VPN は安全に使える？ 誰に何が見えるのか

• 手元のネットワークとプロバイダー（自宅の光回線、会社や学校の Wi‑Fi、カフェのフリー Wi‑Fi など）：端末がサーバーに接続していること、その時刻、通信量は見えます。アクセス先のドメインや中身は見えません。
• VPN 事業者：接続元の IP アドレス、アクセス先のドメインやアドレス、時刻、通信量が見えます。HTTPS サイトの中身（ページ、パスワード、チャット、決済情報）は見えません。
• アクセス先のサイト：自宅の IP ではなく出口の IP が見えます。ただしログインすればサイトはあなたが誰か分かりますし、ブラウザの Cookie でも引き続き識別されます。
• 端末上のソフトウェア：アプリやキーボード、ブラウザ拡張機能に何が見えるかは VPN とは無関係で、オンでもオフでも同じです。

今ではほぼすべてのサイトやアプリが HTTPS を使っています。これは端末とサイトのあいだにかかるもう1層の暗号化で、鍵は両端だけが持っています。VPN サーバーはその暗号化データを中継するだけで、開けることはできません。ネットバンキングのパスワード、メールの本文、チャットのメッセージは、VPN 事業者から見てもプロバイダーから見ても同じ、ただの暗号文です。

見えたままなのは、いわば封筒の表書きです。どのドメインに、いつ、どれだけの量か。VPN なしなら手元のネットワークとプロバイダーに、VPN ありなら事業者にそれが見えます。VPN はこの「見える立場」をある相手から別の相手へ移すものなので、事業者選びが何より重要になります。

中身が見えてしまうケースは2つあります。1つはいまだに暗号化されていない HTTP のサイトで、アドレスバーに「保護されていない通信」と表示されます。もう1つは、他人が端末にルート証明書をインストールしている場合で、これがあると HTTPS を復号できてしまいます。警戒すべきは後者で、どこを確認すればよいかは下のセルフチェックで説明します。

ほとんどはこの3つの問いで判断がつきます。それぞれの確かめ方や、怪しいアプリをすでに入れてしまった場合の対処は、自分で確認できる10のサインをまとめた「危ない VPN アプリの見分け方」をご覧ください。

• 誰が運営しているか：運営主体が分かるか、どのくらい続いているか、連絡のつくサポートがあるか、プライバシーポリシーに何を保存するかが具体的に書かれているか。あなたがどこへアクセスしているかが見えるのは事業者なので、信頼できるかどうかが最優先です。
• どのアプリを入れたか：アプリストアや開発元の公式サイトから入手した標準的なクライアント（Cisco、OpenVPN、Hiddify、Tailscale など）なら検証できます。グループチャットやファイル共有で回ってきたインストーラーや、独自アプリでしか使えないサービスは検証できません。
• どんな権限を求められたか：VPN に必要な権限は、トンネルを作る1つだけです。連絡先、SMS、写真、位置情報、あるいは証明書のインストールと信頼を求めてくるのは、VPN の用途を明らかに超えています。

iPhone の VPN アプリはシステムのサンドボックス内で動きます。与えられるのは VPN トンネルを作る機能だけで、初回接続時の「VPN 構成の追加」の確認は通常の手順です。別途許可しない限り、ほかのアプリのデータや写真、メッセージを読むことはできません。

iPhone で注意すべきは3つです。プロファイルのインストールと証明書の信頼を求めてくるもの、企業署名やデバイス管理を使って App Store 以外から入れたアプリ、そして会社や学校が支給・管理している端末です。最後のケースでは、管理者にはどんな VPN よりも多くのことが見えます。「設定」→「一般」→「VPN とデバイス管理」を開き、そこにあるすべての項目に心当たりがあるか確認してください。

監視されるかという点では、通信事業者に分かるのは暗号化された接続を使っていることと接続先のサーバーだけで、その中のサイトや中身は分かりません。VPN 事業者にはドメインと時刻が見えます。どちらにも HTTPS の中身は見えません。

iPhone では、LeoTun は App Store の公式クライアントを使います。Cisco 方式なら Cisco 純正アプリ、Hiddify 方式なら Hiddify です。証明書のインストールを求めることは一切ありません。ストアに表示されない場合は「iOS でアプリをインストールできないときの対処法」をご覧ください。

「無料」には2種類あります。無料のソフトウェア、つまり OpenVPN、Hiddify、Tailscale のようなオープンソースのクライアントは、お金がかからず検証もできます。無料のサービスは話が別です。サーバーや回線にはお金がかかり、利用者に課金しないサービスはどこか別のところでコストを回収しています。よくあるのは広告、利用データの収集と販売、そしてあなたの端末を他人の出口として使うことです。

ですから無料 VPN は、何で運営費をまかなっているかで判断し、そのうえで上の3つの問いに当てはめてください。ログインや支払い、仕事が絡む用途には、運営者が特定できるサービスを使いましょう。詳しい比較は「中国向け VPN は無料と有料どちらがいい？」にあります。

1. 入手元：アプリはアプリストアか開発元のサイトから入れましたか？ インストーラーがグループチャットやファイル共有、QR コード経由だった場合は、同じクライアントを公式の入手先から入れ直してください。
2. 権限：システムの設定でアプリに与えている権限を確認し、VPN そのもの以外はすべてオフにします。それでも問題なく動くはずです。
3. 証明書とプロファイル：iOS は「設定」→「一般」→「VPN とデバイス管理」、Android は「設定」→「セキュリティ」→「暗号化と認証情報」→「信頼できる認証情報」→「ユーザー」。心当たりのない項目は削除し、それを入れたソフトウェアもアンインストールします。
4. 出口：接続したら IP アドレスを表示するページを開き、選んだ地域になっているか確認します。続けて「DNS リークと DNS 汚染の違い」の手順で DNS もチェックしましょう。
5. HTTPS：銀行やメールのサイトを開き、鍵アイコンをクリックします。証明書の発行者が一般的な認証局であれば正常です。ブラウザが証明書について警告を出したら、そこで中止してください。
6. バックグラウンドの動き：何もしていないのにアプリが大量にアップロードしていたり、電池の減りが目に見えて早くなったりしたら、使用をやめて別のものを選びましょう。

VPN が守るのは通信経路です。同じ Wi‑Fi にいる人、手元のネットワーク、プロバイダーから、アクセス先を見られないようにします。端末の中やアカウントの安全は、システムのアップデート、正規の入手元のソフトウェア、日ごろの注意によって保たれます。以下は VPN の有無にかかわらず、ご自身で気を付けるべきことです。

• フィッシング：偽のログインページ、偽のサポート担当者、偽の当選リンク。自分でパスワードを入力すれば、暗号化トンネルはそれを忠実に届けてしまいます。入力する前にドメインを確認しましょう。
• マルウェア：端末に潜むトロイの木馬、バックドア入りのクラック版ソフト、出どころの分からないブラウザ拡張機能は、データが VPN に入る前に盗み取ります。
• ログイン中のアカウント：WeChat、Google、Taobao などにログインすれば、出口の IP が何であれ、サービス側にはあなただと分かります。VPN が変えるのはアドレスであって、身元ではありません。
• 弱いパスワードや使い回し：1つのサイトから漏れると、同じ鍵でほかのサイトも開いてしまいます。大事なアカウントには個別のパスワードを設定し、2段階認証をオンにしましょう。
• 自分から渡す情報：公開した投稿、入力したフォーム、アプリに許可した位置情報や連絡先へのアクセス。

• クライアントは Cisco、OpenVPN、Hiddify、Tailscale の公式ビルドやオープンソース版を、手を加えずにミラーしたものです。ここでダウンロードしたものは、いつでも公式の入手先のものに置き換えられます。
• プロトコルはすべて標準的なものなので、ご自身で通信をキャプチャして中身を確認できます。
• 登録に必要なのはメールアドレスだけです。電話番号も本人確認もいりません。
• 保存するのは請求に必要な情報だけです。アクセス先の記録、通信の検査、広告の挿入、データの販売は行いません。
• 証明書のインストールは不要で、連絡先や位置情報へのアクセスも求めません。