そのVPNの「国」表示は本当か ─ 20社を実測した調査と、IPデータの読み方

VPNの「国」は誰が決めているのか

アクセスログに残ったIPアドレスを調べたら、バハマからの接続だった。地理的に不自然なので、国単位でブロックする。よくある判断です。

ただ、その「バハマ」を誰が決めたのかを考えたことはあるでしょうか。

VPNサービスの接続先一覧に並ぶ国名は、事業者が自分で付けたラベルです。IPアドレスの登録情報も、そのアドレスを保有する事業者が地域インターネットレジストリに自己申告した内容です。どちらも「そう名乗っている」という事実を示すだけで、通信が物理的にどこを通っているかを保証するものではありません。

実際には、バハマと表示される接続先の実体がマイアミのデータセンターにある、ということが起こります。これは仮想ロケーション（virtual location）と呼ばれる構成で、業界では珍しいものではありません。VPN事業者にも理由があります。現地に安定したデータセンターがない、法規制や押収のリスクがある、近隣国から出したほうが速くて安い、といった事情です。

問題は、その事実が利用者にもIPデータにも伝わらないまま流通することです。VPNのアプリが「バハマ」と表示し、レジストリの登録も「バハマ」で、それを取り込んだIPデータベースも「バハマ」と返す。誰も嘘をついていないのに、全員が同じ誤りを共有します。

この構図を実測で確かめた調査が、2026年にIPinfoから公開されています。以下はその内容を日本語で整理したものです。

20社を実測した調査結果

調査の方法は単純です。VPN事業者20社について、公式サイトの国一覧、アプリや設定ファイルの接続先情報を集め、実際に各拠点へ接続して出口のIPアドレスを取得し、世界中の計測拠点からの往復遅延でその出口が物理的にどこにあるかを判定する。申告と実測が一致するかを見る、という手順です。約15万件の出口IPアドレス、137カ国分が対象になりました。

結果として、20社のうち17社で、申告と異なる国から通信が出ていました。申告した国のすべてを実測で確認できたのは3社だけです。

もう1つ目を引くのが、38カ国は、どの事業者の接続先としても一度も実測できなかったという点です。サーバー一覧にも設定ファイルにもIPの登録情報にも存在するのに、実際の出口としては一度も観測されなかった国です。

具体例が分かりやすいので、2カ国を挙げます。

申告された国	実測された場所
バハマ	この国を提供していた5社すべてで、通信は米国から出ていました。最寄りの計測拠点（マイアミまたはニューヨーク）からの往復遅延は0.15〜0.42ミリ秒です。同じ都市の中にいなければ出ない数字です
ソマリア	2社が「モガディシュ」と明示していましたが、実測ではフランスのニースと英国のロンドンでした。いずれも最寄り拠点から0.3ミリ秒台です

往復遅延は物理法則に縛られます。光ファイバー中を信号が進む速度は決まっているので、マイアミの計測拠点から0.27ミリ秒で応答が返ってくるサーバーが、1,000キロ以上離れたバハマにあることはありえません。申告がどうであれ、通信の実体は測れば分かります。

IPデータベースも同じ誤りを引き継ぐ

ここからが、IPデータを業務で使う側にとって重要な部分です。

実測を行わないIPデータベースは、レジストリの登録情報やgeofeedといった自己申告を出発点にします。VPN事業者が「バハマ」と登録していれば、そのデータベースも「バハマ」と返します。VPN事業者の説明を、そのまま引き継ぐ形になります。

調査では、実測した国と、広く使われている既存のIPデータベースが返す国が食い違った736件について、両者の距離を測っています。

実測との距離	食い違った件数に占める割合
1,000キロ超	83%
2,000キロ超	63%
5,000キロ超	28%
8,000キロ超	12%

ずれの中央値は約3,100キロです。一方で実測側の根拠は明快で、判定した国の計測拠点からの最小往復遅延は中央値0.27ミリ秒、9割が1ミリ秒未満に収まっています。

この食い違いは、検知ルールの運用で見覚えのある形で現れます。いわゆる Impossible Travel です。同一セッションなのに、ファイアウォール、認証基盤、プロキシでそれぞれ違う国が記録される。短時間で移動不可能な距離を移動したことになり、アラートが上がる。

これはデータの誤りというより、各ログソースが参照しているIPデータの出どころと粒度が違うために起きます。片方が自己申告を引き継いだ値、もう片方が実測に基づく値であれば、食い違って当然です。どちらが現実に近いかを判断するには、その値が何を根拠にしているかを知る必要があります。

自己申告を出発点にするデータが悪いという話ではありません。用途によってはそれで十分です。自社が使っているIPデータが何を根拠にしているかを把握したうえで選ぶことが大事で、各製品の考え方はMaxMind GeoIPとIPinfoのページにまとめています。

1つのIPアドレスから何が読めるか

国が合っているかどうかは、判断材料の一部にすぎません。同じ国の同じ都市にあるIPアドレスでも、意味はまったく違います。

たとえばネットワークの性質は、ふるまいから読み取れます。次の図は、あるASNの1週間分の活動量をヒートマップにしたものです。上段は夜に向かって立ち上がり明け方に沈む消費者向けISP、下段は曜日も時間帯も関係なくほぼ一定のホスティング事業者です。所有者情報だけでは分からない違いが、活動のパターンとして現れます。

この見方は、申告された種別を疑うときにも使えます。ISPだと登録されているASNが、曜日も時間帯も関係なく一定の負荷で動いているなら、その申告のほうを疑う根拠になります。IPinfoも、ASNをISPとホスティングのどちらに分類したかの根拠として、この活動パターンを画面上に出すようになっています。人が使うネットワークは眠り、機械が使うネットワークは眠りません。

施設の情報も判断を変えます。IPアドレスが公共のWi-Fiに紐づいている場合、それがどういう施設なのかまで分かることがあります。従来のIPデータでは「シカゴ」としか出なかったアドレスが、「United CenterのWi-Fi」として識別される、という違いです。

同じ都市でも、データセンターとカフェのWi-Fiでは意味が違います。前者は自動化された通信の可能性が高く、後者は人が使っている前提で読めます。普段は自宅の回線からアクセスしているユーザーが突然空港のWi-Fiからログインしてきたなら、それは単なる位置の変化ではなく行動の変化として扱えます。

メーカーが2026年9月に開いたウェビナーでは、シアトル市内の10個のIPアドレスを1つずつ読み解く、という内容が扱われました。同じ都市の、見た目には似たようなアドレスでも、データセンター、公共施設のWi-Fi、モバイル回線、レジデンシャルプロキシと、返ってくる文脈は10件とも違っていました。都市名だけを見て同じ扱いにすると、この差は全部つぶれます。

そして、これらは組み合わせたときに効きます。カフェのWi-Fiに見えるIPアドレスでも、経路を確認すると海外のトンネルを経由していることがあります。「人が使っていそうな環境」と「不自然なネットワークの挙動」が同時に成立しているとき、偽装の可能性は高くなります。逆に、空港のWi-Fiからのアクセスでも経路が自然であれば、正当な利用として扱えます。従来なら一律に「海外からのアクセス」としてリスク扱いしていたものを、分けて考えられるようになります。

自分で確かめる方法

ここまでの話は、読んで納得するより自分で試したほうが早いです。いずれも無償で使えます。

ProbeNet Live では、世界各地の拠点から任意のIPアドレスへPingとTracerouteを実行できます。1日25回まで無償です。次の例では、ソウルから1.1ミリ秒、チュニスとファルケンベリから3.0ミリ秒という結果が出ています。地球の反対側から同時にこの数字が出るのは、このIPアドレスがAnycastで運用されているためです。

経路そのものも見られます。次はソウルの拠点から実行したTracerouteで、大阪、サンノゼ、アッシュバーン、パリを経てフランクフルトに到達しています。表示上の所在地と違う国を経由しているケースは、この画面で分かります。

個別のIPアドレスの画面には、位置を裏付けた計測の記録が残ります。どの拠点からいつ測って何ミリ秒だったか、が表示され、その場で同じ計測を実行することもできます。

このほか、検知しているVPNサービスの一覧では約250のサービスについてIPアドレス数と最終更新日が、TagsではVPNやTorなどタグごとの規模が公開されています。

自社のログに出てくるIPアドレスで、いくつか試してみてください。申告と実測が食い違う例は、思ったより簡単に見つかります。

ここで使っているデータや、プランごとに何が取得できるかは製品ページにまとめています。匿名化の中でも特に厄介なレジデンシャルプロキシについては、別の記事で詳しく書いています。

製品ページ
IPinfo｜IPアドレスの位置情報・匿名化検知
この記事で触れた実測の仕組み、取得できるデータの一覧、プランごとの違い、ライセンスの考え方をまとめています。






関連記事
レジデンシャルプロキシとは ─ 仕組みと悪用のリスク、検知の考え方
家庭の回線がどうやって集められ、何に悪用されているのか。実際のIPアドレスを120日追った結果と、ブロックリストが機能しない理由までを解説しています。