2026年10月28日更新：公開時（2026年4月）の「更新審議」の記述を、その後の経過（4月の短期延長、6月12日の失効、2027年3月17日まで続く既存の認証）に合わせて書き直した。あわせて、ECSP定義拡大の時期（2024年の法改正で成立済み）、議員書簡の内容、日本の能動的サイバー防御法の施行状況、NymVPNの無料トライアル条件などの誤りを訂正している。

「VPNを使うと『外国人』扱いされ、令状なしの監視対象になるのでは？」——2026年3月、米国の議員グループが情報機関にこう問いただしたことで、FISA（外国情報監視法）Section 702とVPNの関係が注目を集めた。この問題の中心にいるのは米国人のVPNユーザーだが、米国のサービスやサーバーを日常的に使う日本のユーザーにとっても無関係な話ではない。本記事では、FISA 702 VPN 監視 2026という視点から、議論の中身と2026年10月時点の状況、日本のVPNユーザーが押さえておきたいポイントを整理する。

FISA Section 702とは何か——アメリカの令状なし監視法の基礎

FISA Section 702は、2008年のFISA改正法で設けられた規定で、NSA（国家安全保障局）などの情報機関が、個別の令状なしに「米国外にいると合理的に判断される非米国人」を標的として、米国の通信事業者から通信を取得することを認めている。協力を求められるのは、Google、Apple、Meta、Microsoftのような米国の事業者を含むECSP（電子通信サービスプロバイダー）だ。

ここで押さえておきたいのは、米国籍や米国の合法的永住者資格を持たない日本在住の個人は、通常、FISA上の「米国人（US person）」には当たらないという点だ（50 U.S.C. §1801(i)）。VPNの利用だけで、この法的区分が変わるわけではない。日本のユーザーにとっての論点は、自分の通信やデータが米国の事業者やインフラを通るかどうか、のほうにある。

2026年の「更新」はどうなったか

702は期限付きの規定で、2024年の改正法（RISAA）による期限は2026年4月だった。2026年4月には短期のつなぎ延長が行われ、4月30日には期限を6月12日まで延ばす45日間の延長が下院261対111、上院は発声採決で可決（S.4465の議事履歴）された（Reuters）。

しかしその後、単純延長法案（H.R. 9238）は6月11日の下院採決で198対218で否決され（Congress.gov）、702を含むFISA第7編は2026年6月12日に失効した。ただし、移行規定により、2026年3月に外国情報監視裁判所（FISC）が承認した認証と、それに基づく事業者への指示は効力を持ち続ける（米議会調査局 LSB11444）。Brennan Centerは、既存の認証による監視は2027年3月17日まで続けられると説明している（Brennan Center）。

2026年10月時点でも、再承認と、米国人のデータを検索する際の令状義務化をめぐる議論は続いている（Roll Call、10月26日）。つまり「失効した＝監視が止まった」ではない、というのが現状だ。

「VPNを使うと外国人扱い」問題の中身

議員たちが問いただしたこと

2026年3月、Ron Wyden上院議員ら民主党の議員6人は、国家情報長官（DNI）のTulsi Gabbard氏に書簡を送った（Wyden議員のプレスリリース、TechRadar）。

書簡が問題にしたのは、情報機関の手続きでは所在地が分からない相手を「非米国人」と推定する扱いがあるという点だ。商用VPNは利用者の実際の場所を隠すため、VPNを使う米国人が外国人と推定され、本来の保護を受けられなくなるおそれがあるのではないか——議員たちはこの点の説明と、米国人への周知を求めた。実際にそう扱われていると断定したものではなく、あくまで「どう扱っているのか」を問う内容だ。

Wyden議員は2026年9月にも、商用VPNのトラフィック解析への弱さを踏まえてNSAにVPNガイダンスの更新を求めている。詳しくはWyden議員がNSAに求めた「トラフィック解析」警告で解説した。

ECSP定義の拡大は2024年に成立済み

公開当初の本記事では、ECSP（電子通信サービスプロバイダー）の定義拡大を「2026年の更新案」として紹介していたが、これは誤りだった。定義の拡大は2024年4月成立のRISAAですでに法律になっている。

拡大後の定義には、従来の通信事業者などに加えて「有線・電子通信の送信や保存に使われる（または使われうる）設備にアクセスできる、その他のサービス提供者」が含まれる。一方で、2024年に追加されたこの新しい類型については、ホテルなどの宿泊施設、住居、コミュニティ施設、飲食店が明示的に除外されている（米議会調査局 R48592）。Wyden議員らは対象が広すぎると批判してきたが、範囲を絞る修正は2026年10月時点でも成立していない。

つまり、データセンターやクラウドのように通信設備に関わる事業者が協力を求められる可能性は以前からある。VPN事業者が米国のクラウドやデータセンターでサーバーを動かしている場合、その運営基盤も米国法の影響を受けうる、という見方が現実的だ。なお、カフェなどの飲食店は上記の除外対象にあたるため、「公共Wi-Fiがすべて対象になる」と考えるのは正確ではない。VPN神話の崩壊：SSL-VPN廃止から考えるプライバシーの新常識でも触れたように、VPNだけを過信しない姿勢が大切だ。

改革法案と最新の動き

Wyden議員とMike Lee上院議員のGovernment Surveillance Reform Act（政府監視改革法）は、米国人の702データを検索する際の令状義務化、データブローカーからの購入という抜け穴の封鎖、ECSP定義拡大の巻き戻しなどを盛り込んでいる（Proton Blog）。ただし、2026年10月時点で成立はしていない。

また、Wyden議員とSchiff上院議員は10月、2026年3月のFISC意見書が法定の期限（9月13日）を過ぎても公開されていないとして、政府に公開と11月6日までの説明を求めた（Wyden議員のプレスリリース、WIRED）。再承認の行方は、年末にかけての大きな焦点になっている。プライバシーツールそのものへの圧力についてはWireGuard・VeraCrypt開発者Microsoftアカウントロック問題も参考にしてほしい。

日本のVPNユーザーが確認しておきたい5つのポイント

米国の法律を日本から変えることはできないが、自分の通信がどこを通るかは選べる。今すぐ見直せるポイントを5つ紹介する。

ポイント1: メタデータ対策としてのmixnet型VPN（NymVPN）

通常のVPNは通信の「中身」を暗号化し、接続先からIPアドレスを隠すが、通信のタイミングや量といったメタデータは、経路を広く見渡せる相手にはトラフィック解析の手がかりになりうる。

NymVPNの匿名モード（5ホップ）は、パケットを複数のノードで混ぜ、遅延やダミートラフィックを加えるmixnetで、「誰が誰と通信しているか」を結び付けにくくする設計だ。日常向けの2ホップの高速モードではmixnetは使われない点と、どのツールでも監視を完全に防げるわけではない点には注意したい。仕組みはNymVPNのmixnet技術を詳しく解説した記事にまとめている。公式の7日間無料トライアルは新規契約で、料金ページに示された対象プランと対応する決済方法に限られ（暗号資産払いでは開始できない）、期間内に解約しないと有料プランへ自動で移行する（公式料金ページ）。

※本記事のNymVPNへのリンクはアフィリエイトリンクです。

ポイント2: ノーログポリシーと管轄地の確認

VPNを選ぶ際は、ノーログポリシーと、それを裏付ける第三者監査の公開状況を確認しよう。あわせて、運営会社の本拠地とサーバーの所在国も見ておきたい。米国企業であれば米国法の要請を受ける可能性があり、ファイブ・アイズ（米・英・豪・加・NZ）などの情報共有の枠組みを気にする人も多い。ただし、本拠地だけで安全性が決まるわけではなく、ログを持たない設計かどうかがより重要だ。

ポイント3: 端末レベルの保護（GrapheneOS）

通信だけでなく、端末そのものの守りも欠かせない。AndroidベースのプライバシーOS「GrapheneOS」は、アプリのサンドボックスや権限管理を強化し、端末内のデータが不用意に外へ出るリスクを下げられる。GrapheneOSをプリインストールしたPixel端末を扱う販売店の一例として、p-cipher.storeがある。

ポイント4: 使っているサービスとサーバーの所在を確認

Googleドライブ、iCloud、Dropboxなど米国企業のサービスに預けたデータは、VPNの有無に関係なく米国法の影響を受けうる。VPNについては、サーバー所在地を公開しているサービスを選び、必要に応じて米国以外のサーバーを使うよう設定を見直そう。「ノーログ」をうたっていても、運営基盤が米国のクラウド上にある場合は、その点も踏まえて判断したい。

ポイント5: 日米の監視法制の動きを追う

法律は変わり続ける。米国では702の再承認が年末にかけての焦点で、日本でも能動的サイバー防御法の施行が始まった。個人情報保護法改正案2026の動向もあわせて、Proton Blog、EFF、Access Nowなど信頼できる情報源を定期的にチェックしておこう。

日本の「能動的サイバー防御法」との関係

日本では、能動的サイバー防御の中心となる「重要電子計算機に対する不正な行為による被害の防止に関する法律」が2026年10月1日に施行された（内閣府「施行期日」）。内閣府の説明資料では、10月1日から基幹インフラ事業者による資産の届出やインシデント報告、アクセス・無害化措置などが始まり、通信情報の利用は「来年秋より施行」とされている（内閣府 説明資料）。

米国の702は米国の事業者を通る外国人の通信を、日本の制度は国内外をまたぐ通信の一部を、それぞれ別の目的と手続きで扱う。仕組みも対象も異なるため単純に並べることはできないが、日本のユーザーにとって、自分の通信が通る国やサービスの法律を意識する場面は確実に増えている。VPNをやめる2026：代替ツール3選でも触れたように、ひとつのVPNに頼り切るのではなく、目的に応じてツールを組み合わせる考え方が現実的だ。

まとめ——VPNだけでは足りない理由と次のステップ

本記事の要点を整理しよう。

  • FISA 702は、米国外の非米国人を標的に、米国の事業者から令状なしで通信を取得できる仕組み。米国籍や米国の合法的永住者資格を持たない日本在住の個人は、通常、FISA上のUS personには当たらず、VPNの利用だけでこの区分が変わるわけではない
  • 「VPNで外国人扱い」問題は、主に米国人のVPNユーザーが所在不明として外国人と推定されるおそれを議員が問いただしたもの
  • 702は2026年6月12日に失効したが、既存の認証により2027年3月17日まで監視は続けられる。再承認と令状義務化の議論は継続中
  • ECSP定義の拡大は2024年に成立済み。データセンターやクラウドは対象になりうる一方、この新類型からは宿泊施設や飲食店などが除外されている
  • 日本の能動的サイバー防御法は2026年10月1日に施行され、通信情報の利用は2027年秋の施行予定

通常のVPNは「中身」とIPアドレスを守るが、メタデータまで隠せるわけではない。NymVPNの匿名モードのようなmixnetはメタデータを結び付けにくくする選択肢のひとつだが、万能ではない。サーバーの所在、運営会社、端末の守りまで含めて、自分の使い方に合った組み合わせを選ぶことが、監視が強まる時代の現実的な答えだ。

導入方法はNymVPNの始め方・導入手順を参考にしてほしい。