無料VPNで個人情報が漏洩・売られる？データ収集の実態と安全なVPN選び

「VPNを使えば個人情報が守られる」と信じて無料VPNをインストールした人に、まず確認してほしいことがある。そのVPN、プライバシーポリシーを読んだことがあるか？

実は、無料VPNの中には「個人情報を第三者に提供することがあります」という文言が、プライバシーポリシーのどこかにひっそりと記載されているケースが少なくない。あなたのIPアドレス、閲覧したサイト、接続時間帯、デバイス情報。これらのデータが無断で第三者のデータブローカーや広告会社に流れていても、ユーザー側には全く気づく手段がないのだ。ある意味、個人情報が「売られる」状態を自ら招いてしまっているとも言える。

VPN個人情報の漏洩事件は「過去の話」ではない。2021年に発覚したSuperVPN事件では、2100万人ものユーザーの個人情報が闇サイト上に流出した。パスワード、IPアドレス、支払い情報まで含まれていた。この記事では、無料VPNがどのように個人情報を収集・販売しているか、具体的な事件とともに徹底解説する。そして、個人情報を本当に守るために今すぐできることを提示する。

現在、無料VPNを使っているなら、この記事を最後まで読んでから使い続けるかどうか判断してほしい。使い続けているうちに、あなたの情報が知らない誰かの手に渡っている可能性がある。無料VPNのリスクを理解した上で、最終的にどのVPNを選ぶかは自分で決めてほしいが、編集部の結論は明確だ。

この記事を読むと、以下のことが分かる。まず、無料VPNがどういうビジネスモデルで運営されているか。次に、実際に起きた大規模な漏洩事件の詳細。そして、本当に信頼できるVPNを見極める5つのチェックポイント。最後に、プライバシー保護でおすすめできる有料VPNの具体的な選び方だ。

すでに無料VPNを使っている人は、まず今使っているVPNのプライバシーポリシーを確認してほしい。この記事で紹介する「危険なVPNの見分け方」と照らし合わせれば、使い続けるべきかどうか判断できるはずだ。なお、無料VPNの危険性を網羅的に解説した記事と合わせて読むと理解がより深まる。

なお、この記事では実際に公開された調査データや報道された事件をもとに解説している。セキュリティコミュニティで広く認知された事例のみを取り上げているため、記載している事実関係は一次ソースで裏付けられた情報だ。VPNサービスの選択という重要な決断を、正確な情報に基づいて下してほしい。

VPNサービスを運営するには、世界中にサーバーを設置・維持し、セキュリティエンジニアを雇い、通信インフラを整備する必要がある。NordVPNのような大手有料VPNは、毎月のサブスクリプション収入でこれらのコストを賄っている。では、無料VPNはどうやって運営コストをまかなっているのか。答えは単純だ。「ユーザーの個人情報が商品」になっているケースが多い。

例えば、世界規模のVPNサーバーを数百台維持するだけで、月間数百万円〜数千万円のコストがかかる。従業員のコストも加えれば、規模の大きなVPNサービスは年間数十億円規模の運営コストが必要だ。これを「完全無料」で提供しようとすれば、どこかで収益を得なければならない。「無料サービスを使うとき、商品はあなた自身だ（If you're not paying for the product, you are the product）」というシリコンバレーの格言はVPNの世界でも的確に当てはまる。

無料VPNの収益モデルには主に3つのパターンがある。ユーザーデータの第三者販売、広告トラッキングによる広告収入、そしてマルウェアを使った直接的な情報窃取だ。以下のステップで「無料VPNに何が起きているか」を整理してほしい。

無料VPNによるデータ収集の最も問題な点は、ユーザーが「守られている」と錯覚したまま、かえって危険な状態に置かれることだ。通常のブラウジングでは、ISP（インターネットプロバイダ）と訪問先サイトだけがデータを見ることができる。しかし悪質な無料VPNを使うと、そこに第三の眼が加わる。VPN事業者がすべての通信を把握できる立場になるからだ。

具体的にどんなデータが収集されるか。まず接続ログとして、接続日時・接続元IPアドレス・接続先IPアドレスが記録される。次にアクティビティログとして、訪問したウェブサイトのURL・ダウンロードしたファイル・検索クエリが記録される可能性がある。さらにデバイス情報として、スマホやPCの機種・OS情報・一意のデバイスIDも取得される。

これらのデータが第三者に渡ると何が起きるか。広告主はあなたの行動パターンを把握して的確な広告を配信できる。悪意のある業者の手に渡れば、詐欺の標的リストとして活用される可能性がある。さらに深刻なのは、匿名化されたデータでも複数の情報を組み合わせると個人が特定できてしまう「再識別攻撃」のリスクがあることだ。

問題はプライバシーポリシーの「読みにくさ」にもある。多くの無料VPNのプライバシーポリシーは英語で書かれており、法律用語が多用されている。一般ユーザーが全文を読んで理解するのは現実的に難しい。この「読まれない」ことを前提にした設計が、データ収集ビジネスを成立させている一因だ。

データ販売の次に多い収益モデルが、VPNアプリへの広告表示と広告トラッキングだ。無料VPNアプリの多くは広告を表示するが、問題は広告そのものではなく、広告配信のために組み込まれるサードパーティのトラッキングライブラリにある。

オーストラリア国立情報通信研究機構（CSIRO）が283本のAndroid無料VPNアプリを調査したところ、75%以上が1つ以上のサードパーティトラッキングライブラリを内包していることが判明した。これらのライブラリは、VPNを経由するすべての通信を分析し、広告主に行動データを送信する仕組みになっている。

皮肉なことに、VPNは「プライバシーを守るツール」として宣伝されながら、実際には広告会社によるトラッキングを助長している場合がある。たとえば旅行サイトを閲覧した直後、全く別のアプリで旅行関連広告が表示されるのは、このメカニズムによる可能性がある。

さらに問題なのは、これらのトラッキングライブラリがVPN通信の外側でも機能することだ。VPN接続をオフにしても、アプリをインストールしてある限りバックグラウンドで動作し続けるライブラリが含まれているケースが報告されている。「VPNを使っていないときは安全」という認識も、こうした設計の前では成立しない。

広告モデルを採用している無料VPNの中でも、Hola VPNのように広告どころかユーザーの帯域幅を無断で第三者に売っていたケースもある（詳細は後述）。「広告を見せているだけ」と思っていても、実際には通信インフラそのものを収益化されているケースがある点は特に注意が必要だ。

最も深刻なリスクが、無料VPNアプリへのマルウェア混入だ。前述のCSIROの研究では、調査した283本のAndroid無料VPNアプリのうち、38%にマルウェアが含まれていた。これは3本に1本以上の割合だ。

マルウェアが混入した無料VPNアプリがデバイスにインストールされると何が起きるか。

• 端末内の連絡先・写真・文書ファイルが盗まれる
• 銀行アプリやショッピングサイトのログイン情報が窃取される
• SMSの内容が監視され、二段階認証のコードが傍受される
• デバイスがボットネットの一部として不正利用される
• キーロガーによってパスワードが記録される
• 端末カメラ・マイクが無断で起動される

マルウェア感染は「アンチウイルスソフトで検知できる」と思っている人も多い。しかしVPNアプリ自体がマルウェアを含んでいる場合、アプリのインストール時にユーザーが「許可」してしまうため、アンチウイルスが警告を出しにくい構造になっている。

さらに巧妙なのは、正規のVPN機能も動作する点だ。インストール後、実際に通信の暗号化が行われるため「ちゃんと動いている」と感じてしまう。しかしその裏でマルウェアが別のプロセスとして動作し、デバイスからデータを抜き出している。この「二重動作」の設計が、ユーザーによる発見を著しく困難にしている。定期的なセキュリティスキャンと、アプリ権限の見直しを習慣にすることが自衛策として有効だ。

「理論的なリスクの話」と思っている人のために、実際に起きた事件を3つ取り上げる。いずれも数百万〜2100万人規模で個人情報が流出・悪用された事件だ。これらは「過去の話」ではなく、現在も同様のリスクが継続して存在する。

重要なのは、これらのサービスがすべて「プライバシーを守る」「ノーログポリシー対応」を謳って宣伝していた点だ。宣伝文句と実態の乖離がいかに大きいかを、具体的な数字とともに確認してほしい。

3件の事件に共通する特徴がある。いずれも「無料で使える」「プライバシーを守る」と宣伝されていたVPNサービスだということだ。ユーザーは「守られている」と思いながら、実際には深刻なリスクにさらされていた。

2021年5月、ハッキングフォーラム「RaidForums」に衝撃的な投稿があった。SuperVPN、GeckoVPN、ChatVPNという3つの無料VPNから盗まれたとされるデータベースが公開されたのだ。含まれていたデータの総数はおよそ2100万件にのぼった。

流出したデータの内容は深刻だった。ユーザーのメールアドレス、パスワード（一部は平文）、デバイスの固有ID、課金情報（使用した支払い方法の詳細）、接続元のIPアドレス、使用したVPNサーバーの情報が含まれていた。このデータはダークウェブ上で売買され、スパム送信、フィッシング詐欺、アカウントへの不正アクセスに利用されうる状態となった。

特に問題だったのは、これらのVPNが「ノーログポリシー（ユーザーデータを記録しない）」を謳っていたにもかかわらず、実際には大量のユーザーデータを保存していたことだ。ノーログポリシーは「書いてあるだけ」では意味をなさない。第三者機関による監査で実証されていなければ、単なる宣伝文句に過ぎないことをこの事件は証明した。

SuperVPN事件は、無料VPNを使う際のリスクを象徴する事件として、セキュリティコミュニティで今も引用され続けている。同様の構造を持つ無料VPNは現在も多数存在するため、過去の事件として片付けることはできない。信頼できる有料VPNへの移行を真剣に検討するきっかけとして、ぜひこの事件を受け止めてほしい。

Hola VPNは、ピアツーピア（P2P）型の無料VPNとして人気を博したサービスだ。「広告もなく、完全無料で使える」という触れ込みで、2015年時点で4700万ダウンロード以上を記録していた。しかし2015年に、その「無料」の裏側にあるビジネスモデルが暴露された。

Hola VPNは、ユーザーのデバイスをルーターとして機能させ、他のHolaユーザーの通信を自分のデバイス・通信回線を通じてリレーする仕組みになっていた。問題はHolaがこのインフラを「Luminati」という名の商業サービスとして企業に販売していたことだ。

つまり、ユーザーが知らない間に自分のデバイスと通信帯域が、別の誰かのトラフィックを通すための「中継地点」として貸し出されていた。報告によると、このインフラがスパム送信やDDoS攻撃に悪用されていた事例もある。ユーザーは加害者側の踏み台になっていたわけだ。

2020年7月、セキュリティ研究者グループが衝撃的な発見をした。「ノーログポリシー（通信履歴を一切記録しない）」を明確に謳っていた無料VPN7社が、実際には1.2テラバイト以上のユーザーデータを記録・保存しており、しかもそのサーバーが完全に無防備な状態で公開されていたのだ。

問題の7社はいずれも香港を拠点とする企業が運営していた。UFO VPN、FastVPN、Free VPN、Super VPN（SuperVPNとは別物）、Flash VPN、Secure VPN、Rabbit VPNだ。これらは外見上は異なるブランドだったが、調査の結果、同一の開発元が運営する「姉妹サービス群」であることが判明した。

流出したデータには以下の情報が含まれていた。接続ログ（いつ・どのIPから・どのVPNサーバーに接続したか）、使用デバイスの情報、アプリの利用記録、一部サービスでは平文のパスワード、そして支払い情報の一部だった。

この事件が特に悪質な理由は二つある。一つは「ノーログ」という明確な嘘をついていたこと。もう一つは、収集したデータを適切なセキュリティ対策なしに放置していたことで、悪意のある第三者もアクセスできる状態になっていたことだ。データを集めることの問題に加え、集めたデータを守る能力すら持っていなかった。セキュリティへの投資意識の低さが、被害を二重に深刻にした典型例だ。

「どんな情報が漏れるのか」を具体的に理解することが、リスク認識の第一歩だ。無料VPNから漏洩・収集される個人情報は大きく5つのカテゴリに分類できる。それぞれが単独でも問題だが、組み合わさることでリスクが指数関数的に高まる点を頭に入れておいてほしい。

無料VPN事業者が個人情報を収集する目的は大きく二つに分類される。一つは直接収益化——データブローカーや広告会社に情報を売ることで金銭を得るパターン。もう一つは間接収益化——収集した情報を使ってターゲティング広告の精度を上げ、広告収入を最大化するパターンだ。どちらの場合も、ユーザーの個人情報は「商品」として扱われている。

特に深刻なのは、VPNという「プライバシーを守るツール」が実際には逆の役割を果たすケースが存在するという事実だ。一般的な広告トラッキングであれば、ブラウザのプライベートモードやアドブロッカーで一定程度防御できる。しかしVPNアプリ自体がデータを収集している場合、その防御手段が機能しない。デバイス上のすべての通信がVPNを通過するため、アプリが収集したデータはほぼ完全なオンライン行動履歴となる。

以下の表で、どのような種類の個人情報が対象になりうるかを整理した。自分にとって特に重要なカテゴリがどれか、意識しながら確認してほしい。

特に危険なのは「通信ログ」と「識別情報」の組み合わせだ。どのIPから、いつ、どのサイトにアクセスしたかが分かると、行動パターンから個人を高精度で特定できる。仮に氏名が含まれていなくても、「毎朝7時〜9時に特定のIPから接続してくるユーザー」という情報だけで、特定の個人を絞り込むことが可能になる場合がある。これを「再識別攻撃」と呼ぶ。

漏洩した個人情報が実際にどのような被害につながるか、パターン別に解説する。

フィッシング詐欺・標的型攻撃：メールアドレスと行動ログが組み合わさると、精巧なフィッシングメールが作成できる。「あなたが最近アクセスした〇〇サービスのアカウントに異常が検知されました」という、いかにも本物らしいメールが届く。漏洩元のデータが使われているため、ユーザーは詐欺と気づきにくい。

クレデンシャルスタッフィング攻撃：漏洩したメールアドレスとパスワードの組み合わせを、他のサービス（銀行、EC、SNS）に試みるサイバー攻撃だ。多くの人が複数サービスで同じパスワードを使い回しているため、一つの漏洩が連鎖的な被害を生む。SuperVPN事件で流出したパスワードが、全く無関係な金融口座への不正アクセスに悪用された事例が報告されている。

なりすまし・アイデンティティ詐欺：メールアドレス、氏名、住所、デバイス情報が揃うと、本人になりすまして各種申込やサービス登録が可能になる。特に金融系サービスへのなりすましは、被害額が大きくなりやすい。

位置情報を使ったストーキング：スマホの無料VPNアプリが位置情報へのアクセス権限を持っている場合、定期的に位置情報が記録されることがある。この情報が漏洩・悪用されると、物理的なストーキングに繋がるリスクがある。

今使っているVPNが安全かどうかを確認するための5つのチェックポイントを紹介する。1つでも当てはまれば、使用を見直すことを強くすすめる。

チェックポイント1：第三者監査の実施有無

• PricewaterhouseCoopers（PwC）、Deloitte、KPMGなど大手監査法人による監査レポートが公開されている
• 監査レポートの日付が2年以内（情報が古くないか）

チェックポイント2：本社・法人登記の所在地

• パナマ、英領ヴァージン諸島、スイスなどデータ保持法の適用外の国・地域に本社がある

• 中国・ロシアなどインターネット規制の強い国に拠点がある無料VPNは特に危険
• 香港拠点の無料VPNは2020年以降のセキュリティリスクが高い（UFO VPN事件参照）

チェックポイント3：プライバシーポリシーの記述

• 「ユーザーの通信内容を収集・記録しない」と明確に記載されている
• 第三者へのデータ提供についての記述が「法執行機関からの正当な要請を除き提供しない」に限定されている

• 「サービス改善のために〜データを収集する場合があります」という曖昧な記述がある
• 「第三者パートナーとデータを共有する場合があります」という記述がある

チェックポイント4：収益モデルの透明性

• 有料サブスクリプションが主な収益源として明記されている
• 無料プランがある場合、その制限（容量・速度等）が明確に示されている

• 完全無料・無制限で広告もない場合は、別の方法で収益化している可能性が高い

チェックポイント5：セキュリティ機能の具体性

• 使用する暗号化方式（AES-256など）が公式サイトに明記されている
• VPNプロトコル（WireGuard、OpenVPN、IKEv2）が公開されている
• キルスイッチ機能（VPN接続が切れた際に自動でインターネットを遮断する機能）が搭載されている

有料VPNと無料VPNの最大の違いは、「誰が顧客か」という点だ。有料VPNはユーザーが顧客であり、月額料金を払うユーザーを満足させ続けることが事業の根幹にある。一方、無料VPNの実質的な顧客はデータを買う広告主やブローカーであり、VPNを使うユーザーは「商品」の立場になっている。

このビジネスモデルの違いが、セキュリティ品質に直接反映される。月額料金を収益源とする有料VPNは、セキュリティや信頼性に問題が発覚すれば解約・乗り換えが起きるため、セキュリティ投資を惜しめない。対して無料VPNは、ユーザーが「無料なのだから」と多少の不満を我慢する傾向があり、セキュリティへのコスト削減が起きやすい構造になっている。

有料VPNに課金することに抵抗感がある人も多いと思う。ただ考えてほしいのは、「無料で使えること」の代償として何を支払っているか、という点だ。月額¥540を節約するために、氏名・住所・閲覧履歴・パスワードが第三者に流出するリスクを許容するか。その天秤を改めて意識してほしい。

有料VPNが安全な理由は「有料だから」ではない。適切な収益モデルの下、セキュリティに継続的に投資できる環境が整っているからだ。具体的に何が違うのか、NordVPNを例に見てみよう。

有料VPNの中でも、NordVPNが個人情報保護の観点で最もおすすめできる理由は3点ある。

理由1：業界最多水準の第三者監査実績

NordVPNは2018年からPricewaterhouseCoopers（PwC）による監査を受け始め、2022年以降はDeloitte（デロイト）に監査を移行した。2022、2023、2024、2025年と毎年監査を実施しており、いずれもノーログポリシーの遵守が確認されている。「ノーログポリシー」を謳うだけでなく、世界四大会計事務所が実際にサーバーやシステムを検査して「ログが存在しないこと」を確認している点が重要だ。

理由2：パナマ拠点による法的保護

NordVPNの運営会社はパナマに登記されている。パナマには、EUや米国・英国のような強制的なデータ保持法（通信ログの保存義務）がない。また「Five Eyes」「Nine Eyes」「14 Eyes」と呼ばれる各国情報機関の情報共有協定の対象外だ。法的にデータの提供を強制されない環境にある点が、他国拠点のVPNとの大きな差別化要因となっている。

理由3：過去の問題への透明な対応

NordVPNは2018年にサードパーティのデータセンター経由で不正アクセスを受けた事件があった（ユーザーの通信内容へのアクセスは確認されなかった）。この事件を受けてNordVPNは、コロケーションサーバーから自社管理サーバーへの移行、RAM-onlyサーバー（再起動でデータが消去される）の導入、Bug Bountyプログラムの開設など、大規模なセキュリティ強化を実施した。過去の問題を公開し、具体的な改善策を講じた姿勢は、透明性という観点からも評価できる。

VPNの法的側面と日本でのプライバシー保護については別記事で詳しく解説している。

表を見れば一目瞭然だが、NordVPNは有料VPNの中でも特にセキュリティ面が充実している。月額¥540〜という金額で、無料VPNとのこれだけの差がある。「個人情報を守るコスト」として考えれば、コーヒー1杯以下の金額だ。

有料VPNと無料VPNの詳細比較はこちらの記事も参考にしてほしい。セキュリティ以外の速度・機能面での比較も網羅している。

個人情報保護の観点からVPNを選ぶなら、NordVPNが業界で頭一つ抜けた存在だ。価格、セキュリティ、監査実績、機能の4軸すべてで最高水準を満たしている。本記事で紹介してきた無料VPNの問題点——データ収集・第三者への販売・マルウェア混入・虚偽のノーログポリシー——のすべてに対して、NordVPNは具体的な対抗策を持っている。

「有料VPNなら何でもいい」のではない。有料でも第三者監査を受けていないVPNは、「ノーログポリシーを謳うだけ」という点で無料VPNと構造的に変わらない場合がある。NordVPNを1位に推す理由は、監査の回数と継続性にある。2018年から毎年（2021年は移行期）監査を重ね、2026年時点で業界最多水準の6回の独立監査を経ていることが、他VPNとの最大の差別化点だ。

NordVPNには個人情報保護に直結する専門機能が豊富に搭載されている。有料VPNでも、ここまで機能が揃っているサービスは少ない。

中でもThreat Protection Proは特筆に値する機能だ。一般的なVPNはトンネルを暗号化するだけだが、Threat Protection ProはVPN接続中に広告・マルウェア・トラッカーを自動的にブロックする。無料VPNが「収益のために仕込んでいる」トラッキングライブラリを、NordVPNが積極的に遮断してくれる構造になっている点は、正反対のアプローチと言える。

またDark Web Monitorは、あなたのメールアドレスに紐づく個人情報がダークウェブで流通していないかを常時監視し、漏洩が検知されると即座に通知してくれる機能だ。過去に無料VPNを使っていた人が「今から安全を確保したい」と考える場合にも、有用な機能だ。

NordVPNの評判・口コミについての詳細は専用記事で確認してほしい。実際のユーザーレビューも掲載している。

NordVPNはBasic・Standard・Complete・Ultimateの4プランを提供している。個人情報保護の用途であれば、最安のBasicプランで十分な機能が揃っている。

無料VPNを使っていたユーザーが乗り換える場合、Basicプランから始めるのが最もコスパが良い。月額¥540は缶コーヒー2本分以下の金額で、前述した数々のリスクを根本から解消できる。

価格面での補足として、2年プランが最安値だが、まず1ヶ月または1年プランで試してから長期契約に移行することも可能だ。30日間の返金保証があるため、万が一満足できなければ全額返金を請求できる。購入直後から使い始めて30日以内にサポートチャットで申請するだけでよく、手続きも簡単だ。使い始めて「自分の使い方に合わない」と感じた場合でも損失ゼロで撤退できる。このリスクフリーな試用制度は、無料VPNからの乗り換えを考えているユーザーにとって最も行動しやすい入口となっている。

NordVPNが1位だが、事情によっては他の有料VPNを選ぶケースもある。以下の2サービスは個人情報保護の観点から安心して使える2番手・3番手だ。ただし、NordVPNに次ぐ選択肢という位置づけであり、監査実績・機能面でのNordVPNとの差は明確にある。

ExpressVPNは速度面で高い評価を得ており、動画ストリーミングを並行して使う場合も快適だという声が多い。Surfsharkはコストを抑えたい人と、複数デバイスを同時に保護したい人に適している。

ただし率直に言えば、個人情報保護を最優先にするならNordVPN一択だ。監査回数（6回）、パナマという法的管轄の独立性、Threat Protection Proの機能充実度、Dark Web Monitorの標準付属は、現時点で他のVPNが追いついていない組み合わせだ。無料VPNの危険性についてさらに詳しく知りたい人はこちらの記事も参照してほしい。

無料VPNを今すぐアンインストールすること、これが個人情報を守るための最初のステップだ。次のステップとして、NordVPNの30日間返金保証を活用して安全なVPN環境を整えてほしい。VPN全般のセキュリティガイドはこちらでも詳しく解説している。

なお、過去に無料VPNを使っていた期間に漏洩した情報がある可能性を否定できない。NordVPNのDark Web Monitorを起動して、自分のメールアドレスに紐づく情報がダークウェブで流通していないかをまず確認することをすすめる。過去の被害状況を把握した上で、パスワードの一斉変更と二段階認証の設定を組み合わせれば、セキュリティを大きく強化できる。