策を組み合わせる「多層防御」という考え方です。

◎ 海外IP制限・WAF・IPSの役割と特徴

■ 海外IP制限｜アクセス元を制限する

IPアドレスの位置情報などをもとに、海外からのアクセスを制限する仕組みです。国内ユーザー向けのキャンペーンサイトなど、海外からの利用を想定していないサービスで、不要な通信を減らす効果が期待できます。

■ WAF｜Webアプリケーションへの攻撃を検知・遮断する

WAF（Web Application Firewall）は、Webサイトと利用者の間を流れるHTTP・HTTPS通信を検査し、SQLインジェクションやクロスサイトスクリプティング（XSS）など、Webアプリケーションを狙う攻撃の検知・遮断を支援します。
海外IP制限とは異なり、アクセス元の地域だけでなく、リクエストの内容などをもとに不審な通信を判断できる点が特徴です。
ただし、設定や検知ルールによって防御できる範囲は異なります。

■ IPS｜ネットワーク上の不正な通信を検知・遮断する

IPS（侵入防御システム）は、ネットワーク上の通信を監視し、攻撃と判断した通信を遮断する仕組みです。
製品や構成によって対応範囲は異なりますが、既知の攻撃パターンなどを検知し、侵入リスクの低減を支援します。

◎ それぞれの対策を組み合わせてリスクを低減する

海外IP制限・WAF・IPSは、いずれか一つを導入すれば十分というものではありません。
それぞれの役割を理解し、サービスの特性や想定されるリスクに応じて組み合わせることが重要です。

また、こうした対策に加えて、ソフトウェアの脆弱性管理、適切なアクセス権限の設定、多要素認証、アクセスログの監視なども欠かせません。

海外IP制限で不要なアクセスを減らし、WAFやIPSで攻撃を検知・遮断する。さらに、システム自体の安全性も維持する。

このように複数の対策を重ねることで、Webセキュリティの強化につながります。

4. 海外IP制限を導入する際の注意点

海外IP制限は、不審なアクセスを減らし、攻撃対象となる範囲を狭めるうえで有効な対策です。
しかし、「海外IP制限さえ導入すれば完全に安全」という万能な対策ではありません。

導入にあたっては、正規の利用者への影響や、制限だけでは防げない攻撃があることを理解し、サービスの特性に合わせて運用する必要があります。
主な注意点を確認しておきましょう。

◎ 正規の利用者まで制限してしまう可能性がある

海外IP制限を導入すると、悪意のあるアクセスだけでなく、正規の利用者からのアクセスも制限してしまう可能性があります。

例えば、次のようなケースが考えられます。

• ・海外旅行中に日本国内向けのサービスを利用するユーザー

• ・海外に住む日本人や、海外拠点からアクセスする関係者

• ・海外からアクセスする検索エンジンのクローラーや外部サービス

そのため、海外からのアクセスを制限する前に、サービスの対象者や利用環境を確認しておくことが大切です。

◎ 海外IP制限だけでは防げない攻撃もある

海外IP制限は、IPアドレスの位置情報などをもとにアクセスを制限する仕組みです。
そのため、国内のIPアドレスを経由した攻撃や、VPN・プロキシなどを利用して制限を回避したアクセスには対応できない場合があります。

海外IP制限だけで安全性を確保しようとするのではなく、WAFやIPS、ソフトウェアの脆弱性管理など、複数の対策を組み合わせて運用することが重要です。

◎ サービスの利用目的に合わせて制限範囲を決める

海外IP制限を導入する際は、サービスの利用者や提供内容に応じて、どこまでアクセスを制限するか検討しましょう。

例えば、国内ユーザー向けのキャンペーンサイトであれば、海外からのアクセスを原則制限する運用が考えられます。
一方、訪日外国人向けのキャンペーンや海外拠点からの利用を想定しているサービスでは、海外からのアクセスを許可する必要があるかもしれません。

重要なのは、海外からのアクセスを一律に危険と判断するのではなく、サービスに必要なアクセスを見極めたうえで、適切な制限を設けることです。

Webサービスのセキュリティ対策では、海外IP制限に加えて、WAF・IPSによる攻撃対策やアクセス制御、脆弱性診断などを組み合わせることも重要です。
それぞれの対策について詳しく知りたい方は、こちらの記事もあわせてご覧ください。

関連記事：情報漏えいを防ぐために知っておきたいWebサービスのセキュリティ対策

まとめ：海外IP制限はリスクを低減する現実的な防御策

海外IPアドレスからのアクセスが、すべて悪意のあるものというわけではありません。
しかし、国内向けのWebサービスでは、利用を想定していない地域からのアクセスを制限することも、不正アクセス対策の一つです。

今回の記事で紹介したポイントを振り返りましょう。

• ・不審なアクセスの99.4％は海外から：警察庁の公開データから、観測された不審なアクセスの送信元の多くが海外であることが分かります。
• ・攻撃の入口を狭める：海外からの不要なアクセスを制限し、攻撃対象となる範囲を狭めることが期待できます。
• ・多層防御が重要：海外IP制限だけですべての攻撃を防ぐことはできないため、WAFやIPS、脆弱性対策などを組み合わせることが大切です。

万が一の被害が発生してから対応するのではなく、不審なアクセスへの備えを日頃から講じておくことが、Webセキュリティの強化につながります。
海外IP制限は、こうしたリスクを低減するための現実的な対策の一つといえるでしょう。

◎ PKBソリューションのセキュリティ対策

PKBソリューションでは、インバウンド向けの施策ではないキャンペーンについて、原則として海外IPアドレスからのアクセスを拒否する運用を行っています。

また、共有サーバーでは、WAFやIPSなどのセキュリティ機能を標準で提供しています。さらに、管理画面へのアクセスをIPアドレスで制限することも可能です。

より高度なセキュリティ要件がある場合には、専用サーバーの構築についてもご相談いただけます。
セキュリティ対策には構成に応じたコストがかかるため、ご予算や必要な対策のレベルを踏まえ、案件ごとに適した環境をご提案します。

当社では、プライバシーマーク（Pマーク）やISMS、ISMSクラウドセキュリティに関する認証も取得しています。

キャンペーンシステムのセキュリティ強化をご検討の際は、ぜひお気軽にPKBソリューションへご相談ください。

参考資料・出典

– 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
└ 不審なアクセスの件数・海外送信元の割合に関する出典。令和7年のデータでは、海外が9,551件、国内が55件で、海外の割合は99.4％です。

– 独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの運用管理に向けての20ヶ条 ～セキュリティ対策のチェックポイント～」
└ Webサイトの不正な通信への対策や、WAF・IPSの導入に関する参考資料。

– 独立行政法人情報処理推進機構（IPA）「Web Application Firewall（WAF）読本」
└ WAFの仕組みや機能、導入・運用時の注意点に関する参考資料。

ご相談・お問合せ

当社では、年間キャンペーン総参加者数、325万人以上の実績と創業以来のノウハウを活かし主催者様ならびに、ご担当営業の皆さまをサポートしております。
セキュリティ関連以外にも過去事例やデモ、企画例のご紹介も可能ですので、お気軽にご相談ください。

▼PKBなんでもWEB相談室はこちら
https://www.pkbsolution.co.jp/web_meeting/