はじめに

ブラウザーに追加するだけで使える「VPN拡張機能」は手軽ですが、その中には、有名なVPNの名前をかたったものや、運営者がまったく分からないものが少なくありません。

2026年10月22日、海外のテック媒体TechRadarは、GoogleのChromeウェブストアで ロシアの利用者に向けた、基本的な透明性の基準を満たさないVPN拡張機能が369本 見つかったとする独自調査を公表しました。利用者数は合計で21万8,000人を超え、そのうち120本以上が実在のVPNブランドの名前を使っていたといいます。369本すべてが偽物（ブランド偽装）と確認されたわけではありません。

ブラウザーの窓の中に、本物の盾のアイコンと、仮面をつけた偽物の盾のアイコンがいくつも並び、偽物から伸びる線が正体の分からない中継サーバーへつながっているイラスト

この記事では、TechRadarの調査で分かったことと、2026年に先行して公表された偽VPN拡張機能の研究（Socket、Palo Alto Networks）を整理し、拡張機能を選ぶときの見分け方をまとめます。ロシア向けの話ですが、日本の利用者にも同じ注意点が当てはまります。内容は、2026年11月2日に確認した各社の公表資料にもとづく要約で、本記事で拡張機能を検証したものではありません。

TechRadarの調査で分かったこと

TechRadarの記事（2026年10月22日公開。データは10月12日時点）によると、ロシア語の利用者向けのVPN拡張機能を集め、実在の企業による検証済みのVPNを除いたうえで、基本的な透明性の基準を満たさないものを数えた結果は次のとおりでした。

項目 結果（TechRadarの調査）
基準を満たさない拡張機能 369本、利用者は合計21万8,000人超
開発者 全体でわずか70の開発者。1つのメールアドレスに24本が結びついていた例も
連絡先 ほぼすべてが、会社のものではない匿名の個人Gmailアドレス
プライバシーポリシー 4分の3近くが、運営者を隠せるTelegramの匿名投稿サービス「Telegra.ph」に置かれていた
レビュー 47%が、利用者数よりレビュー数のほうが多く、レビューの水増しの可能性がある
実在ブランドの名前 120本以上。ロシアで広く使われるプロキシアプリ「Happ」が15本超、WindscribeとExpressVPNの名前もそれぞれ7本と5本
過去に危険と指摘されたもの Palo Alto Networksが以前に指摘した拡張機能のうち89本が、まだ入手できた

TechRadarは、すべての拡張機能を詳しく動かして調べたわけではないため、どれが実際に有害で、どれが単に作りが雑なだけなのかは分からない と断っています。また、これらの拡張機能がロシア当局と結びついている証拠はないとも書いています。

名前を使われた側のExpressVPNは、偽物は利用者に「誤った安心感」を与えると述べ、Windscribeは、偽物を削除させても「すぐに2つ出てくる、もぐらたたきのような状態」だと答えています。Googleは公開時点でTechRadarの問い合わせに回答していません。

先に公表されていた研究：暗号化を追加しない中継サーバーへ通信を流す

偽のVPN拡張機能は、2026年に入って複数の研究で指摘されてきました。

Socket（2026年8月11日）

ソフトウェアのサプライチェーンを調べるSocketは、2026年8月11日の報告 で、Chromeウェブストア上の 737本 のVPN拡張機能を、少なくとも40の開発者アカウントにまたがる一群として報告しました。そのうち274本はProton VPN、NordVPN、AmneziaVPN、1.1.1.1など 66のブランドをかたって おり、インストール数は737本全体のストア表示値の合計で7万5,486件でした（Chromeウェブストアの概数表示を足したもので、正確な人数ではありません）。

Socketが詳しく調べた522本のうち520本は、Chromeのプロキシ設定を書き換え、ブラウザーの通信をすべて運営者の中継サーバー（SOCKS5プロキシ）へ流していたといいます。Socketによると、このSOCKS5中継は単なる中継で、中継自体には暗号化を追加しません（VPNのように通信を暗号化して守るわけではない）。HTTPSのサイトでは本文の暗号化まで解除されるわけではありませんが、運営者からは次のものが見えます。

  • どのサイトに接続しているか（HTTPSでも、TLSのSNIで接続先の名前は見える）
  • 利用者のIPアドレス
  • HTTPS化されていない（HTTPの）サイトでやりとりした内容（入力した認証情報を含む）

「プレミアムサーバー」をうたうものもありましたが、実際には存在しなかったとSocketは報告しています。一方で、中継サーバーがどのデータを保存しているかについては、Socketは確認できたとは書いていません。

Palo Alto Networks（2026年6月4日）

Palo Alto Networksも 2026年6月4日の脅威情報 で、AdGuard、Proton VPN、Browsec、HideMyNameなどの名前をかたる偽VPN拡張機能が、固定の中継サーバーへ通信を流していたと報告しています。TechRadarが「まだ入手できた89本」と数えたのは、このPalo Alto Networks（Unit 42）の調査で指摘された拡張機能です。

偽VPN拡張機能の図。上段はSocketの報告にもとづく通信の流れで、ブラウザーの通信が運営者の中継サーバー（SOCKS5）を通ってサイトへ届く。SOCKS5の中継自体は暗号化を追加しないが、HTTPSの本文暗号化が解かれるわけではない。運営者からは接続先、利用者のIPアドレス、HTTPSでないサイトの内容が見える。下段はTechRadarの調査で見られた危険信号（透明性の基準を満たさない369本についての集計で、すべてがブランド偽装や有害と確認されたわけではない）で、匿名の個人Gmail、Telegra.phに置かれたプライバシーポリシー、利用者数より多いレビュー、有名ブランドの名前。見分け方として、提供元の公式サイトから入手する、開発者名とサイトを確かめる、プライバシーポリシーを開いてみる、不要な権限を求めていないか見る、拡張機能はブラウザーの通信しか守らないことを覚えておく
図：偽VPN拡張機能の通信の流れと危険信号（Socket、TechRadarの公表をもとに作成。図を選ぶと大きく表示できます）。

VPN拡張機能の見分け方

TechRadarとSocketが勧める点をもとに整理します。

入れる前に

  1. 提供元の公式サイトから入る: 使いたいVPNが決まっているなら、ストアで検索せず、提供元の公式サイトにある案内から拡張機能のページへ進む。ストアの検索結果には、同じ名前の偽物が並ぶことがあります
  2. 開発者名とウェブサイトを確かめる: 拡張機能のページにある開発者名、連絡先、ウェブサイトが、そのブランドの会社のものかを見る。個人のGmailしか書かれていないものは避ける
  3. プライバシーポリシーを開いてみる: リンクが開くか、内容がその拡張機能のことを書いているかを確かめる
  4. ストアの表示を参考にする: TechRadarは、Chromeウェブストアの「Established Publisher（定評のある運営者）」バッジも目安に挙げています。ただし、バッジがあれば安全と言い切れるわけではありません
  5. 不要な権限に注意する: 位置情報など、VPNに必要と思えない権限を求めるものは避ける
  6. 無料には理由がある: VPNの運営には費用がかかります。無料でお金の出どころが分からない場合、利用者のデータが対価になっている可能性があります

すでに入れている場合

  1. 心当たりのない拡張機能を削除する: Chromeのアドレスバーに chrome://extensions と入力すると、入っている拡張機能を一覧できます
  2. プロキシ設定を確かめる: Socketは、削除後にChromeの設定でプロキシの項目を確かめることを勧めています
  3. パスワードを変える: Socketによると、偽の拡張機能を使っている間にHTTPS化されていないサイトで入力した認証情報は、運営者に見えていた可能性があります。該当するものは変更を検討する

拡張機能はブラウザーの通信しか守らない

TechRadarも指摘しているとおり、ブラウザー拡張機能のVPNが扱うのは ブラウザーの通信だけ です。ほかのアプリの通信は通りません。端末全体を守りたい場合は、運営者がはっきりしていて、ノーログの方針を第三者の監査などで示しているVPNのアプリを使うほうが確実です。考え方は VPNのノーログポリシーとは？ で解説しています。

偽のVPNサイトについては タイポスクワッティング攻撃の実態と対策、無料VPNの収益の仕組みについては 無料VPNの収益モデルとは？ で取り上げています。

まとめ

  • TechRadarは2026年10月22日、ロシア向けの、透明性の基準を満たさないVPN拡張機能369本（利用者21万8,000人超）を報告した。70の開発者が大量に出しており、そのうち120本以上が実在ブランドの名前を使っていた（369本すべてが偽装と確認されたわけではない）
  • どれが実際に有害かは確認されていないが、Socketの8月の報告では、偽VPN拡張機能の多くが通信を運営者のSOCKS5中継サーバーへ流していた。中継自体は暗号化を追加せず、HTTPSの本文は守られるものの、接続先・IPアドレス・HTTPの通信内容は運営者に見える
  • 拡張機能は提供元の公式サイトから入手し、開発者名・プライバシーポリシー・権限を確かめる。拡張機能はブラウザーの通信しか守らないことも覚えておく