ベネズエラにおけるBGP異常の詳細な分析

2026年1月8日原文(blog.cloudflare.com)

概要

2026年1月2日に Venezuela で発生した BGPルートリーク の詳細分析
AS8048（CANTV） による過去の類似事例と技術的背景
意図的な攻撃 ではなく運用ミスの可能性が高い
RPKIやASPA などの新技術による対策の必要性
安全なBGP運用のための 業界全体の協力 の重要性

ベネズエラBGPルートリーク事件の分析

2026年1月2日、 Cloudflare Radar が Venezuela 国内の大手ISP、 CANTV（AS8048） によるBGPルートリークを検知
事件発生前後に 11件のルートリーク が確認され、複数のプレフィックスに影響
BGPルートリーク とは、本来の経路スコープを超えてルーティング情報が拡散される事象
RFC7908 で正式に定義されており、ネットワーク間のビジネス関係（カスタマー・プロバイダー、ピア・ピア）に基づく経路制御が基本
正常なBGP経路は「バレーフリー」ルールに従い、プロバイダーやカスタマー間を適切に流れるべき

AS8048（CANTV）によるルートリークの具体例

AS8048 がプロバイダーAS6762（Sparkle）から受け取った経路を、別のプロバイダーAS52320（V.tal GlobeNet）へ誤って再配布
影響を受けたプレフィックスは AS21980（Dayco Telecom） が発行した 200.74.224.0/20 サブネット
AS8048 と AS21980 はプロバイダー・カスタマー関係
度重なるAS番号のプレペンディング（AS番号の多重挿入）により、経路の魅力度が下がり、意図的なMITM攻撃の可能性は低い
ルートリークは1月2日の15:30～17:45 UTCに複数回発生し、タイミング的にも米国によるMaduro拘束とは無関係

技術的背景と原因の考察

AS8048 は過去2ヶ月間にも同様のルートリークを多数発生
原因は 輸出ポリシーの緩さ や、BGPコミュニティタグ・フィルタの設定ミスが考えられる
RFC9234 や Only-to-Customer(OTC)属性 の導入で防止可能な事例
ルートリークの多くは意図的ではなく、運用上の不備によるもの

BGP異常とその対策技術

BGP異常には 経路誤起源（BGPハイジャック） と 経路パス異常 の2種類が存在
RPKI Route Origin Validation（ROV） は経路誤起源対策には有効だが、経路パス異常には無力
ASPA（Autonomous System Provider Authorization） はBGPパス検証のための新標準案
- 各ASが正当なプロバイダーリストをASPAオブジェクトとして公開
- 不正な経路リークを自動的に拒否可能
Peerlock や Peerlock-lite などの運用者向け経路検証ツールも有効

安全なBGPのために必要なこと

BGPは 信頼とビジネス関係 に基づく設計のため、意図しない経路リークが歴史的に頻発
ASPA や RPKI の普及が今後のインターネット安全性向上の鍵
業界全体での協力 と標準化の推進が不可欠
シンプルな対策として Peerlock 等も積極的に導入すべき

まとめ

ベネズエラのBGPルートリーク事件は、 技術的な運用ミス によるもので、 意図的な攻撃の証拠はない
BGP運用の高度化 と 新技術の導入 が今後の課題
安全なインターネットのため、 世界的な協調と標準化 の推進が必要

Hackerたちの意見

Cloudflareの深さとカバレッジはマジでヤバい。

└

そうだね、これは世界の他の国にとって非常に悪いことだ。特にアメリカでビジネスをしていない非アメリカ企業は、移行する時期だね。

└

Anycastネットワークの運営者がBGPアナウンスを行うために複数のサイトを持つのは全く普通のことだよ（これがAnycastの基本的な仕組みだからね）。これによって、こういった分析のための複数の視点が得られるんだ。他のCDN企業もそれができるけど、彼らはエンジニアリングに特化した組織をアピールすることをあまりしないだけなんだ。

└

彼らはたくさんのリソースを持ってるし、Cloudflareは最高だね。

半分眠いけど、投稿はいいねしたよ。パスプリペンディングに関する分析が、事故理論をしっかり裏付けてるね。もし国家の関与があってトラフィックを傍受しようとしてるなら（MITM）、最後にやることはASパスを何度もパディングすることじゃないよね。だってそれはグローバルルーティングテーブルに「こっちに来ないで、私は長い観光ルートだよ」って言ってるようなもんだから、笑。これはクラシックなファットフィンガー設定ミスかも。多分、自分の上流リンクのトラフィックエンジニアリングを操作するためのルートマップが、deny-allの条項を欠いていて広く漏れちゃったんだろうね。それでも、BGPは根本的に信頼ベースのシステムで、設定ファイルの一文字のミスがグローバルに影響を及ぼすことを思い出させてくれる。悪意によるものだと考えるのは、欠落したエクスポートフィルターで十分説明できることに対しては避けるべきだね。

└

もし国家のアクターがトラフィックを傍受しようとしているなら、ASパスをパディングするなんて最後の手段だよね。これはちょっと思い上がりすぎだと思う。国家のアクターは（そして簡単に）間違った方向にパディングして、トラフィックを新しいアナウンスをしていないポップに流すことができるからね（だからCloudflareや他の「ジャーナリスティック」な努力には関係ない）。それに、太い指とディープステートの間にはたくさんのことがあるよ。広告のインプレッションをいじるために、こういうことをする非国家アクターも知ってるし。単なるルート操作から得られる有用な情報はあまりないと思うけど、もしそれが太い指のせいなら、そのエリアの技術者たちはその時に解決しようと必死だったし、12時間後には最高の仕事ができてなかっただろうね… > おそらく、自分たちの上流リンクのためにトラフィックエンジニアリングを操作するためのルートマップだろうね…とはいえ、これはあり得る話だと思う。私が見た小規模なマルチホーミングサイトのほとんど（そしていくつかの大きなサイトも！）は、SNMPとかで自動的にルーターに何かを実行させるためのアドホックなヘルスモニタリング/リバランス機能を持ってるからね。たとえアップリンクが対称的でも、他のインターネットはそうじゃないから、ルートスタッフィングが進入トラフィックを操作する最良の方法であることには変わりない。 > 悪意によるものだと考えるな、十分に説明できるのは欠落したエクスポートフィルターだ。私が直接ピアリングしない2つの大きなサイトとピアリングすると、両方とも私がアナウンスをフィルタリングせずに転送できるようにしなきゃならない。3つ目ができたら、自分の進入を操作する正当な理由ができる。BGPの問題は数え切れないほどあって、BGPとセキュリティが同じ文に共存できない理由は一つじゃない。

投稿では「漏れは常に起こる」と何度も言ってるけど、これに関する比較データはAS8048からの歴史的な漏れだけだね。ネットワーク全体でこれらの漏れがどのくらいの頻度で起こるかのデータを持ってる人いる？

└

BGPは自分のスキルセット外だから、分析が公平で正確だってことは分かるよ。でも、もし億ドル規模のアメリカの企業Cloudflareがアメリカの秘密サービスによるルーティングテーブルの広範な操作を検出したなら、絶対にそれを公表するとは信じられないな。

└

私の会社は4年間で直接漏れの影響を4、5回受けたから、結構頻繁だと思うよ。/9~を持ってるし、ルートをあまり変えないからね。

でも本当の質問は、どうやって自分のために疑いの余地を残しつつMITMになるかってことだよね？

これは私にとってすごく新しい感覚だ。BGPについて全くの無知でこの投稿を全部読んだら、アメリカの企業と政府がどれだけ深く結びついているか考えるとゾクゾクした。もちろん、これは昔からそうだったけど、今は信頼を失った。今回の「漏洩」の理由が何であれ、このメッセージに書かれた情報は受け入れない（コメントに他の報道のリンクを探してみて）。これはすごく奇妙で、同時に理にかなっている：一つの時代の終わりだ。

└

アメリカの企業と政府がどれだけ深く結びついているか考えるとゾクゾクした。じゃあ、君は…中国（ファーウェイ）やEU（エリクソン、ノキア、アルカテル）の方がいいってこと？解決策を選んでみて。文句を言うのは簡単だよね。ちなみに私はEUだけど、中国よりアメリカを選ぶよ。はい。

Hacker Newsで議論の続きを見る

ハクソク