偽装VPNサーバーの実態――あなたのプライバシーを静かに蝕む「仮想ロケーション」の罠

個人プライバシーへの攻撃は年々増加しています。政府機関や企業による監視が強まるなか、多くのインターネットユーザーがVPN(仮想プライベートネットワーク)の利用を始めました。VPNはオンラインのプライバシーを大幅に高める手軽な手段であり、地球の反対側にいるかのようにインターネットを閲覧することを可能にします。

VPNサービスは、サーバーロケーションの多さを大きなセールスポイントにしています。複数の国に多数の拠点を持つVPNは、一般的に信頼できる選択肢と見なされます。ロケーションとサーバーの種類が豊富であれば、データを保護するためのアクティブな接続を常に見つけられるからです。

しかし、もしVPNが宣伝しているサーバーが実際には存在しなかったら? 一部のサーバーが、まったく別の場所にあったとしたら? 突然、「プライバシー先進国スイスにある超安全なサーバー」が実際にはイギリスにあったり、パキスタンにあるはずのサーバーがシンガポールにあったりするのです。

後者の例は、これから見ていくVPNスプーフィング(位置情報偽装)の世界における実際の事例です。

そのサーバー、本当にそこにある?

現在数万ともいわれるVPNプロバイダーの中から適切なものを選ぶのは容易ではありません。一般的なアドバイスとしては、無料サービスを避ける、年額契約にする、ログポリシーを確認する、サーバーロケーションの範囲をチェックする、といったことが挙げられます。一方、悪質なサービスは正反対の行動を取る可能性があります。ユーザーのデータを記録し、検索内容を追跡し、顧客を特定し、さらにはそれらを第三者の広告主(あるいは政府)に売却することさえあり得るのです。

こうした問題への対処は決して簡単ではありませんが、大多数のユーザーは慎重なリサーチとユーザーレビューによって乗り切っています。

ところが、RestorePrivacyの編集者Sven Taylor氏による最近のレポートによると、主要なVPNプロバイダーの多くにとって、それは現実とは程遠い状況であることが判明しました。Taylor氏はレポートの中で、これは特定のVPNプロバイダーへの攻撃ではないことを明確にしています。むしろ、虚偽のマーケティングや偽のサーバーロケーションを暴露し、VPNの仮想サーバーロケーションをめぐる混乱を解消することこそが目的だとしています。

バーチャルロケーションとは何か

RestorePrivacyは、綿密に調査された複数の事例を挙げています。まずは非常に人気の高いHidemyassと、その広範なサーバーロケーションから見てみましょう。

Hidemyassは「世界中210以上の国・地域、280以上のロケーションに760以上のVPNサーバー」を保有すると主張しています。これには、北朝鮮の満浦(マンポ)にある2台のサーバー(IPアドレス6つ)も含まれています。これだけ聞いても、かなり疑わしい話に思えます。

さらに詳しく調べると、これらのロケーションの多くは物理的なサーバーではなく「バーチャルロケーション」であることがわかります。北朝鮮の場合は理解できます。世界でも最も入国が困難な国の一つで、どうやってVPNサーバーを確保し、外部向けサーバーを構成するというのでしょうか?

しかし、問題なのはHidemyassだけではありません。

ExpressVPNは世界最高評価のVPNサービスの一つで、数千万人に利用されています。RestorePrivacyは11の偽サーバーロケーションを発見しました。元記事の公開時点でExpressVPNは自社のサーバーはすべて実在すると断言していましたが、記事公開からわずか6日後、同社は仮想サーバーロケーションの情報を更新し、どのサーバーが仮想化されているのかを明らかにしました。

また、PureVPNについても5つの偽サーバーロケーションが発見されていますが、調査チームはさらに多くの偽装が隠れていると疑っています。

どうやって見抜いたのか?

RestorePrivacyの記事以前、Hidemyassはバーチャルロケーションの使用自体は公表していました。ただし、その一部が「偽」であることは明かしていませんでした。Hidemyassのチャットサポート担当者は、一部のバーチャルロケーションが実際に「偽」であることを認めましたが、具体的にどれがそうなのかは明かせないとのこと。理由として「より多くのロケーションを提供したい」「より安定した接続を実現したい」と説明したそうです。

VPNサーバーが「間違った」IPアドレスを返すことに対するよくある弁護は、Geo-IPデータベースの管理不備です。Geo-IPデータベースは更新されていなければ、誤った場所を返すことがあります。Taylor氏はこの可能性も考慮し、3つの異なるネットワークテストツールを使用しました。これらは誰でも試すことができます。

1. CA App Synthetic Monitor ping test(世界90か所からのpingテスト)
2. CA App Synthetic Monitor traceroute(世界各地からのtracerouteテスト)
3. Ping.pe(世界24か所からのpingテスト)

目的は「合理的な疑いを超えて、真の所在地を検証すること」でした。そして「少しでも疑いが残れば、そのサーバーは『偽』とは判定しない」という厳格な方針が貫かれています。元記事には、取り上げられた各VPNサービスに関する詳細な分析が掲載されています。

なぜ偽の仮想サーバーを使うのか?

答えは――もうお分かりですね? ――お金です。

「動機は主に金銭的なものです。第一に、コストを大幅に削減できます。1台のサーバーで多数のサーバーロケーションを偽装すれば、コストは大きく下がります(専用のプレミアムサーバーは非常に高価です)。第二に、さまざまな国に多数のサーバーロケーションがあると宣伝すれば、より多くの人々にアピールでき、VPNサブスクリプションの販売につながります。」

VPN市場は競争が激化しており、何らかの形で優位に立つことが常態化しつつあります。初めてVPNを探す知識の少ない新規ユーザーが多い中、世界中に広がる大規模ネットワークを持つサービスが信頼されがちです。そして一部のVPNプロバイダーは、サーバーの規模を誇示することに喜んで応じています。品質ではなく、規模を。

なぜそれほど問題なのか?

偽の仮想VPNサーバーがあっても、気にならないかもしれません。「身元が匿名化されている限り問題ない」と考えやすいからです。しかし、次のような深刻な懸念があります。

• 偽サーバーは、避けようとしている国に存在している可能性があり、接続しても気づくことができません。
• 偽サーバーは偽物です。会社が主張する場所には存在しません。匿名性を預ける相手となるべき企業が、日常的に嘘をついているのです。
• 地理的制限のあるサービスへのアクセスを試みている場合、接続が失敗する可能性があります。
• VPNパフォーマンスの最適化を図ろうとしても、間違った設定をしてしまうことになります。

さらに、VPNプロバイダーによる偽の仮想サーバーの使用は、「VPNは信用できない」という世間の不信感を助長するばかりです。多くの国でVPNと暗号化技術が規制の対象となり、完全に禁止している国さえある中、ネガティブな報道は業界全体にとって好ましいものではありません。

では、どうすればいいのか?

競争が激化する市場においても、規模よりもサーバーとネットワークの品質を重視する優れた小規模VPNサービスは確かに存在します。RestorePrivacyはPerfect PrivacyやVPN.acへの乗り換えを推奨しています。加えて筆者としては、MullvadとCryptoStormもログを保持しない運用方針で知られる優秀な選択肢だと付け加えておきます。

また、無料VPNは避けましょう。無料VPNは緊急時には確かに便利なツールです。しかし忘れないでください。支払っていないなら、あなた自身が商品なのです。大多数の無料VPNサービスにおいて、それはまさに真実です。

どこから始めればよいかわからない方は、現在提供されている優良VPNサービスの比較まとめを参考にしてみてください。

このニュースを受けて、VPNの利用を見直しますか? それとも小規模なプロバイダーへ乗り換えますか? 虚偽のVPN広告への取り締まりは必要でしょうか? あなたのおすすめVPNサービスは? ぜひコメント欄で議論を始めましょう!