調査概要と結果
Proton AGは2023年8月27日に、米国でダウンロードされたモバイルVPNアプリ390本（Apple App Store・Google Playから取得）を対象に調査した。
調査の結果、約85％にあたる332本がユーザーの個人データを収集し外部へ共有するトラッカーを内蔵していることが判明した。
さらに約21％に相当する70本はGPS等を利用してリアルタイムの位置情報追跡が可能であった。
データ収集と位置情報追跡の実態
検出されたトラッカーが取得する主なデータは以下の通りである。
- 端末固有広告ID（GAID）
- デバイスモデル・固有デバイスID
- ネットワーク種別・通信事業者名
これらはアプリ内広告SDKや分析SDKとして組み込まれ、位置情報トラッカーはGPS機能により現在位置を取得する。
中国製アプリと隠蔽手法
調査対象のうち64本は中国企業が所有する「中国製」アプリであり、代表例としてVPN Proxy Master、VPN‑Fast、VPN Super、X‑VPNが挙げられる。
これらのアプリはシンガポール、香港、英国などに設置したペーパーカンパニーを経由して提供されている。ペーパーカンパニーを介在させることで、所有者情報がプラットフォームやユーザーから判別しにくくなる。
法的・プライバシーリスク
中国の国内法では、政府が企業に対し保有データの提供を要請できる制度がある。要請に応じた場合、企業はデータを情報機関へ提供する可能性がある。
位置情報追跡トラッカーが組み込まれたVPNは、利用者の居場所が中国政府へ漏洩する懸念が指摘されている。
ダウンロード統計
2023年6月の1か月間に、疑わしいVPNアプリの累計ダウンロード数は1,320万回以上である。
同期間に米国ユーザーが中国製と疑われるVPNアプリをダウンロードした回数は300万回以上である。
VPNの本来の目的と評価基準
VPNは企業が遠隔ネットワークへ安全にアクセスするための技術（Virtual Private Network）であり、暗号化により通信内容を第三者から保護することが基本機能である。
企業がVPNを選定する主な評価ポイントは暗号化アルゴリズムと第三者監査の有無である。アプリ内部に埋め込まれたトラッカーの有無は、従来の選定プロセスでチェックされにくい。
現行評価の課題と今後の方向性
現在のVPN評価は通信暗号化に限定され、アプリ内部のトラッカー検出が十分に行われていない。
透明性確保のため、外部SDK・ライブラリの公開・文書化を義務付ける基準の策定が求められる。
米国や他主要市場でプライバシー規制が強化されることに伴い、トラッカー非搭載のVPN提供者へのシフトが期待される。
ユーザーに対しては、ダウンロード元の企業情報確認やプライバシーポリシーの精査を促す教育が重要である。
#プロトン #VPN #トラッカー #中国製アプリ #位置情報追跡