関連ガイド
危ない VPN アプリの見分け方
更新日
端末が送るデータはすべて VPN アプリを通り、アプリはその気になれば何でも見られます。特に疑ってかかるべきなのは 2 種類です。規制当局の後ろ盾があり、「コンプライアンス」の名目で実名登録を求めて記録を上に渡すアプリと、出所のわからない無料アクセラレーターで、あなたのデータや端末、あるいは仕込んだ何かで稼いでいるものです。どちらにも共通するのは、普通に動くことです。問題は見えないところにあります。以下では、自分で確かめられる 10 のサイン、すでに入れてしまったときの対処、3 分でできるセルフチェックを紹介します。
VPN アプリが普通のアプリより危ない理由
VPN はシステムレベルで動き、端末上のすべてのプログラムの通信を受け取ります。知らないうちにバックグラウンドで動いているものも含めてです。普通のアプリが漏らせるのは自分が集めた情報だけですが、VPN はその端末で行うことすべてを漏らせます。選ぶときの基準はずっと高くあるべきです。
「何も起きていない」は安全の証拠になりません。記録、報告、挿入はサーバー側やバックグラウンドで行われ、利用者は何も感じません。影響は数か月後に出ることが多く、どのアプリが原因かもたどれません。
10 のサイン
- 出所が不明：インストーラーがチャットグループ、ファイル共有リンク、QR コードで回ってきて、公式サイトもストアのページもない。まともなクライアントは、アプリストア、開発元のサイト、署名を確認できるリリースページから入手できます。
- ルート証明書のインストールを求める：「この証明書を信頼してください」「このプロファイルをインストールしてください」、CA を信頼させる、など。ルート証明書を入れると、銀行やメールを含むすべての HTTPS 通信を復号できるようになります。普通の VPN でこれが必要になることはありません。
- 権限が多すぎる：連絡先、SMS、通話履歴、正確な位置情報、写真ライブラリを求める VPN。VPN に必要なのはトンネルを作る権限だけです。
- 本人確認：登録に身分証、顔認証、中国の電話番号が必要。これこそが「コンプライアンス対応」の VPN が身元と通信記録を結び付けるやり方です。まともなサービスならメールアドレスで足ります。
- 独自プロトコルでクライアントが非公開：専用アプリでしか使えず、標準プロトコル（AnyConnect、OpenVPN、WireGuard、Hiddify）に一切対応していないので、実際に何を送っているかをオープンソースのクライアントで確かめられません。
- 無料なのに収入源が見えない：有料プランも広告も法人顧客もないのに、何年も運営が続いている。中国本土の出口帯域は従量課金です。お金を取らないサービスは、どこか別のところで回収しています。
- 会社もサポートも実績もない：運営主体が見つからない、連絡先がない、ドメインの登録から 1 年未満、名前を頻繁に変える。
- バックグラウンドの通信がおかしい：使っていないのにアップロードが続き、バッテリーと通信量の減りが速い。あなたの端末を他人の出口として使っているか、データを同期しているのかもしれません。
- 宣伝で「公式」「登録済み」「合法・コンプライアンス対応」を強調し、ほかはすべて違法だとほのめかす。規制当局の後ろ盾があるアプリの典型的な売り文句で、そのコンプライアンスの中身は記録と報告です。
- ストアの評価が一様に絶賛ばかりで、レビューの文面が似通っていて、ダウンロード数とレビュー数がつり合わない：買ったものです。
確かめ方
- プロトコルを確認：使っているプロトコルと、サードパーティ製クライアントが使えるかがサイトに書いてあるか。OpenVPN、AnyConnect、Hiddify、Tailscale で接続できるサービスなら、送っている中身をパケットキャプチャで調べられます。
- 権限を確認：インストール後にシステムの設定を開き、VPN の権限以外をすべて取り消して、それでも動くか試します。動かなければアンインストールしてください。
- 証明書を確認：iOS は「設定」→「一般」→「VPN とデバイス管理」、Android は「設定」→「セキュリティ」→「暗号化と認証情報」→「信頼できる認証情報」→「ユーザー」、Windows は証明書マネージャーの「信頼されたルート証明機関」。そのアプリが入れたものがあれば削除し、アプリもアンインストールします。
- 漏れを確認：接続中に DNS リークテストと IPv6 テストのページを開き、名前解決とアドレスがそのサービスのサーバーを通っていることを確かめます。さらに HTTPS のサイトを開き、証明書の発行者がそのサイト本来の認証局になっているか確認します。
- 運営者を確認：サイトに会社名やチーム名、運営期間、サポートの窓口が書かれているか。返金ポリシーはあるか。プライバシーポリシーに何を記録するかが具体的に書かれているか。
すでに入れてしまったら
- アンインストールしてから、上で挙げた場所を確認し、そのアプリが入れた証明書やプロファイルを削除します。
- パスワードを変更します。銀行、メール、普段使うアカウント、特にそのアプリを使っている間にログインしたものは必ず。
- 2 段階認証を設定しているアカウントでは、ログイン履歴を確認し、見覚えのない端末を削除します。
- ルーターに入れていた場合は、工場出荷時の状態に戻し、公式または検証できるファームウェアを書き込み直します。
当社が自らを検証可能にしている方法
LeoTun のクライアントはすべて Cisco、OpenVPN、Hiddify、Tailscale といった公式の開発元や有名なオープンソース団体のもので、手を加えずにミラーしています。当社のダウンロードはいつでも公式版やオープンソース版に置き換えられます。プロトコルはすべて標準のもので、パケットキャプチャで中身を調べられます。
登録に必要なのはメールアドレスだけで、電話番号も身分証もいりません。何を記録しているかは運営についてのページに書いてあります。メールアドレス、プラン、有効期限、そして請求のための接続ごとの時間と通信量です。通信の中身は記録せず、広告の挿入もデータの販売もしません。
証明書も、連絡先も、位置情報も求めません。もし当社を名乗るクライアントがルート証明書のインストールを求めてきたら、それは当社のものではありません。
よくある質問
無料のものはすべて危ないのですか？
OpenVPN、Hiddify、Tailscale のようなオープンソースのクライアントは無料で信頼できます。リスクがあるのは無料のソフトではなく無料のサービスです。そのサービスが何で成り立っているかを考えましょう。
アプリストアにあるアプリなら安全ですか？
ストアに並んでいるのは、ストアの自動審査を通ったというだけで、サーバー側の記録については何もわかりません。権限、本人確認の要否、プロトコル、運営者は、10 のサインに沿って自分で確認してください。ストアは代わりにやってくれません。
VPN が通信の中身を記録しているかどうか、どうすればわかりますか？
クライアント側からはわかりません。判断できるのは、どこまで検証を許しているかだけです。標準プロトコル、オープンソースのクライアント、具体的なプライバシーポリシー、特定できる運営者。この 4 つのどれもなければ、記録していると考えてください。
ルーターのファームウェアにも同じリスクがありますか？
あります。出所のわからないファームウェアは家のネットワーク全体を乗っ取れます。公式の OpenWrt か、ソースを検証できるファームウェアだけを書き込んでください。当社のものは OpenWrt からビルドし、ルートの部品と振り分けルールだけを加えたものです。