VPN とは何か、Web サイトから何を隠すのか？

プライバシー擁護派と不正アナリストに VPN とは何かと尋ねれば、技術的には同じ答えが、正反対の感情とともに返ってくるでしょう。どちらも正しいのです。ジャーナリストのブラウジングを守るのと同じトンネルが、クレデンシャルスタッフィングの攻撃者が数分ごとに別の国からログインしているように見せることも可能にします。

Web サイト、アプリ、ストアを運営していても、どちらのタイプの VPN ユーザーが来るかは選べません。できるのは、VPN が受信するトラフィックについて実際に何を変えるのか、攻撃者がなぜその変化に依存しているのかを理解し、プライバシーを重視する顧客を追い出すことなく攻撃者を止められる方法で対応することです。この記事では、より広い分野である IP インテリジェンスを土台に、この 3 つすべてを扱います。

VPN とは？

VPN（仮想プライベートネットワーク）は、ユーザーのデバイスとプロバイダーが運営する VPN サーバーの間に暗号化されたトンネルを作ります。トンネルが確立されると、デバイスのインターネットトラフィックはすべて暗号化で包まれ、そのサーバーまで運ばれ、そこからオープンなインターネットに送り出されます。

この設計から 2 つのことが導かれます。

• ユーザー側では、ISP、カフェの Wi-Fi、その他ローカルネットワーク上の誰もが、トラフィックを読んだり改ざんしたりできなくなります。見えるのは 1 台のサーバーへ向かう暗号化されたストリームだけです。
• あなたの側では、訪問を受ける Web サイトとして、接続が VPN サーバーから届くのを目にします。IP アドレス、そこから導き出されるジオロケーション、ネットワークの所有者、そのすべてが本人ではなくトンネルの出口を表しています。

暗号化を担うプロトコル（WireGuard、OpenVPN、IKEv2/IPsec）は歴史や性能が異なりますが、あなたのトラフィックへの影響は同じです。ユーザーの本当の IP アドレスが VPN の IP アドレスに置き換えられるのです。

VPN が変えるもの、変えないもの

よくある誤解は、良い意味でも悪い意味でも、VPN が訪問者を見えなくするというものです。そうではありません。観察できる事実の組み合わせが別のものに入れ替わるだけです。

最後の行は最初の 4 行と同じくらい重要です。VPN が作用するのはネットワークレイヤーだけです。その上にあるすべてのもの（ブラウザのフィンガープリント、セッション、使われているアカウント、請求されるカード）は変わらずに通過します。そして入れ替わった事実はランダムではありません。VPN の出口は特定可能なインフラに集中しており、それこそが多層的な VPN とプロキシの検出を可能にしています。

VPN を使うのは誰か、そしてなぜ話が複雑なのか

少なくとも時々は VPN 経由でブラウジングする人は大勢おり、その圧倒的大多数は何も悪いことをしていません。

• プライバシーを重視する個人。 ISP や公衆 Wi-Fi に閲覧履歴を記録されたくない人たちです。
• リモートワークの従業員。 会社のポリシーにより企業 VPN 経由でトラフィックが流れており、オフにできないことも少なくありません。
• 旅行者や海外在住者。 国外からサービスにアクセスしています。
• 規制の厳しい国のユーザー。 彼らにとって VPN は基本的なインターネットアクセスそのものです。

だからこそ「VPN をとにかくブロックする」は誤検知を量産する仕組みになります。この罠については本物の顧客をブロックせずに匿名化トラフィックを検出するで詳しく取り上げました。

攻撃者が VPN に頼る理由

IP を入れ替えるという同じ性質が、インターネット規模のほぼすべての攻撃を支えています。防御側の最も安価な制御（IP ブロック、ジオルール、速度制限）は、どれも送信元アドレスをキーにしているからです。

• クレデンシャルスタッフィングとアカウント乗っ取り。 VPN の出口をローテーションすることで、攻撃者は数百万回のログイン試行を複数の IP に分散させ、どのアドレスもレート制限に引っかからないようにできます。その仕組みはアカウント乗っ取りとクレデンシャルスタッフィングのガイドで解説しています。
• 決済不正とカードテスト。 ある国で発行された盗難カードは、注文がその国から来ているように見えるほうがうまく通ります。VPN を使えば、IP ジオロケーションを請求先住所に好きなだけ合わせられます。
• 地域制限と制裁の回避。 コンテンツのライセンス、地域別価格、ギャンブルや金融のコンプライアンスは、すべて IP の所在地で適用され、すべて適切な国から出口を出すことで回避されます。
• プロモーションとサインアップの悪用。 「無料トライアルはユーザー 1 人につき 1 回」が、いつの間にか VPN の出口 1 つにつき 1 回になります。
• 偵察と攻撃の隠れみの。 スキャナー、スクレイパー、侵入の試みは VPN を経由させるため、観測された IP をブロックしても攻撃者が気にするものは何も失われません。

肝に銘じるべきパターンはこうです。VPN は攻撃そのものではなく、攻撃の補給線です。 だからこそ検出する価値があり、そして検出結果はそれ単独で判断を下すのではなく、判断の材料にすべきなのです。

Web サイトは訪問者の VPN 利用を見分けられるか？

通常は見分けられます。しかもトンネルの中を見る必要はありません。出口サーバーが自らの正体を明かすからです。プロバイダーの公開サーバーリストに載っていることがあり、本物の買い物客がめったにブラウジングしないデータセンターの IP 範囲にあることが多く、プローブすると VPN プロトコルのハンドシェイクに応答します。これらのチェックは単独ではそれぞれ見逃しがあります。各レイヤーとその死角については、VPN とプロキシの検出の仕組みをシグナルごとにで順を追って説明しています。プロキシは独自の手がかりを持つ別のファミリーで、プロキシの種類とそれぞれの捕捉の難しさのガイドにまとめています。

VPN を検出したときにすべきこと

検出は簡単な半分です。企業が不正を止めるか、顧客を失い始めるかの分かれ目は判断にあります。

• is_vpn は判定結果ではなく重みとして扱う。 VPN の利用だけでは弱い証拠です（リモートワークの従業員を思い出してください）。VPN の利用に加えてデータセンターの ASN、さらに最近の不正利用リストへの掲載、さらに IP と請求先の国の不一致があれば、話はまったく変わります。
• 壁ではなく摩擦で応える。 メール確認、OTP、レビューのための保留といった追加認証は、正規の VPN ユーザーには数秒しかかからず、自動化された攻撃からはその採算性を奪います。
• ハードブロックは証拠が重なった場合に限定し、 基準はアクションごとに設定する。VPN からのブログ閲覧には一切対応は不要ですが、初回の 900 ドルの注文には必要かもしれません。アクションごとのフレームワークは IP 不正スコアのしきい値の選び方のガイドで扱っています。

実在する Mullvad サーバーに対する VPN ルックアップの結果

GeoIPHub の 1 回のルックアップで、VPN の判定結果、ネットワークのコンテキスト、そしてその根拠となる証拠が返ってきます。すべてのリクエストで実行できるほど高速です。

185.213.155.73 は、Mullvad の公開リレーリストに載っている WireGuard サーバーです。実際のレスポンスを抜粋したものです（2026 年 10 月 14 日に実行したルックアップ）。

判定結果にはその証拠が付いています。サーバーリストまたは既知のネットワークとの一致（known_vpn_server）、プロバイダーのリストがそのサーバーを WireGuard としてタグ付けしていること（wireguard_open）、そしてホスティングインフラであることです。ここでは一致が Mullvad 自身のサーバーリストから得られたため、vpn_provider が信頼度 95 で Mullvad を示しています。

それぞれの要素が防御にどう役立つかは次のとおりです。

• detection.is_vpn、is_proxy、is_tor は匿名化手段のファミリーを特定します。GeoIPHub の判定結果はリストへの掲載だけでなく、インフラが実際に VPN やプロキシとして振る舞うかを検証するアクティブプロービングに裏付けられています。Tor については IP で Tor トラフィックを検出する方法で個別に扱っています。
• asn.connection_type と asn.asn は、ビジネスネットワーク上の企業 VPN と、防弾ホスティング上でローテーションする出口とを区別するためのコンテキストを与えます。
• threat.is_abusive と threat.threat_types は、脅威フィードがこの出口を VPN であること以外の理由で掲載しているかどうかを示します。不正利用の証拠がある VPN の IP は、クリーンな IP とはまったく異なるリスクです。
• scoring.fraud_score はこれらすべてを 0〜100 の数値に統合し、recommended_action の区分（allow、review、step_up、block）と detection_methods の一覧を付けて返します。そのため、顧客からなぜ認証を求められたのかと聞かれても、ルールの説明がつきます。

チームはこれをログインエンドポイントに組み込んでクレデンシャルスタッフィングを捕捉し、サインアップフローに組み込んでトライアルの悪用を止め、WAF/SIEM のパイプラインに組み込んで受信トラフィックを事前にスコアリングしています。7 つの防御策のテスト済みコードを含む、より広範なプレイブックは IP データがクレデンシャルスタッフィング、カードテスト、その他のサイバー犯罪をどう止めるかにあります。すべてのフィールドは無料プランを含むすべてのプランで提供されます。1 日あたり 1,500 リクエスト、フィールドの有料制限はありません。

Shopify のチェックアウトで VPN 経由の注文を検出する

EC は、VPN 検出が金銭面で最も真価を発揮する分野です。見逃しのコストはチャージバックであり、誤検知のコストは失われた売上だからです。Shopify ストアには、ほとんどのマーチャントが使っていないわかりやすい連携ポイントがあります。すべての注文には、注文が行われた IP アドレスが記録されています（注文の browser_ip フィールド）。

これを使えば、大部分を捕捉できるシンプルなフローを組めます。

1. 注文作成の Webhook を待ち受ける。 ペイロードには、請求先と配送先の詳細とともに購入者の IP が含まれています。
2. IP をルックアップする。 GeoIPHub の API を 1 回呼び出すだけです。
3. 比較してスコアリングする。 それは VPN やプロキシの出口か？買い物客を装ったデータセンター接続か？IP の国は請求先の国と矛盾していないか？不正スコアは高くなっていないか？
4. 発送後ではなく発送前に行動する。 注文にタグを付ける、手動レビューのために保留する、または決済の確認を求めます。大多数を占めるクリーンな注文は、何の影響も受けずに流れていきます。

VPN 経由の注文が自動的に不正な注文であるわけではありません。ホテルの Wi-Fi で VPN を使って買い物をする旅行者は本物の売上です。しかし、VPN の出口に加えて IP と請求先の国の不一致、さらに初回の顧客、さらに特急配送という組み合わせは、盗難カードの典型的なシルエットであり、発送前にそれを捕捉することは注文 1 件につき 1 回の API 呼び出しに十分見合います。同じ IP レイヤーは最新のチェックアウトの脅威である自動購入エージェントも捕捉します。これについては チェックアウトでの AI ショッピングエージェントによる不正のブロックで詳しく解説しました。

出口を検出し、セッションをスコアリングし、一律ブロックはやめる

VPN は、ユーザーの本当の IP をサーバーの IP に置き換える暗号化されたトンネルです。正当なプライバシーツールであると同時に、クレデンシャルスタッフィング、決済不正、地域制限の回避における標準的な隠れみのでもあります。あなたのサイトはトンネルの中を見通せませんが、その必要はありません。出口は、プロバイダーのインフラ、ネットワークの分類、アクティブプロービングによって検出できます。出口を検出し、コンテキストの中でスコアリングし、一律ブロックではなく摩擦で応えれば、本物の顧客を一人も失うことなく、VPN は死角ではなくなります。

無料の IP ルックアップツールや VPN 検出テストなら、サインアップなしで今すぐ任意の IP を試せます。または無料の API キーを取得し、API ドキュメントを見ながら、ログイン、サインアップ、チェックアウトに VPN 検出を組み込んでください。

よくある質問

VPN とは簡単に言うと何ですか？

VPN（仮想プライベートネットワーク）は、ユーザーのデバイスと VPN サーバーの間を結ぶ暗号化されたトンネルです。ユーザーのトラフィックはすべてこのトンネルを通り、VPN サーバーからインターネットに出ていきます。そのため、ユーザーが訪れるすべての Web サイトには、ユーザー本人のものではなく、サーバーの IP アドレスと所在地が見えます。

Web サイトは訪問者が VPN を使っていることを検出できますか？

ほとんどの場合、できます。Web サイトは暗号化されたトンネルの中を見ることはできませんが、出口を見分けることはできます。商用 VPN サーバーは公開されたインフラ上にあり、データセンターの IP 範囲に置かれ、VPN プロトコルのハンドシェイクに応答します。IP インテリジェンスサービスは受信した IP をこうしたシグナルと照合し、is_vpn: true のような判定結果を返します。

VPN を使うと IP アドレスは変わりますか？

はい。VPN に接続している間、ユーザーが訪れるすべてのサイトには、ISP が割り当てた IP ではなく VPN サーバーの IP アドレスが見えます。サイトがそのアドレスから導き出す所在地やネットワークの所有者もサーバーのものになるため、VPN ユーザーは別の国にいるように見えることがあります。

自分の Web サイトで VPN トラフィックをすべてブロックすべきですか？

通常はその必要はありません。インターネットユーザーのかなりの割合が、プライバシーや職場の事情など、まったく正当な理由で VPN 経由でブラウジングしています。より良いパターンは、VPN の利用をリスクスコアへの重み付き入力の 1 つとして扱うことです。低リスクの VPN セッションは通し、VPN の利用が他のリスクシグナルと同時に現れた場合は追加認証を行い、ハードブロックは証拠が重なった場合に限定します。

Shopify の注文で VPN トラフィックを検出できますか？

はい。Shopify は購入者が注文した IP アドレスを記録しています（注文の browser_ip フィールド）。注文の Webhook が発火したときにその IP を VPN 検出 API でルックアップし、高リスクの注文にはタグを付けるか、発送前に保留してレビューできます。このチェックは注文 1 件につき 1 回の API 呼び出しで済みます。

GeoIPHub はどのように VPN の IP アドレスを検出しますか？

GeoIPHub は、プロバイダーのインフラデータ、ASN とホスティングの分類、そしてサーバーが実際に VPN エンドポイントとして振る舞うかを検証するアクティブなプロトコルプロービングを組み合わせています。そのうえで、is_vpn に加えて is_proxy、is_tor、接続タイプ、不正利用の証拠、0〜100 の不正スコアを返し、検出手法も一覧で示すので、IP がフラグ付けされた理由を確認できます。