サイバーセキュリティ・東側諸国ニュース 2026/10/04

「無料VPN」を押した瞬間、見られていたのは自分の通信だった

カフェやホテルの無料Wi-Fiを使うとき、「VPNがあれば安全」と聞いて、ブラウザーの拡張機能から無料のVPNを入れたことはありませんか？

「接続」ボタンを押すと「保護されています」と表示され、ひと安心。ところが、その"安心"こそが罠だったという事例が、ロシア語圏で報告されました。

何が見つかったのか

セキュリティ研究者が、Google ChromeのVPN拡張機能737個で、実は同じ"元締め"につながっていることを突き止めました。名前も見た目もバラバラで、まったく別々の開発者が作った無料VPNのように見えます。ところが裏では、少なくとも40の開発者アカウントを使い分けながら、同じ仕組みを使い回していました。インストール数は合わせて約7万5千回。しかも、そのうち274個は、NordVPNやProton VPNなど、66の有名なVPNサービスの名前や見た目をまねていました。

狙われたのは、主にロシア語を話す利用者です。一部のサービスが見られない国や地域では、VPNへの需要が高く、そこに付け込まれたと考えられます。

何が問題なのか

VPNは本来、通信を暗号化して、あなたと「見られたくない相手」との間に壁を作るためのものです。しかし、VPNを提供する側には、あなたの通信がすべて集まります。偽のVPNでは、その"集まる場所"が悪意ある運営者の手元にありました。

報告によると、パスワードや、暗号化された(HTTPSの)ページの中身までは盗めませんでした。それでも、運営者は、元のIPアドレス、見たサイトの履歴、通信の経路といった情報をすべて集められました。どんなサイトを見ているかだけでも、その人の生活はかなり見えてしまいます。「VPNを使えば匿名になれる」という思い込みを、完全に裏切る仕組みです。

見つかったきっかけは、運営側の"うっかり"でした。多くの拡張機能で、同じ管理用のサーバー名、同じアクセス解析、同じ作業フォルダ名が使われていたのです。

自分を守るために

・「無料」の理由を考える。このような拡張機能を開発・運営するにはお金がかかります。無料のサービスは、何かで元を取っています。

・公式サイトから入手する。ストアで検索して出てきたものではなく、VPN会社の公式サイトを確認し、そこに載っているリンクから入りましょう。名前が似た偽物は多くあります。

・ダウンロード数や星の数だけで信用しない。目安にはなりますが、偽の拡張機能も数万回インストールされていました。

・使っていない拡張機能は削除する。拡張機能は、ブラウザの通信に深く関わることができます。

・VPNは万能ではないと知る。信頼できる事業者でも、通信が集まる先が変わるだけです。大切な作業は、できるだけ自宅や職場の信頼できるネットワークで行いましょう。

便利な道具ほど、使う前にひと呼吸置いて確認する習慣が大切になります。

出典：サイバーセキュリティ情報チャンネル（hack_less、SecLabNews）の報道内容

---