VPNとは？スマホにもある設定を仕組みから理解する

1. VPNの「P」は「秘密」ではなく「専用」

VPNは「Virtual Private Network」の略です。

この「Private」を、多くの方は「秘密の」と捉えがちですが、そうではありません。

Private は「専用」です。

日本語にすると「仮想的な、専用のネットワーク」。

つまりVPNとは、「本当は専用ではないネットワークを、あたかも自分専用であるかのように使う技術」ということになります。

高すぎる「専用線」の代わりに生まれた

ここでVPNが生まれた背景をちょっとだけご説明します。

「本当は専用ではないネットワークを、あたかも自分専用であるかのように使う技術」

なぜそんな回りくどいことをするのか。もともとは、お金の問題でした。

VPNが生まれたのは1990年代です。当時、離れた会社の拠点どうしを安全につなぐには、電話会社から「専用線」を借りるしかありませんでした。自社だけが使う、文字どおり専用の回線です。安全ですが、非常に高額でした。

そこで、こう考えた人たちがいました。

みんなが使っている公衆のインターネットを使いながら、専用線を借りているかのように振る舞えないか。

こうして誕生したのがVPNです。「安く、専用線の代わりをする」ために生まれた技術でした。

2. 仕組みの本体は「包んで運ぶ」こと

では、どうやって「専用線のように」するのでしょうか。

VPNの中身は、大きく3つの動作でできています。手紙を送るイメージで説明します。

① 通信を「包む」

あなたがスマホからウェブサイトを見るとき、通信には「どこへ送るか」という宛先が書かれています。手紙の封筒に書かれた住所のようなものです。この封筒は、通り道にいる人からは見えてしまいます。

VPNは、この封筒を、もう一枚の封筒の中に入れます。

そして外側の封筒には、本来の宛先ではなく、VPNサーバーの住所を書きます。

これが「トンネリング（カプセル化）」です。VPNの仕組みの本体は、実はここです。

② 包みを「暗号化」する

外側の封筒しか見えないとはいえ、中身を取り出されたら意味がありません。そこで、中の手紙そのものも、読めない状態に変換します。これが暗号化です。

鍵を持っているのは、あなたのスマホとVPNサーバーだけです。途中にいる誰か——たとえば同じカフェのWi-Fiにいる人——が封筒を開けても、中は意味をなさない文字の列にしか見えません。

③ 出口が変わる

ここが、個人でVPNを使うときにいちばん実感しやすい部分です。

VPNサーバーは、届いた外側の封筒を開けて、中の手紙を本来の宛先へ送り直します。

すると、受け取ったウェブサイト側から見ると、手紙を出したのはあなたではなく、VPNサーバーに見えます。

• 日本にいるあなたが、アメリカのVPNサーバーを経由すると、訪問先からは「アメリカからのアクセス」に見える
• 契約している通信会社（ISP）からは、あなたが「VPNサーバーと通信している」ことしか見えない

「VPNを使うと国が変えられる」と言われるのは、この③のことです。隠しているのではなく、代わりに出してもらっているわけです。

最初のVPNには暗号化がなかった

少しVPN誕生の話に戻ります。

意外に思われるかもしれませんが、VPNの定義に暗号化は含まれていません。

1996年に登場した最初の本格的なVPN（PPTPという方式）は、規格として暗号化を持っていませんでした。これは後世の批判ではなく、その仕様書自身がそう書いています。

トンネルそのものを形作るGREパケットは、暗号的に保護されていない
PPTPの制御チャネルのメッセージは、認証も完全性保護もされていないため、攻撃者が下位のTCP接続を乗っ取ることが可能かもしれない

（RFC 2637「Point-to-Point Tunneling Protocol」§5・1999年）

ちょっと難しいですね。

つまり「①包む」がVPNの本体で、「②暗号化」は後から重ねられたものです。

※ 現在スマホで使われているVPNは、当然ながら暗号化されています。ここでお伝えしたいのは、「VPN＝安全」が定義ではなく、実装しだいだということです。

3. 会社のVPNと、個人のVPNは別物

実はこの2つ、同じ部品でまったく用途の違う製品を作っているようなものです。

しかも、リスクの向きが正反対です。

この混同は利用者だけの問題ではなく、技術の世界でもそう認識されています。

技術は同じ——カプセル化されたIPトンネルだ。だが応用は根本的に異なる。（中略）しかし消費者向けVPNは広く普及し有用なので、業界は今や両方の製品をVPNと呼んでいる

（David Crawshaw「Everything VPN is New Again」ACM Queue Vol.18 No.5・2020年）

違いは「トンネルの出口」にある

2章で、VPNは通信を封筒に包み、外側の封筒にVPNサーバーの住所を書く、と説明しました。

会社のVPNと個人のVPNの違いは、この「外側の宛先」がどこか、です。

• 会社のVPN：外側の宛先は会社のネットワークの中。トンネルはそこで終わります
• 個人のVPN：外側の宛先はVPN事業者のサーバー。そこから先は、インターネット全体へ出ていきます

つまり、会社のVPNは「入る」ための道具、個人のVPNは「出る」ための道具です。向きが逆なのです。

たとえば、こうなります。

• 会社のVPN：在宅勤務中、自宅のパソコンから会社のVPNに繋ぐ。すると自宅のパソコンが「社内にいる」ことになり、社内のファイルサーバーが見えるようになります
• 個人のVPN：カフェでVPNに繋いで買い物サイトを見る。サイト側から見ると、アクセスしてきたのはVPN事業者のサーバーです

そして、ここからリスクの向きが決まります。決め手は、誰がVPNサーバーを持っているかです。

• 会社のVPN：守りたい側（会社）が、自分でVPN機器を持ちます。だから、そこが破られると、攻撃者が社内に直接入れます
• 個人のVPN：守りたい側（あなた）は、VPNサーバーを持ちません。他人のものを借ります。だから、あなたの通信が、その事業者に集まります

たとえるなら、**会社のVPNは「家の玄関の鍵」、個人のVPNは「荷物の代理受け取りサービス」**です。鍵は破られることが問題になり、代理受け取りは中身を見られることが問題になります。

目的も、守る向きも逆

ニュースで見る「VPNの脆弱性」は、会社側の話

「VPNの脆弱性が原因で情報が漏えいした」というニュースを見たことがあるかもしれません。

あれは左側（会社のVPN）の話です。スマホに入れるVPNアプリの話ではありません。

警察庁の統計では、ランサムウェア（身代金要求型ウイルス）の被害のうち、感染経路が特定できたものの内訳はこうなっています。

（警察庁「令和4年におけるサイバー空間をめぐる脅威の情勢等について」）

テレワークに利用される機器等のぜい弱性や強度の弱い認証用パスワード等の情報を利用して侵入したと考えられるものが大半を占めている

つまり、会社に設置されたVPN機器が古いまま放置されていたり、弱いパスワードのままだったりして破られた、という話です。

同じ言葉を使っているせいで、「VPNは危ないらしい」という印象だけが伝わってしまいます。ここは分けて考えてください。

4. VPNにできないこと

仕組みが分かると、できないことも自動的に分かります。

VPNを紹介するページの多くは、できることだけを並べます。ですが、できないことを知らないまま使うほうが危険です。「VPNを入れたから何をしても大丈夫」と思ってしまうからです。

① 守ってくれるのは「VPNサーバーまで」

2章の②を思い出してください。暗号化されているのは、あなたのスマホからVPNサーバーまでです。

VPNサーバーが封筒を開けて手紙を送り直したあと、そこから先はふつうのインターネットに戻ります。

これは最近の指摘ではありません。1999年の技術標準に、すでにこう書かれています。

そのような保護は、通信するホストやアプリケーションの間のエンドツーエンドの安全性の代替と見なされるべきではない

（RFC 2661「Layer Two Tunneling Protocol」§9.3・1999年）

②「見られない」のではなく「見せる相手が変わる」

VPNを使うと、契約している通信会社（ISP）からは、あなたがどこに接続しているのかが見えなくなります。

その代わり、VPN事業者からは見えます。封筒を開けているのは、その事業者だからです。

VPNは、信頼の「移転」であって「消滅」ではありません。

だからVPNサービス選びは、「その事業者を信頼できるか」が中心になります。通信記録を残さない方針（ノーログ）を掲げているか、それを第三者機関に検査させているか、といった点です。

③ VPNを「使っていること」自体は隠せない

中身が読めなくても、「この人はVPNを使っているな」ということは、外から判別できます。

ミシガン大学などの研究チームが2022年に発表した論文では、広く使われているOpenVPNという方式の通信を、85%以上の精度で識別できたと報告されています。しかも、識別を避けるための「難読化」設定を使っていた41件のうち34件は、それでも見破られました。

（Diwen Xue ほか「OpenVPN is Open to VPN Fingerprinting」USENIX Security Symposium 2022・最優秀論文賞）

VPN経由のアクセスを制限しているサービスでは、気づかれる可能性があるということです。

④ 匿名にはならない

VPNが変えてくれるのは、出口のIPアドレスだけです。

• GoogleにログインしたままVPNを使えば、Googleからは同じあなたに見えます
• ブラウザに残っているCookieは、VPNでは消えません
• 端末の特徴の組み合わせ（画面サイズ、入っているフォントなど）からも、個人は識別されます

「VPN＝匿名」ではありません。ここを取り違えると、危険な使い方につながります。

5. 結局、自分に必要か

ではVPNを個人で利用する場合は、どんなシチュエーションで有効なのでしょうか？

まず前提として、日本では「VPNが何なのかわからない」という人が45.2%います（総務省「令和5年度 無線LANのセキュリティに係る実態調査報告書」n=502）。ここまで読んでくださった時点で、あなたはすでに半数より先にいます。

意味が大きい人

カフェ・駅・空港・ホテルのWi-Fiを、日常的に使う方です。仕事でもプライベートでも同じです。

「VPNなんて要らない。URLが https:// になっていれば安全だ」という意見があります。httpsも暗号化の技術ですが、守られる範囲が少し違います。総務省の公式アドバイスも、実はVPNではなくこちらです。

ここにVPNは入っていません。

ところが、同じ総務省の調査では、こうなっています。

（総務省「令和7年度 無線LAN利用者実態調査 概要版」2026年7月公表）

そもそもhttpsが何なのかも分からないので確認もしないということですね。毎回きちんと確認できて軽いネット利用の方は、VPNは要らないかもしれません。できない日があるなら、接続するだけで効く仕組みには意味があります。

もうひとつ。公衆Wi-Fiを使っていない人が挙げる理由の1位は「セキュリティ上の不安」で、65%を占めます（同調査）。VPNは、公衆Wi-Fiを使わないようにしている人が「使えるようにする」ための道具でもあります。

急がなくていい人

• 外ではモバイル回線（4G / 5G）しか使わない方
• 公衆Wi-Fiを使うのは年に数回、という方

モバイル回線は、公衆Wi-Fiのように「同じ回線に見知らぬ他人がいる」状態にはなりません。外でWi-Fiに繋がないなら、優先度は下がります。

無料VPNについて

日本でVPNを使っている人の内訳を見ると、少し驚く数字が出ています。

（総務省・令和5年度の同調査）

無料の利用者が、有料の6倍以上います。

無料VPNをすべて否定はしません。通信会社が自社の利用者向けに提供しているもの（16.3%はこの層です）は、提供元がはっきりしています。

注意が要るのは、アプリストアで見つけた、運営元のよくわからない無料VPNです。

4章の②を思い出してください。VPN事業者は、あなたの通信を見られる立場にいます。サーバーの運営には費用がかかるので、利用料を取らないなら、どこかで収益を得ているはずです。その相手が誰なのか分からないまま通信を預けるのは、公衆Wi-Fiをそのまま使うのとは別の種類のリスクを負うことになります。

よくある疑問

まとめ

VPNとは、インターネットの上に自分専用の通り道をつくる技術です。

名前の「Private」は「秘密」ではなく「専用」。もともとは、高価な専用線を借りる代わりに、公衆のインターネットを専用線のように使うために生まれました。この出発点を知っていると、できることも、できないことも、どちらも納得できます。

要点を並べます。

1. 仕組みの本体は「包んで運ぶ」こと。暗号化は、そこに重ねられたもの
2. 会社のVPNと個人のVPNは別物。ニュースで見る「VPNの脆弱性」は前者の話
3. 守ってくれるのはVPNサーバーまで。その先は、ふつうのインターネットに戻る
4. 「誰にも見られない」ではなく「見せる相手が変わる」。だから事業者選びが要になる
5. 匿名にはならない。変わるのはIPアドレスだけ

VPNは万能ではありません。ただ、仕組みがわかっていれば、どこまで任せてよい道具なのかもわかります。そのうえで使うなら、公衆Wi-Fiを日常的に使う方にとっては、十分に意味のある道具です。

スマホの設定画面にあった「VPN」が、もう「よくわからない項目」ではなくなっていれば、この記事の役目は果たせています。