Playストアの無料Android VPNアプリ281個を調査、トラフィック漏洩や追跡、通信乗っ取りなどの深刻な問題が多数判明

要点

• Google Playストアの人気無料VPNアプリ281個をテストした結果、問題が見つかったアプリの累計ダウンロード数は24億回以上に上ることが判明した。

• 29個のアプリで暗号化トンネル外へのデータ漏洩が確認され、うち24個は閲覧したWebサイトが特定できるDNSトラフィックを漏洩していた。

• 5個のアプリでは、接続設定ファイルが暗号化されずに送信されており、公共Wi-Fiなどの攻撃者によって通信接続先を乗っ取られる危険性がある。

• 調査対象の80%を超える246個のアプリが広告や追跡用サーバーと通信しており、一部は端末の広告IDや詳細なGPS位置情報を送信していた。

• Google Playストアで提供されている人気の無料Android向けVPNアプリ281個を対象にした調査で、多くのアプリがトラフィックのプライバシーやセキュリティの確保という基本機能を満たしていないことが明らかになった。この調査はミシガン大学、ニューメキシコ大学、インド工科大学デリー校の研究チームによって行われ、2026年2月に開催されたセキュリティカンファレンス「NDSS」にて発表された。研究チームはモバイル向けの新しいテストシステム「MVPNalyzer」を用いて、アプリの動作や設定を詳細に分析したという。

• VPN（仮想プライベートネットワーク：インターネット上の通信を暗号化されたトンネルで包み、第三者からの盗聴を防ぐ技術）は、通信内容を保護するために利用される。しかし、VPNを利用することは、インターネットプロバイダーへの信頼をVPNアプリの提供元へ移譲することを意味する。今回の調査では、問題があると判定されたアプリの累計ダウンロード数が24億回以上に達していることが示されており、信頼性の低い無料アプリが広く普及している現状が浮き彫りになった。

• 研究チームが発見した最も深刻な問題は、5個のアプリで確認された設定ファイルの未暗号化送信である。VPNアプリがどのサーバーに接続すべきかを指示する設定ファイルが平文（暗号化されていないプレーンテキストデータのこと）でダウンロードされるため、同じネットワーク上にいる攻撃者（例えば公共のWi-Fiスポットの運営者など）が通信の途中でファイルを書き換えることが可能になるという。これにより、ユーザーがアプリ上で「接続完了」という画面を見ている状態であっても、実際には攻撃者が制御するサーバーへすべての通信が転送されてしまう。研究チームはこの攻撃手法を実際に構築し、管理下のスマートフォンを用いて動作を確認した。この問題は対象の5つのプロバイダーに優先的に通知され、うち2社は通信をHTTPS（データを暗号化して安全に送受信する通信プロトコル）へ移行することを約束した。そのうち1社は「適切な証明書検証を伴うHTTPSを使用して安全に送信する」と約束している。一方で、残りの3社からは確認の応答が得られていないという。

• また、調査されたアプリのうち29個で、暗号化されたトンネルの外に通信が漏洩する問題が確認された。このうち24個（累計約3億6000万ダウンロード）では、ユーザーが訪問したWebサイトを特定できるDNS（ドメイン名とIPアドレスを対応付けるシステム）トラフィックが漏洩していた。さらに6個のアプリではブラウジングトラフィック全体が漏洩しており、4個のアプリでは暗号化を全く行わない「トンネル」が稼働していたという。加えて、61個のアプリが一部のデータを平文で送信しており、同一ネットワーク上の第三者が通信内容を読み取れる状態だった。

• さらに、169個 of the apps（169個のアプリ）では、自身の通信をVPN以外の通常の通信に見せかける難読化などの処理が行われていなかった。そのため、ネットワーク管理者や政府の検閲システムが基本的なツールを用いるだけで、VPNの利用を検知して遮断できる状態だという。これらのアプリの約3分の2は「検閲の回避」や「地域制限の解除」を宣伝していたが、実際には対策が施されていなかった。VPNの使用自体がリスクとなるような国や地域において、VPNの利用が容易に識別されることは、ユーザーにとって極めて危険であると研究者は指摘している。

• プライバシーを保護し追跡（トラッキング）を防ぐために導入されるはずのVPNアプリ自体が、ユーザーを追跡している実態も判明した。76個のアプリが、広告主がアプリ間でユーザーの行動を追跡するために用いる固有のコードである「広告ID（広告配信などのために端末ごとに割り当てられる一意の識別子）」を送信していた。調査対象の80%以上にあたる246個のアプリが、既知の広告および追跡サーバーと通信を行っていた。多くのアプリはスマートフォンの機種名やOSのバージョン、画面サイズといった情報を送信しており、これらは個別の情報としては無害に見えるものの、組み合わせることで特定の端末を識別する「フィンガープリント（端末のブラウザやハードウェアの構成情報からデバイスを一意に特定する技術）」として機能する。さらに、ある1つのアプリでは、スマートフォンの正確なGPS位置情報を送信していた事実も確認された。

• 通信テストとは別に、108個のアプリに同梱されていた「OpenVPN」（オープンソースのVPN接続用ソフトウェア）の設定ファイルを解析したところ、調査されたすべてのセキュリティ上のベストプラクティスを満たしていたのはわずか1個のみだった。約89%のアプリはパスワードかデジタル証明書のいずれか一方のみを使用する単一の認証方法に依存しており、約5分の1のアプリでは「Blowfish」や「Triple DES（3DES）」といった脆弱または時代遅れとなった暗号方式が使用されていたという。

• 今回の調査結果は、多くの無料Android向けVPNアプリが、宣伝されているセキュリティやプライバシーの保護機能を提供できていないだけでなく、むしろユーザーを危険にさらしている現状を浮き彫りにした。