初心者向けセキュリティ基礎：VPNアカウントとサブスクリンク、公共Wi-Fiの正しい使い方

まずは3つを切り分ける：アカウント、サブスクリンク、クライアント設定

多くの人はこの3つをまとめて「自分のVPNアカウント」と呼んでいて、いざというときにどれを変更すればいいのか分からなくなります。役割も、漏洩したときの影響も、対処法もそれぞれ違います。まずは分けて考えましょう。

• アカウントのパスワード：ユーザーパネルへのログインに使い、注文・プラン・サブスクリンクといった管理情報を扱います。
• サブスクリンク：https://… の形式をしたアドレスで、クライアントに読み込ませると定期的にノード一覧を取得します。リンクには識別トークンが含まれ、サーバーはそれで利用者を判別し、通信量を計測します。
• クライアント設定：読み込み後に端末へ保存されるノード情報で、読み込んだ端末にだけ適用されます。

サブスクリンクの典型的な構造は次のとおりです（イメージであり、実際のリンクではありません）：

https://sub.example.com/delta-svc/client/subscribe?token=9f2c7b1e4a8d5c3f7b21

末尾の token の部分が鍵の歯にあたります。パスワードのような入力回数の制限も、二段階認証もありません。これを手に入れた人は、同じノード一覧を持ち出せてしまいます。3つの違いを整理すると：

項目	内容	漏洩するとどうなるか	再発行できるか
アカウントのパスワード	ユーザーパネルへのログインに使う	他人がパネルに入り、注文の閲覧やサブスクリンクの変更ができる	可能。パスワードを変更すればよい
サブスクリンク	トークン付きのアドレス。クライアントがこれでノード一覧を取得する	パスワードなしでノードを持ち出され、通信量を消費される	可能。再発行すると古いアドレスは無効になる
クライアント設定	読み込み後に端末へ保存されるノード情報	影響はその端末だけ	可能。削除して読み込み直せばよい

この表が、以降のすべての操作の方向を決めます。まずどれを失ったのかを判断し、それから動かす手順を決める。判断を誤ると、パスワードをいくら変えても他人の通信量消費は止められません。

サブスクリンクがアカウントの鍵と呼ばれる理由

サブスクリンクをクライアントに読み込ませると、流れはこうなります。クライアントがリンク内のトークンを持ってサーバーにリクエストを送る → サーバーがトークンを検証し、ノード一覧を返す → 一覧は通常 Base64 でエンコードされたテキストで、中身は VMess、VLESS、Trojan、Shadowsocks、Hysteria2、TUIC といったプロトコルの接続パラメータ → クライアントが解析してローカル設定に書き込む。この間、パスワードの再入力は一切不要です。

つまり、リンクそのものが認証情報です。リンクを手に入れた人は、自分のクライアントに読み込ませるだけで、あなたとまったく同じノードを、あなたの通信量枠を使って利用できます。相手はあなたのログインパスワードを見ることも、見る必要もありません。相手にとっては、パスワードよりリンクのほうがよほど役に立つのです。

よくある漏洩経路を、発生頻度の高い順に挙げます：

1. 形式を変えたい、あるいは分流ルールを追加したいと思って、オンラインの「サブスク変換」サイトにリンクを貼ってしまう。
2. グループやフォーラムでスクリーンショットを添えて質問し、リンクやQRコードがそのまま写り込む。
3. クラウド同期されるメモ帳や付箋、ブラウザのブックマークに保存し、メインアカウントが乗っ取られると一緒に漏れる。
4. 共用パソコンや他人の端末でパネルにログインし、ログアウト時に履歴を消し忘れる。
5. QRコードを「友人の友人」に数日だけ貸す。

上位2つで大多数を占めます。とくにオンライン変換ツールは見えにくい存在です。求めているものがまさにあなたのリンクであり、受け取った側はこっそり控えておくこともできます。あなたは何も気づきません。

リンクの保管：すぐに実行できる6つのルール

以下のルールは特別なツールを必要とせず、今日からそのまま実行できます。

• ✅ サブスクリンクは自分の端末にだけ読み込み、読み込みが終わったらクリップボードを空にする。
• ✅ 一時的に共有する必要があるときは、サービスが個別のサブスクや一時リンクに対応しているか先に確認し、メインのリンクをそのまま送らない。
• ✅ リンクはパスワードマネージャーに保存するか、クラウド同期の対象外のローカルファイルに保存する。
• ✅ 端末ごとに個別に読み込み、読み込みが終わったら受け渡しに使ったチャット履歴やメールを削除する。
• ✅ スクリーンショットを送る前に必ずマスクする。QRコード、リンクの中間部分、トークン部分、どれも残さない。
• ❌ クラウド同期されるメモ帳、付箋、ブラウザのブックマークにリンクを保存しない。
• ❌ オンライン変換、オンライン速度テスト、QRコード装飾といった類のサイトにリンクを渡さない。

もう一つ、ルールというほどではないですが役に立つ習慣を。自分が何台の端末に読み込ませたかを覚えておきましょう。その数と実際の利用状況が合わなければ、サブスクを再発行すべきサインです。

公共Wi-Fiの本当のリスク：どこが危険なのかを切り分ける

「公共Wi-Fiは危険」という言葉はあまりに長く繰り返されてきたため、危険が具体的にどこにあるのか分からなくなっている人がほとんどです。先に結論を言うと、現在の主要なサイトはほぼ HTTPS 化されており、同じネットワークにいる見知らぬ人があなたの通信内容を見ることはできませんし、パスワードも見えません。本当の問題は別のところにあります。

リスク1：同じセグメントの端末からスキャンされる

同じネットワークにつながると、あなたとカフェにいる他の端末は同一の LAN 上に置かれます。相手はそのセグメントにどの端末がいて、どのポートが開いているかをスキャンできます。ファイル共有を有効にしていたり、AirDrop を「すべての人」に設定していたり、ポートを待ち受ける開発サーバーを動かしていたりすると、それが露出面になります。

リスク2：ホットスポット自体が偽物かもしれない

SSID は自由に偽装できます。店と同じ名前で電波の強いホットスポットを誰かが立てていた場合、端末が「既知のネットワークに自動接続」になっていると、気づかないうちにつながってしまうことがあります。つながった後で相手にできるのは通信の転送やログインページの偽装であり、HTTPS の解読ではありません。

リスク3：暗号化されていない通信はやはり平文

依然として少数のサイトや、一部アプリの画像・送信エンドポイントは HTTP で通信しています。その部分は同じセグメント内で読めてしまいます。見分け方は原始的ですが有効です。ブラウザのアドレスバーに鍵アイコンがあるかを見て、なければそこで何も入力しないことです。

対応策も3つだけで、どれも難しくありません：

1. 接続前にホットスポット名を確認し、一覧から電波が最強のものではなく、正確なものを選ぶ。
2. 「既知のネットワークに自動接続」を切り、ファイル共有を止め、AirDrop を「連絡先のみ」に変更する。
3. ネットバンキングや社内システムのような操作をするときは、先に VPN に接続し、その通信を暗号化トンネルに入れる。

こうした場面で VPN にできることは明確です。「自分の端末から出口ノードまで」の区間を暗号化トンネルで包み、同じセグメントの相手には暗号文しか見えなくします。すでに開いてしまったフィッシングページや、自分から入力した情報までは守れません。ツールはツールであり、判断まで代わってくれるものではありません。

DNSリーク：接続後に自分で確認する方法

接続後に検証しなければ、通信が本当にトンネルを通っているかは分かりません。チェックポイントは3つ、2〜3分で終わります。

1. 出口IPを確認する。任意のIP確認ページを開き、表示されるのがノード所在国のアドレスであれば正常です。自宅回線のアドレスのままなら、通信はプロキシを経由していません。
2. DNSリゾルバを確認する。DNSリークテストページを一度実行し、名前解決が出口側に沿っているか、それとも自宅回線のプロバイダのリゾルバに送られているかを見ます。後者なら DNS リークです。
3. タイムゾーンと言語を確認する。これはセキュリティの問題ではありませんが、ノードが本当に別の場所にあることの確認になり、クライアントが黙って直接接続に戻っていないかも分かります。

DNSリークの仕組みは説明しておく価値があります。トンネルが引き受けるのは IP 層の通信で、OS の DNS 問い合わせは別の経路です。クライアントが名前解決のリクエストまで一緒に引き受けていなければ、問い合わせは平文で地元プロバイダのリゾルバに送られます。結果として、アクセスした内容は暗号化されていても、どのドメインにアクセスしたかはリゾルバ側に丸見えになります。

対処法を優先順に並べます：

• クライアントで「リモートDNS」系のオプションを有効にする。呼び方はクライアントごとに異なり、Remote DNS、プロキシDNS、DNS over proxy などがありますが、指しているものは同じです。
• 分流ルールを確認する。ルールが DNS 問い合わせを直接接続の分岐に入れていると、リモートDNSを有効にしても意味がありません。名前解決もプロキシに任せる必要があります。
• OS 側でローカルの DNS アドレスを手動指定しないこと。それは漏洩のための固定経路を用意するのと同じです。
• QUIC ベースのプロトコル（Hysteria2、TUIC など）は、設定が正しければ名前解決自体が暗号化トンネルを通るため漏洩面は小さくなりますが、こちらもクライアント側でルールを正しく組むことが前提です。

登録とクライアント：入力不要な情報

このセクションの原則はひとつだけです。渡す情報は少ないほどよく、サービスに必要のない情報を入力することは、漏洩面をひとつ増やすことと同じです。

• ✅ 登録に必要なのはユーザー名とパスワードだけ。メールアドレスは不要で、連絡先の入力も求められません。
• ✅ パスワードはパスワードマネージャーで生成し、長さは最大にして、メールのパスワードとはまったく別のものにする。
• ✅ 支払い方法は自分の使いやすいものを選べばよく、Alipay、WeChat Pay、USDT のいずれも使えます。理由を説明する必要はありません。
• ❌ ニックネーム、メモ、サポートチケットの件名に、本名や会社名、よく使うメールアドレスの前半部分を書かない。
• ❌ 注文のスクリーンショットをサブスクリンクと一緒にグループへ貼って助けを求めない。スクリーンショットには注文番号が写っています。
• ❌ 第三者の「アカウント共有」「相乗り」サービス上で自分のアカウントにログインしない。

クライアント側で確認すべきことはもっと単純です。公式チャネルのクライアントを入れ、サブスクを読み込んだ後に追加の情報入力は求められないはずです。サブスクの読み込み以外に大量の個人情報を求めてくるクライアントは、接続に必要な範囲を超えて情報を集めています。

もう一点、パスワードの使い回しについて。多くの人はメールのパスワードと各種サービスのパスワードが同じで、どこかで1つ漏れるとメールまで失われます。メールはすべてのアカウントの復旧入口だからです。この2種類のパスワードを分けることは、もっとも低コストなセキュリティ強化です。

不正利用されたら：6ステップの対処順序

順番は行動そのものより重要です。パスワードを先に変えてサブスクの再発行を後回しにするのは、扉の鍵を替えて肝心の鍵を替えないのと同じで、相手はそのままあなたの通信量を使い続けられます。次の順番で進めてください：

1. まずサブスクリンクを再発行する。これが最も早く効きます。古いリンクは即座に無効になり、古いリンクでノードを取得していた相手はその時点で切断されます。
2. 次にアカウントのパスワードを変更する。ユーザーパネルにも侵入された疑いがあるなら、この手順は省けません。
3. 注文と支払い記録を確認する。自分が行っていない注文が存在しないかを確かめます。
4. 自分の端末すべてに再読み込みする。新しいリンクで1台ずつ読み込み、終わったら古い設定を削除します。クライアントが無効なアドレスで再試行を繰り返すのを避けるためです。
5. 漏洩経路を思い出す。どのグループにスクリーンショットを送ったか、オンライン変換ツールを使わなかったか、リンクをどこに保存したか。見つかるコピーはすべて削除します。
6. 通信量が大量に消費されているならサポートに連絡する。時間帯と行った対処を伝えるほうが、「通信量がおかしい」の一言だけよりはるかに有効です。

ついでに返金の範囲も明確にしておきます。VPNDM は14日間の理由不問返金に対応しており、これは購入判断そのものに向けた制度です。買ってみて合わなければ返金できます。ただし上記の6ステップの代わりにはなりません。アカウントの不正利用への対応が返金規定によって変わることはありません。

どのくらいの頻度で確認するか：頻度表

セキュリティの習慣は毎日意識する必要はなく、決めた頻度で実行すれば十分です。

確認項目	推奨頻度	やり方
出口IPとDNS解決	新しいネットワークに接続するたび	IP確認ページとDNSリークテストページを1回実行する
サブスクリンク	四半期に1回	再発行後、新しいリンクで全端末を読み込み直す
アカウントのパスワード	半年に1回	パスワードマネージャーで新しいパスワードを生成して置き換える
端末リスト	思い出したときに確認	読み込んだ端末を書き出し、数が合わなければサブスクを再発行する

この表でもっとも飛ばされやすいのが1行目です。多くの人はクライアントを設定したら二度と検証せず、ある日アクセス速度がおかしいと気づいたり、開いたページが地元の内容のままだと気づいたりしてから確認します。そのときには、問題がいつから存在していたのか分かりません。

端末数が無制限であることは、実はこの記事のテーマと直結しています。端末ごとに個別に読み込めるのですから、1本のサブスクリンクを使い回す理由はどこにもありません。個別に読み込み、個別に管理すれば、いざというときどの端末から漏れたのかも特定しやすくなります。

ここまでやれば、あとは習慣に任せるだけ

振り返ると、この記事で本当に覚えておくべきことは3つだけです。サブスクリンクはリンクではなく鍵であること。公共Wi-Fiのリスクは端末とホットスポット側にあり、暗号化そのものにはないこと。接続したら検証すること、そして検証してこそ意味があるということ。

ツールの部分は、クライアントとその背後にあるサービスに任せてしまいましょう。VPNDM は Windows、macOS、iOS、Android、Linux の5プラットフォームに対応したクライアントを提供し、転送層には量子暗号を採用、登録にメールアドレスは不要です。ここまでは製品側がやるべきことです。一方で、サブスクリンクを鍵として扱い、見知らぬネットワークではまず検証してから使う——これはあなたが数分でできることです。