数か月にわたる世界中の7,000以上ものモバイルVPNアプリの調査の結果、Protonは、米国でダウンロードされたものの85%にトラッカーが含まれており、その約4分の1がユーザーの物理的な位置を積極的に追跡していることを発見しました。

さらに懸念すべきことに、米国のApple App StoreとGoogle Playからダウンロードされた390のVPNのうち64が、権威主義的な政府と法的にデータを共有する義務を負う中国企業によって所有されていることも判明しました。

大半の人が仮想プライベートネットワークを利用するのは、プライバシーを保護するためであることを考えれば、リスクは明らかです。また、一般の人々を守ると約束しながら、GoogleとAppleは、これらの疑わしいVPNが2026年6月だけで1,320万回以上ダウンロードされることを許しました。

調査方法

Google Playストアからの無料（Free-to-pay）ダウンロードを調査しました。月間ダウンロード数は、5月分のAppTweakによる推定値です。トラッカー数については、Androidアプリを解析し、分析、広告、プロファイリングトラッカーのコード署名を検出するオープンソースプラットフォームであるExodus Privacy(新しいウィンドウ)のデータを使用しました。

VPNはどのように機能すべきか

VPNを使えば、プライバシーを期待します。信頼できるVPNは、ウェブサイトがあなたの実際のIPアドレスを見るのを防ぎ、インターネットサービスプロバイダ（そして、ひいては、政府）があなたがオンラインで何をしているかを知るのを防ぎます。

VPNは、1億人ものアメリカ人(新しいウィンドウ)にとって日常生活の一部になっています。YouTubeでほんの数分過ごせば、ほぼ確実にVPNの広告に出会うでしょう。VPNは通常、プライバシー、セキュリティ、検閲の回避に不可欠なツールとして宣伝されています。

最も信頼できるサービスについては、この主張はおおむね妥当です。しかし、それ自体が、アプリストアで目立つ形で表示される無料VPNに誘われた何百万人もの消費者に誤った安心感を与え、多くの怪しいVPNが期待とは正反対のことをしているという事実を覆い隠しています。

VPNの所有者は誰か

VPNに関しては、透明性が不可欠です。

プライバシーを任せる企業を誰が所有しているかを知っておくべきです。分析の結果、米国で利用できる数十のVPNが、侵襲的なデータ監視法がある管轄区域に拠点を置く企業によって所有されていることが分かりました。意外ではないかもしれませんが、多くはこの事実を隠すために相当な努力を払っています。

調査したVPNのうち、64は中国企業が所有しています。中国法では、企業は政府からの要請に応じてユーザーデータを提供することが義務付けられています(新しいウィンドウ)。さらに悪いことに、これらの中国企業所有のVPNのうち31は、シンガポール、中華人民共和国香港特別行政区、英国などに登記されたペーパーカンパニーの背後で実際の所有権を積極的に隠しています。

米国のユーザーは、これらの怪しい中国製アプリを1か月間に300万回 以上ダウンロードしました。

データはどこへ行くのか

大規模な監視を行っていることで知られる国に拠点を置く企業が直接所有していないVPNであっても、ユーザーのプライバシーを危険にさらす可能性があります。

分析の結果、米国で利用できるVPNの85%に、非常に個人的なユーザーデータを収集・共有するために設計されたトラッカーが含まれていることが分かりました。これには、固有のデバイスID（GAID）、デバイスのモデル、ネットワークの種類、携帯通信事業者名などが含まれる可能性があります。

データを送信しているトラッカー6月のダウンロード数
中国150万
ロシア140万
イスラエル260万
3つすべて80万
ファイブアイズ諸国460万

こうした米国企業所有のアプリの多くは、外国企業と商業契約を結び、取引の一環として追跡ソフトウェアを埋め込みました。彼らは通常、多くの場合に既製のホワイトラベル製品として購入されるVPNアプリを、ゲームと同じように広告を通じて収益化できる、単なる人気のアプリカテゴリーと見なしています。

これがモバイルアプリ業界の仕組みにすぎません。そして、アプリストアが売上収益の約30%を取る世界では、アプリ提供者が、前払いの有料サブスクリプションではなく、プライバシーを侵害する広告を通じて製品を収益化しようとするのも驚くことではありません。

しかし、VPNアプリはゲームではありません。何百万人ものアメリカ人が、プライバシーを保護するためにVPNアプリを利用しており、プライバシーをアドテク企業に売るためではありません。こうした企業の多くは、プライバシーに敵対的な政府を持つ国に拠点を置き、多くの場合、米国の利益にも敵対しています。

自分のデータが正確にどのように扱われているかを知るのは難しいものの、気がかりな兆候があります。調査したVPNサービスのうち3つは、実際には市場調査会社が所有しています：‎Phone Guardian Safe Wi-Fi（Sensor Tower(新しいウィンドウ)）、My Mobile Secure VPN（Comscore(新しいウィンドウ)）、Urban VPN（BiScience(新しいウィンドウ)は、複数のサービスにまたがるユーザーの会話を収集し、AIチャットプラットフォームと共有していることが示されています(新しいウィンドウ)）。

一部のVPNは位置を追跡する

多くの人が究極の裏切りと見なし得ることですが、64のVPNアプリがGPSやその他の位置情報データを使ってあなたの物理的な位置を積極的に追跡しています。このデータにアクセスできる人は、あなたが抗議活動に参加しているのか、ジャーナリスト、弁護士、情報提供者と会っているのかを把握でき、最終的にはその情報を法執行機関や情報機関と共有する可能性があります。

これらのアプリには、VPN Proxy Master、VPN-Fast VPN Super、X-VPNなど、米国で最も人気のあるVPNの一部が含まれており、これらは6月に合計300万回以上ダウンロードされました。これは、データセット内の全VPNダウンロードの約20%が、あなたの位置を追跡するアプリによるものであることを意味し、それはおそらく、VPNをインストールして防ごうとしたまさにそのことです。

そして、この追跡データは、信頼するのが難しい政府にしばしば提供されています。

アプリストアは監視から利益を得ている

AppleとGoogleは公にプライバシーに関する認証情報を誇示しています。しかし、オンラインでの行動をすべて追跡し、個人データをアドテク企業に送信する可能性があるこれらのアプリは、警告ラベルなしで両社のアプリストアから自由にダウンロードできます。

アプリストアはVPN開発者に身元情報とプライバシーポリシーの提出を求めていますが、自己申告に大きく依存しており、申告内容を検証することはほとんどありません。AppleとGoogleは書類が存在するかどうかを確認しますが、VPNが実際にプライバシーポリシーで主張しているとおりに動作しているかを独自に監査することはありません。

プライバシーを主張しているにもかかわらず、AppleとGoogleはユーザーの最善の利益よりも利益を優先しています。両社は通常、アプリ内課金とサブスクリプションから生じるすべての収益に対して約30%の手数料を取ります。特にAppleは、ユーザーを守るためにアプリを審査・キュレーションする費用を賄う必要があると主張して、この手数料を正当化しようとしていますが、その手数料の78%を純利益として懐に入れている(新しいウィンドウ)という信頼できる証拠があります。

利益中心のモデルは、Appleが中国政府の権威主義的な命令に協力する姿勢によっても十分に示されています。その結果、世界で最も人気のあるアプリ100件のうち66件が、中国のiOSユーザーが利用できなくなっています。

これらの多くはニュースアプリであり、The New York Times、BBC News、Reutersなどが含まれています。これは、Appleが非常に収益性の高い中国市場へのアクセスと引き換えに、中国政府の検閲体制を喜んで支援していることを示しています。App Storeの説明文で当社のアプリが「検閲されたウェブサイトのブロックを解除する」ために使用できると記載されていたため、AppleはProton VPNの削除を脅してきました(新しいウィンドウ)。

結果はどうなったでしょうか。あなたのウェブ閲覧、アプリ使用、個人情報を含むすべてのトラフィックにアクセスできる権威主義と結びついたVPNが、広告目的であなたのオンライン行動を追跡しています。

では、どうすればよいのでしょうか。

これらの疑わしいアプリを自社プラットフォーム上に存在させることは、消費者と開発者の両方に対する職務怠慢です。これは容認できません。したがって、AppleとGoogleには以下を求めます。

  • VPNアプリに対して、単に自己申告に頼るのではなく、より厳格なフォレンジックセキュリティと所有権のチェックを実施する。
  • これらのチェックに合格しないすべてのアプリを自社アプリストアから削除する。
  • すべてのVPNアプリについて透明性を高め、どのVPNが信頼できるかを人々が情報に基づいて判断できるようにする。これには、企業が実際にどこに拠点を置いているか、データをどう扱っているかに関する情報を提供することが含まれる。

こうした透明性を効果的なものにするには、AppleとGoogleは、その膨大なリソースのごく一部を使ってサービスを調査し、それらが自称する通りのものであることを確認しなければなりません。

安全を保つためにできること

VPNでプライバシーを安全に保護するには：

  • 所有権が透明で、実際のプライバシー法がある国に所在するサービスを利用する。
  • 独立した監査を受けているVPNだけを信頼しましょう。

言い訳の余地はありません

インターネット上のすべての活動がVPNのサーバーを経由するため、どのVPNにも、利用者やその生活、政治的傾向、購入したいもの、趣味や関心事に関する非常に個人的な情報へアクセスする可能性があります。VPNアプリを選ぶ際にプライバシーが第一の関心事でない場合でも、中国やロシアなどとのつながりを持つ、素性が不明で説明責任のない企業には警戒すべきです。こうした国では、政府がすべてのデータに無制限にアクセスできます。

米国で調査したアプリの合計85%が、宣伝されている内容や、VPNサービスに当然期待される内容に反する挙動をしています。これは到底許されるものではありません。

これらのアプリの多くは、このデータ収集がパフォーマンスを最適化するためだけに行われていると主張しているかもしれません。しかし、こうしたデータを収集できるという事実、そしてその多くがロシアや中国などに送信されているという事実は、重大な懸念を抱かせるものです。

ありがたいことに、プライバシーの保護を真摯に考えている信頼できるVPNサービスも存在します。その一つがProton VPNで、オープンソースのアプリ、広告なし、データ制限なし、独立した監査を受け、スイスのプライバシー法に裏付けられた厳格なノーログポリシーを備えた、100%無料のVPNサービスを提供しています。

どうやってそれを実現しているのでしょうか。とてもシンプルです。私たちは、高度でありながら完全に任意の機能を幅広く提供するプレミアムサービスによって、無料プランを透明性をもって賄っています。Protonでは、プライバシーに条件が付くべきではないと考えているからです。

カバー画像提供：Bernard Leonardo