あなたの無料VPNは無料ではない：Android向け無料VPN史上最大規模の独立調査とその発見

2024年6月、独立系テストラボTop10VPNは、Android向け無料VPNアプリとしては過去最大規模となる公開調査を発表しました。対象はGoogle Playで最も人気のあった無料VPNアプリ100本、合計インストール基数はおよそ25億デバイスです。調査結果は非常に深刻で、以後の消費者向けVPN安全性に関するあらゆる議論のリファレンス文書となり、そこで明らかにされたパターンは2026年になってもなおニュースを動かしています。100本中83本にDNSリクエストのリークが見つかりました。これは、VPNが動作しているはずの状況でも、ユーザーが閲覧したウェブサイトがISPやネットワーク管理者から丸見えだったことを意味します。19%のアプリはVirusTotalによってマルウェアと判定されました。84%にサードパーティ製トラッカーSDKが含まれており、これらのアプリはユーザーを守ったのではなく、広告技術業界向けに振る舞いデータを積極的に収集していたことになります。そして93%のアプリは、Playストアの「データ安全」ラベルが実際の動作と一致していませんでした。2026年の無料VPNについて最も重要な事実は、あなたが購入していると思った商品は、ベンダーが実際に販売している商品ではない、という一点に尽きます。

テスト対象と方法

Top10VPNチームは、100本のアプリをそれぞれクリーンなAndroid端末にインストールし、DNSリーク検出、IPv4およびIPv6リーク検出、WebRTCリーク検出、暗号化強度の解析、サードパーティ製SDKの識別、VirusTotalによるマルウェアスキャンを含む自動テスト群を実行し、その結果を各アプリのPlayストア「データ安全」ラベルと照合しました。アプリ単位の全データセットは、レポートからリンクされた公開Googleスプレッドシートとして公開されています。全体数値だけでも衝撃的ですが、実用上の教訓は個別のアプリごとの結果にこそ宿っています。

インストール数の多い違反アプリは、Turbo VPN（3.35億インストール、DNSリーク、広告トラッカーSDK内蔵）、SuperVPN（2.5億、DNSリーク）、Secure VPN（1.66億、DNSリーク）、Psiphon Pro（1.41億、DNSリーク）、そしてKaspersky VPN（1.17億、FacebookおよびHuaweiのSDKを介したバックグラウンド位置追跡）です。1.16億のWiFi Map VPNもDNSリークを起こし、暗号化されていないHTTPレスポンスでPIIをip-api.comへ送信し、テレメトリではUser-Agent文字列を平文で露出させていました。8400万のVPN Proxy MasterはDNSとIPv6の両方をリークし、PIIを機能と無関係なドメインへ送信し、Bytedance、Yandex、そしてインドおよびシンガポールの広告技術SDKをバンドルしていました。

暗号化の崩壊

11本のアプリは、VPNに求められる最も基本的なレベルさえ満たしていませんでした。VPN Satoshiはすべてのトラフィックを平文で送出し、暗号化を一切施していません。すべてのURL、すべてのHTMLページ、すべてのAPIリクエストが、ネットワーク上の誰でも閲覧できる状態でした。さらに数本は、現代の基準ではすでに危険とみなされている旧式のSSLv2またはTLSv1 cipher suiteを使用していました。Thunder VPNは9100万インストールを超えるにもかかわらず、補助的な接続にSSLv2を使用していました。Tomato VPN、Urban VPN、VPN Ukraine、VPN Monster、そして「VPN — fast secure vpn proxy」もすべて同じ旧式cipher suiteを採用していました。プライバシーアプリを自称するPhone Guardianはトラフィックを一切暗号化せず、信頼できないWiFi上のHTTPのみをカバーしていました。

暗号化崩壊がとくに致命的であるのは、それが完全に沈黙して起きるからです。無料VPNをインストールして「接続済み」のインジケータを見たユーザーは、その下層接続が暗号化されているのか、弱く暗号化されているのか、あるいは全く暗号化されていないのかを判断する術を持ちません。異常を示す唯一のシグナルは、ブラウザに表示される証明書警告ですが、まさにその種の警告は、ほとんどのユーザーにはクリックして無視するよう刷り込まれています。

DNSおよびIPリーク

DNSリークは無料VPNにおいて最も頻発する障害モードであり、VPN利用の意義そのものを無に帰します。VPNがDNSをリークすると、通信の残りの部分が暗号化されている間も、ユーザーが訪れるウェブサイトはISPのリゾルバから見えてしまいます。Top10VPNチームは、テストした100本のうち83本にDNSリークを発見し、リークしたリクエストのほとんどはGoogleまたはCloudflareのリゾルバに到達していました。インストール数上位5位のDNSリーク犯はTurbo VPN、SuperVPN、Secure VPN、Psiphon Pro、Kaspersky VPNです。3本のアプリがIPv4とIPv6アドレスを同時にリークしていました：Tomato VPN、Phone Guardian、Ultimate VPNです。実質的な結果として、「ホテルのWiFiでプライバシーを守る」ためにこれらのアプリを導入したユーザーは、アプリを全く導入しなかったユーザーと比べて、得られる保護に何ら変わりがないことになります。

複数のアプリが、暗号化されていないHTTPレスポンスでPIIを送信していました。Turbo VPN Lite、Speedy Quark VPN、VPN Proxy Master、WiFi Map VPNは、いずれもユーザーの実際のIPアドレスとデバイス情報を平文HTTPでip-api.comに送信していました。VPN Proxy Speedは類似のペイロードを、アプリが標榜する機能と無関係なドメインへ送っていました。これが意味するのは、これらのアプリはユーザーを守らないだけでなく、接続のたびにユーザーの実際の身元をサードパーティのデータブローカーへ積極的に差し出している、ということです。

トラッカーSDKとデータ共有

テスト対象アプリの84%にサードパーティ製トラッカーSDKが含まれていました。23本のアプリはユーザーの実際のIPアドレスをサードパーティ製トラッカーへ送信していました：Mouse VPNはIPデータをGoogleへ、ClearVPNはIPデータをOneSignalへ、Super VPNはIPをIronSourceおよびUnity Adsと共有、NotVPNはIPをIronSourceと共有。61本のアプリはユーザーのGoogle Advertising IDをサードパーティと共有しており、たとえばTurbo VPNは広告IDをInMobiへ送っていました。5本のアプリがGoogle広告IDを自社サーバーへ送信しており、これには1200万インストールのSpeedifyと60万インストールのZoog VPNが含まれます。37本のアプリは、機種、モデル、OSバージョン、画面サイズ、バッテリー状態、USB接続、ヘッドセット状態、ISP、SIMの国、语言、ビルド番号を含むデバイス指紋データを共有していました。指紋採取、広告ID共有、実際のIPリークの組み合わせは、玄関を開け放して芝生に看板を立てるのと同じ効果を、監視技術の世界でもたらします。

7本のアプリがロシア系広告技術SDK myTargetをバンドルしており、Planet VPN、Free VPN Super、Lantern VPN、TLS Tunnel、Wolf VPNがこれに該当します。myTargetはMail.ruが運営し、米国による制裁の議論の対象となってきました。消費者向けVPNの内部に制裁対象SDKが存在することは、仮定上のリスクではありません。このアプリの実際の出資者と、そのデータへアクセスできる主体を示す具体的なシグナルです。

マルウェア判定

19本のアプリがVirusTotalによってマルウェアと判定されました。最も多いのはWin32.Troj.Admob.aで、Googleの広告インフラを悪用して不正収益を上げるトロイの木馬です。最も深刻なのはDropper.Shedun.Android.239430で、インストール後に端末へ追加の悪意あるペイロードを投下します。9100万のThunder VPNが判定されました。9300万のVPN – Super Unlimited Proxyが判定されました。MacPawの消費者向けVPNであるClearVPNが判定されました。Bitdefender VPNが判定されました。HTTP Injectorが判定されました。最も安全な解釈は、マルウェアリストに挙がっているアプリはあなたのスマホに置くべきではない、というものです。

Playストア「データ安全」ラベル

100本のうち93本が、Playストアの「データ安全」ラベルを実際の動作と一致させていませんでした。75本がデータ収集について虚偽の説明をしていた。64本がデータ共有について虚偽の説明をしていた。65本のアプリは「データを共有しない」と主張していた一方、そのプライバシーポリシーにはデータ共有が記載されていました。32本のアプリは「データを収集しない」と主張していた一方、そのプライバシーポリシーにはデータ収集が記載されていました。ラベルとプライバシーポリシーが完全に一致していたのはわずか5本でした。8000万のBetternetは顕著な違反例で、ラベルは「デバイス識別子またはその他のID」のみを記載していたのに対し、ポリシーにはアカウント情報、請求情報、利用データ、診断情報、VPN接続データが列挙されていました。Google Playのデータ安全制度は、実際にはVPNアプリに対して機能していません。

代わりに何を使うか

最も簡単な答えは、信用できる消費者向けVPNに対価を支払うことです。弊誌の「Best VPN 2026」記事で推奨している5社——NordVPN、Surfshark、Proton VPN、ExpressVPN、PIA——はいずれも、名前のある監査会社による独立したノーログ監査を公開しており、住宅用プロキシネットワークから帯域を借りるのではなく、商用データセンター内の専用サーバーで運用しており、ユーザーの行動データではなくユーザーの購読料そのものが製品となるよう十分な価格設定を行っています。無料VPNと有料VPNの価格差は月額2〜4ドル程度です。これが、DNSクエリを記録されず、広告IDを売られず、デバイスをボットネットに編入されないためのコストのすべてです。

有料VPNを支払う余裕が本当にない場合、Proton VPNの無料ティアは、まっすぐに顔を上げて推薦できる唯一の無料オプションです。このプロダクトは同じ製品の有料ティアによって資金提供されており、独立した監査が公開されており、他のすべての無料オプションに見られるサードパーティ製トラッカーSDKやデータ共有挙動を含みません。トレードオフとして、Protonの無料ティアは速度、利用可能ロケーション、同時接続数を制限します。これが無料ティアを誠実に構築する唯一の方法です。2026年に確認した他のすべての無料VPNは、コストをプライバシーポリシーの中に隠すか、広告SDKの中に隠しています。どちらも高すぎます。