無料VPNは危険？運営の仕組みと起きうる問題、安全なアプリの確かめ方とおすすめ

この研究は、CSIROや米国のICSI（国際コンピュータサイエンス研究所）などの研究者が、インターネット計測の国際会議IMC 2016で発表したものです。Google Playの140万本以上のアプリから、AndroidのVPN機能を使う283本を抽出して調べました。283本はいずれも無料で入手できるアプリで、うち153本はVPNを使うのにアプリ内課金が必要でした。暗号化や通信の漏れを調べる通信テストは、このうち150本が対象です。

ウイルス対策エンジンの判定は、1つでも検出すれば数に入るため、誤検出が含まれる可能性があります。それでも、5つ以上のエンジンが検出したアプリも4%ありました。同じ研究では37%のアプリが50万回以上インストールされており、利用者の多いアプリにも問題が見つかっています。

暗号化の不備や通信の漏れで起きること

• DNSの漏れ：DNSは、サイトの名前をIPアドレス（ネット上の住所）に変換する仕組みです。DNSの問い合わせがVPNの外に漏れると、通信の中身が暗号化されていても、どのサイトを開いたかがWi-Fiや回線の提供者に見えます。
• IPv6の漏れ：IPv6（新しい形式のIPアドレス）の通信がVPNを通らない場合、その分の通信はVPNの外を通り、Wi-Fiや回線の提供者から見えます。
• 暗号化しないトンネル：通信を暗号化しないVPNは、公衆Wi-Fiでの盗聴対策になりません。IPAは、暗号化されていないWi-Fiでは通信内容を盗聴されるリスクが避けられないと指摘しており、VPNを使う意味はまさにその区間を暗号化することにあります。

なお、この研究は2016年のもので、対象はAndroidアプリだけです。その後、Google PlayはVPNアプリに端末から出口までの暗号化を求める規則を設けており、数字がいまのアプリにそのまま当てはまるわけではありません。

アプリを削除しても、それだけでは片付かないことがあります。IPAは、アプリをアンインストールしただけでは自動継続課金は解約されないと注意しています。iPhoneでは設定＞一般＞VPNとデバイス管理に構成プロファイルが残っていないかも確かめてください。

Appleによると、構成プロファイルを削除すると、そのプロファイルに関連付けられた設定やアプリ、データも削除されます。会社や学校が管理する端末では、削除の前に管理者に確認します。iPhoneでのVPN設定の基本はiPhoneでVPNを使う方法にまとめています。

Androidで入れた覚えのない証明書は、Pixelの場合設定＞セキュリティとプライバシー＞セキュリティの詳細設定＞暗号化と認証情報＞ユーザー認証情報で確認できます。メニューの名称は機種によって異なります。

• Appleは、App StoreのVPNアプリの提供を組織として登録した開発者に限ったうえで、収集するデータとその用途を、購入や利用の前にアプリの画面上で示すよう求めています。
• 同じガイドラインは、VPNアプリがデータを第三者に売ったり、共有・開示したりすることを、目的を問わず禁じています。
• Google Playは、VPN機能（VpnService）を使うアプリに対し、その機能を使うことをストアの掲載情報に明記し、端末からVPNの出口までのデータを暗号化するよう求めています。
• Google Playは、他のアプリの通信を収益目的で転送したり書き換えたりすることや、アプリの収益化に影響する形で広告を操作することも認めていません。

それでも、問題のあるアプリがストアに並ぶことはあります。IPAは2022年、スマホに偽のセキュリティ警告を表示し、クリーナーアプリやVPNアプリのインストールに誘導する手口に注意を呼びかけました。IPAによると、誘導先のアプリは起動後に自動継続課金への登録を求め、週ごとや年ごとの高額な料金設定が多いといいます。

ストアが表示するプライバシー情報も、開発者の申告がもとになっています。Appleは、回答を正確かつ最新に保つ責任は開発者にあるとしています。Googleも、独立したセキュリティ審査はデータ セーフティの申告内容の正確さまでは証明しないと明記しています。

表の条件のうち、ExpressVPNの「初めて利用する人のみ」とProtonの「1人1回まで」は、以前に利用したり返金を受けたりしたことがある方に関わります。CyberGhostは返金期間が長い一方、App Storeの説明によると、サポートの対応言語は英語、ドイツ語、フランス語、ルーマニア語で、日本語は含まれていません。

1. 1公式サイトで契約する（ストアのアプリ内課金は返金保証の対象外になる場合がある）。
2. 2購入日と返金の期限を、カレンダーなどに控えておく。
3. 3期限内に、自宅の回線や外出先のWi-Fiで普段どおりに使い、速さや繋がりやすさを確かめる。
4. 4続けない場合は、期限内に解約と返金の申請を済ませる。
5. 5返金の連絡と、カードの明細への反映を確かめる。

国民生活センターは、無料のお試し期間が終わると、自動的に有料の定額サービスに移ることが多いと注意しています。使っていない請求に気づけるよう、クレジットカードやキャリア決済の明細を毎月確認することも勧めています。

下の3つは、当サイトのランキングとは別に、無料で始めるか返金保証で試すかという観点で選んだVPNです。

• 

  Proton VPN無料で始める

  Freeプランは広告なしで1台まで。有料版には30日間の返金保証がある

  €3.49／月（約620円）

  公式サイトを見るレビュー（英語）
• 

  ExpressVPN返金条件が明確

  初めての利用なら30日間の返金保証。アプリ内課金は対象外なので公式サイトで契約

  €2.49／月（約440円）

  公式サイトを見るレビュー（英語）
• 

  CyberGhost返金期間が長い

  月額より長いプランは45日間の返金保証。サポートは英語など4言語

  €2.19／月（約390円）

  公式サイトを見るレビュー（英語）

各社の詳細はExpressVPNのレビュー（英語）とCyberGhostのレビュー（英語）で確認できます。日本で使うVPN全体の比較は日本向けのおすすめVPNをご覧ください。