VPNは銀行のログイン情報を盗み見るのか？暗号化の仕組みを徹底解説

VPNを利用することがセキュリティ上非常に重要であることは、すでにご存じの方も多いでしょう。IPアドレスやインターネット上の活動を隠すことで、覗き見る第三者の目から身を守ることができます。しかし、VPNを使用しているとき、VPNプロバイダー自身が銀行のログイン情報などの機密データを傍受していないと、どうすれば確認できるのでしょうか。

VPNが信頼できるものであるという前提（無料VPNではそれを保証できません）であれば、答えは「暗号化」です。VPNを使用する際、そのセキュリティは、安全なウェブサイトにすでに組み込まれているセキュリティの上に積み重なる形で機能します。

具体例で見てみよう

例として、Bank of Americaのウェブサイトにアクセスした場合を考えてみましょう。URLバーに緑色の鍵アイコンが表示されます。これはHTTPSで接続されていることを示しており、つまりVPNを使わなくても、送信される機密情報は暗号化によって保護されています。送信内容を読み取れるのは、あなたのデバイスとBank of Americaのサーバーだけです。

仮に誰かが通信途中でデータを傍受したとしても、その内容を読むことはできません。あなたがBank of Americaのサイトを訪れたこと自体は知られるかもしれませんが、送信されたデータそのものを読み取ることはできないのです。

VPNを組み合わせるとどうなる？

ここでVPNを加えると、何が変わるのでしょうか。

VPN接続中にBank of Americaへログインするとします。ウェブサイトに送信する機密情報は、VPNサーバーに送られる前にすでに暗号化されており、Bank of Americaのサーバーに到達して初めて復号されます。銀行のログイン情報はVPNサーバーを経由しますが、VPNサーバー側ではその内容を読み取れないのです。

要するに、パスワードそのものがVPN経由で送信されることは決してなく、送られるのは暗号化されたハッシュだけなのです。

暗号化に関する解説でも触れたように、この暗号化を総当たり攻撃（ブルートフォース）で破るには、最新のスーパーコンピューターを使っても100万年以上かかるとされています。したがって、適切に保護されたサイトに接続する限り、悪意のあるVPNプロバイダーがログイン情報を盗もうとしても、手に入るのは役に立たない暗号化された文字列だけです。

唯一の例外：中間者攻撃（MITM）

VPNプロバイダーがログイン情報を盗める方法は、実質的にひとつだけあります。それは、自らを「中間者攻撃（Man-in-the-Middle）」の位置に置くことです。理論上は、VPNソフトウェアのインストール時に、その企業が独自の証明書を信頼できる認証局としてコンピューターに登録できる可能性があります。これにより、ブラウザーが安全ではないサイトを安全だと誤認してしまう恐れがあります。

ただし、評判の良いVPNサービスであれば、このようなリスクはほぼ皆無です。

VPN使用時にセキュリティ面で不安を感じたことはありますか？まだVPNを使っていないなら、その理由は何でしょうか。ぜひコメント欄で意見をお聞かせください！