米国で人気VPNアプリ、数百万人を「盗み見」しているおそれ──Protonが警告

VPNアプリが利用者を追跡することは「究極の裏切り」だ。VPNアプリなどを手がけるProton（プロトン）が自社ブログ上で警告した。

■プライバシーを守るはずのVPNアプリ、米国では85％に追跡機能

Protonによれば、「世界で7000本を超えるモバイルVPNアプリ」を調査した結果、米国でダウンロードされたVPNアプリの「85％にトラッカーが含まれており、そのうち4分の1程度は利用者の物理的な位置を実際に追跡している」。

「米国で最も人気のあるVPNアプリ」の一部でさえ、ひそかに「数百万人を盗み見」しているおそれがあり、それは「まさに、VPNによって防ごうとしたはずのこと」だという。VPNは本来、通信を暗号化して経路を隠し、閲覧内容や所在地を第三者から見えなくする仕組みだ。影響はiPhone利用者にもAndroid利用者にも及ぶ。しかも、いずれもApp StoreやGoogle Play ストアから直接インストールされたアプリである。

Proton自身がVPNアプリの開発元である以上、こうしたリスクを声高に指摘することには利害が絡む。とはいえ、警鐘を鳴らしているのはProtonだけではない。同種の警告はここ数年、何度も出されてきた。そしてVPNアプリの人気が高まり続けるのに合わせて、脅威もまた膨らんでいる。話は単純である。VPNアプリのはずが、位置情報やデータを抜き取るトラッカー（利用者の行動をひそかに記録して外部に送るコード）を抱え込んでいるのなら、そんなアプリなど使わないほうがましだ。ところが、そこには「警告ラベル」がなく、見分けるのは容易ではない。

理由が何であれVPNアプリ（およびサービス）を使いたいのなら、有料のものを選ぶのがよい。Protonもそうした信頼できる提供元の1つだが、ほかにもNordVPN、Surfshark（サーフシャーク）、ExpressVPN（エクスプレスVPN）などがある。無料アプリや中国とつながりのあるアプリは、リスクが大きすぎる。

■中国企業が所有するVPNアプリ64本、当局にデータが渡る恐れ

Protonはこうも述べている。「米国でApple App StoreとGoogle Playからダウンロードされている390本のVPNのうち、64本は中国企業が保有している」。中国の法律は、企業に対して情報機関への協力を強制できる。そのため、VPN利用者のデータが誰の手に渡りうるのかという懸念は、いっそう大きくなる。こうした「疑わしいVPNアプリ」は、6月の1カ月だけで1320万回以上ダウンロードされた。

Protonは第三者のアプリ解析プラットフォームを使い、「分析用・広告用・プロファイリング用のトラッカー」を示すコードの特徴（シグネチャ）をアプリの中から検出した。その解析によって、「米国で入手できるVPNの85％に、極めて個人的な利用者データを収集して外部と共有するためのトラッカーが含まれていることが分かった。集められうるのは、端末固有の広告ID（GAID）、端末の機種、ネットワークの種類、携帯通信会社の名称などである」。

つまり、膨大な数のVPNが役に立つどころか害をもたらしており、避けるべきだということだ。そのVPNが中国を拠点としている場合、あなたのデータは収集や悪用にさらされる可能性がある。

■現在地を追うVPNアプリは64本、デモに行けば筒抜けに

Protonが調べたアプリのうち64本は、「GPSなどの位置情報を使って、あなたの物理的な居場所を実際に追跡している。このデータにアクセスできる者は、あなたが抗議活動の場にいるかどうか、記者や弁護士、情報提供者と会っているかどうかを把握でき、最終的にはその情報を法執行機関や情報機関に渡すこともできる。こうしたアプリには、米国で最も人気のあるVPNのいくつかが含まれている」。これらアプリは、例えばVPN Proxy Master、VPN-Fast VPN Super、X-VPNなどだ。

■スマホでVPNアプリを使うなら、この5点は守るべき

スマートフォンにVPNアプリを入れて使いたいという人に向けて、筆者からの助言を挙げておく。

（1）VPNは、Google Play ストアかApp Storeからのみインストールする。ほかのルートから入手しない

（2）有料のVPNアプリ（およびサービス）だけを使う。料金が明示された妥当な金額のサブスクリプションを選び、内容の分かりにくいアプリ内課金を伴うものは決して使わない

（3）開発元がよく知られていて、主要なウェブサイトで簡単に調べて確かめられるVPNだけを使う。中国を拠点とする開発元のものは決して使わない

（4）Androidを使っているなら、Google Play プロテクトを必ず有効にしておく。危険だと判定されたVPNを入れるために、同機能を無効にしたり一時停止したりしてはならない

（5）スマートフォンのプライバシー設定と権限設定を点検し、インストール済みのVPNアプリには特に注意を払う。VPNアプリは、スマホの通信すべてを自社（アプリメーカー）の経路に通していることを忘れてはならない