2026年末のロシアでVPNを使うことの本当のリスク

ロシアでは約40%の人々が現在VPNを利用しています。そのうち有料VPNの割合は、2024年から2026年の間に15%から48%へと上昇しました。何千万人もの人々がスマートフォンにVPNアプリを入れており、その多くは銀行の明細のどこかにサブスクリプションの請求を抱えています。そのアプリとその請求が、いったい何を代償にもたらすのかと問う理由が、一人ひとりにあるのです。

2026年11月の時点で、ロシアにおいてVPNの利用は違法ではありませんし、VPNの料金を支払うことも違法ではありません。国家院（ドゥーマ）情報技術委員会の副委員長であるアントン・ゴレルキン氏は、2026年2月に、VPN利用に対する罰金は予定されておらず、議論すらされていないと述べました。2026年10月28日にイズベスチヤ紙が掲載した弁護士による解説も、同じ結論に達しています。

リスクは、接続という行為そのものから離れました。現在リスクが存在するのは、二つの場所です。一つは、VPNの利用に付随するもの、たとえば検索や刑事訴追です。もう一つは記録です。支払い記録、顧客リスト、接続ログは何年も保管され、記録が作られた時点では存在しなかった規則のもとで、後から読まれる可能性があります。そのような規則のうち三つが、過去14か月の間に施行されました。

ロシアでVPNの使用は違法なのか？

いいえ。法律が処罰する対象はもっと限定的で、細部が重要になります。

2025年9月1日から、連邦法281-FZによって追加された行政違反法典第13.53条が、連邦過激派資料リストに掲載された資料を意図的に検索し、アクセスする行為を処罰します。罰金は3,000〜5,000ルーブルで、この条項はVPN経由の検索も対象とする形で書かれました。最初の罰金3,000ルーブルは、2025年12月10日にカメンスク・ウラリスキーの住民に科されました。ムィスキーの16歳の少年は2026年初めに未成年委員会から同額の罰金を科され、2026年11月12日には裁判所がドミトロフの住民に罰金を科しました。こうした罰金の総数は公表されていません。

同じ一括法案により、VPNサービスの広告も違反となり、企業には最大50万ルーブルの罰金が科されます。2024年3月以降、回避ツールを普及させる情報の掲載は、掲載者へのブロックの根拠となります。VPN事業者にも独自の規則が課されています。国のブロックリストへの接続を拒否するサービスは、それ自体がブロックされます。ロスコムナドゾールは、2026年2月下旬までに469件のVPNサービスをブロックしたと報告しており、2025年10月の258件から増加しています。2026年11月時点で、秋の公式数字は公表されていません。

夏に出た一つのうわさについては、決着がついています。2026年7月7日、デジタル開発省は、VPNトラフィックを含む海外トラフィックへの課金を検討しているという報道を否定しました。

並べて比較すると、VPNユーザーやVPNの支払いに触れる規則は次のようになります。当社のロシアのVPN規則一覧では、変更のたびに追跡しています。

3行目が最も読み違えやすい行です。刑法にツール自体が現れるのはこの行だけだからです。

「VPNを加重事情として扱う」とは、実際にはどのような意味か？

加重事情とは、罪そのものを構成するわけではないが、裁判所がより重い刑を科すことを可能にする事実のことです。2025年7月31日の連邦法第282-FZ号は、刑法第63条第1項にそのような事実を一つ追加しました。これはローマ字表記では「f」、ロシア文字では「ф」にあたる項目で、2025年9月1日から施行されています。その文言は「アクセスが制限されている情報資源および情報通信網へのアクセスを可能にするソフトウェアおよびハードウェア手段を用いて犯罪を犯したこと」を対象としています。検察庁は2025年9月12日に独自の解説を公表しました。

この項目の適用範囲を決める特徴は二つあります。第一に、総則に位置づけられているため、あらゆる犯罪に適用され得るということです。第二に、適用の対象となる犯罪が別に必要だということです。VPNを使っても犯罪を犯していない人は、この項目の対象外です。この項目はVPNを名指ししてはいません。ツールのカテゴリーを記述しており、ブロックされたリソースにアクセスするために使われたVPNは、その記述に該当します。

この法律は施行から14か月しか経っておらず、判例として知られているものはごくわずかです。2026年4月、Verstkaはこの項目が適用された最初の二つの判決を見つけましたが、いずれも薬物事件でした。トゥーラ州ノヴォモスコフスクでは、2025年12月、ある男性がVPN経由でブロックされた販売サイトにアクセスしたとして、矯正コロニーでの懲役1年8か月の刑を言い渡されました。コミ共和国のウフタでは、2026年2月の判決で執行猶予付き3年の刑が下されました。MeduzaおよびNovaya Gazeta Europeの報道によると、使用されたツールがVPNだったのかTorだったのかは不明です。OVD-Infoは当時、この項目が使われた政治事件を知らないと述べていました。

この項目と並べて知っておくべき動きが二つありますが、いずれも法律ではありません。2026年10月28日、大統領人権評議会のメンバーであるエヴァ・メルカチェワ氏は、Fontankaに対し、捜査官が裁判所に勾留を求める際、VPNの使用や消えるメッセージを「秘匿の手法」として挙げていると語りました。彼女の証言は逸話的なもので、事件の件数は示されていません。これは勾留審理に関する話であり、項目「f」とは別の問題です。2026年7月28日、捜査委員会の長であるアレクサンドル・バストルイキン氏は、情報技術が犯罪の主な手段である場合に、AI、VPNおよびプロキシの使用を新たな加重事情とする法案が準備されたと述べました。2026年11月の時点で、法案の番号は国家院で公表されていません。現時点では提案にとどまっています。

一般の利用者にとって、この項目が問題になるのは、刑事訴追を受けた場合だけです。VPNの使用だけでは何も生じません。しかし、いかなる種類であれ訴追を受けたとき、端末や事件記録にVPNがあることは、検察側が利用できる材料になります。

VPNの支払いには何が残るのか？

アプリは削除できますが、支払い記録は削除できません。多くの場合、VPN契約の痕跡として最も長く残るのが支払い記録です。

ロシアでは、この痕跡は国内に残ります。VisaとMastercardは2022年3月にロシアでの業務を停止したため、ロシア発行のカードでは海外の加盟店に直接支払うことができません。Mirカードや、中央銀行の即時決済システムであるSBP経由での支払いをうたう海外サービスには、したがって、その経路のどこかにロシア側の接点が存在します。公開報道では、こうした接点を類型別に説明しています。店舗やボットの背後にいるロシアのアクワイアラー（加盟店契約業者）、ルーブルを受け取り海外で決済する決済代行業者、再販マーケットプレイス、個人への国内送金などです。いずれの場合も、顧客が支払った時点では資金はロシアの決済インフラ上にあります。海外のブランド名が現れるのはその後です。

この接点を読み取れるのは3つの層です。

新しく加わったのは中間の層です。法律461-FZは2026年9月1日に施行され、この日以降、金融監視当局は各銀行に個別に照会する必要がなくなりました。その対象となる規模は大きく、SBPだけでも2026年第1四半期に47億件、26.5兆ルーブルの取引を処理しています。

この市場の販売者は、中立的な加盟店名を用いたり、無関係な企業や個人への送金のように見える請求を表示したりすることで、目立たなさを演出していることがよくあります。しかし台帳のレベルでは、それは見せかけにすぎません。銀行もNSPKも、表示名が何であれ、受取人を登録された法人または確認済みの個人に結び付けます。アレクセイ・ナワリヌイの腐敗防止財団FBKへの寄付をめぐる刑事事件では、捜査当局が銀行明細を繰り返し現れる加盟店識別子によって突き合わせました。同じ受取人への同額の毎月の支払いは、それ自体がサブスクリプションのパターンを形成します。

実際に誰かがVPNの契約について台帳を照会するかどうかは、別の問題です。それを裏付ける資料はなく、VPNの支払いを理由とする起訴はどこにも記録されていません。現在ではロシアのVPNユーザーの半数近くが支払いを行っており、照会されうる記録は数千万人分に及びます。

予想されていた規則の一つは成立しませんでした。2026年春、業界報道は「Antifraud 2.0」法案の下でロシアのカードによるVPN支払いの禁止が見込まれると伝え、少なくとも1社の大手ロシアのアクワイアラーがVPNプロバイダーの取扱いを停止したと報じられました。この法案は2026年6月26日の法律210-FZとなりましたが、公表された法律の概要にVPN支払いに関する規定は含まれていません。2026年11月時点で、そのような禁止は成立していません。

誰にお金を支払うかが問題になるのか？

支払いの記録には両端があり、支払う側よりも受け取る側のほうが重要になることがあります。ロシア法は一部の受け取り手を他と大きく異なる形で扱っており、支払う側を罰する規則もあれば、受け取り手にのみ影響する規則もあります。

混乱が最も大きいのは「外国エージェント」です。外国エージェントへの支払いや外国エージェントからの購入を罰する法律は存在しません。VPNサービスが初めて外国エージェント登録簿に載ったのは2023年11月のことです。当時Fontankaの取材に応じた弁護士らは、「外国エージェントと金銭的な関係を持つことは禁止されていない」と述べています。そのうちの一人は、この分野での執行は「まったくの恣意的なものだ」と付け加えました。存在する金銭面の規則はエージェント側を縛るものです。2025年3月1日以降、不動産の売却や賃貸料、知的財産への支払い、利息や配当といったロシア国内からの収入は、登録簿から外れるまで凍結されたままの特別ルーブル口座に振り分けられます。給与や報酬はこの対象外です。2026年11月時点で、支払う側を制裁する規則はありません。

支払う側に及ぶ指定もあります。「好ましくない」組織への資金提供は、刑法第284.1条第2項により犯罪です。2026年2月、クセニア・ベロワは、アラトラ運動の活動家の銀行カードに15万ルーブルを送金したとして、開放型矯正コロニーでの1年6か月の刑を言い渡されました。送金は個人カード宛てでしたが、裁判所はこれを組織への資金提供と認定しました。彼女は、お金の用途について騙されていたと述べましたが、裁判所はそれを「弁護戦術」として扱いました。

「過激派」指定組織への資金提供は、刑法第282.3条により犯罪です。Mediazonaは、2026年4月21日までにFBKへの寄付をめぐり、64の地域で少なくとも225件の刑事事件が起きたと集計しています。これが最新の完全な集計です。金額はごく小さいこともあります。2026年10月、モスクワの住民アイヌーリンさんは、2,100ルーブルの寄付で懲役3年を言い渡されました。2026年11月12日、検察はレオノビッチ事件で懲役5年を求刑しました。起訴された支払いの中には、指定が効力を持った後に到着した自動課金も含まれていました。寄付者たちは、解約済みか、意識して設定した覚えのないサブスクリプションだと述べています。

第三の仕組みは受け取り手に影響し、支払いを止めるものです。ロシア金融監視庁（ロスフィンモニタリング）はテロリストと過激派のリストを管理しており、2026年10月時点で約23,000人の個人と900の組織が載っていました。有罪判決を待たず、起訴の段階でリストに追加されます。口座は制限され、銀行は資金を凍結します。リスト掲載者への送金自体は犯罪とはされていませんが、銀行がそれをブロックします。

これらの規則はいずれもVPNに関するものではなく、VPNの購入をこれらのいずれかに結びつけた事例はありません。それでも、国の監視下にある販売者が、なぜ買い手にとって好ましくない取引相手なのかを説明しています。買い手の支払い記録は、国が調査している人物の金融ファイルの中に置かれることになり、そのファイルは別のものを探している人々に読まれます。指定は後から適用されることもあり、寄付事件は、指定後も続いた支払いが起訴されたことを示しています。リスト掲載者への支払いは銀行にブロックされ、買い手はサービスを受けられなくなります。グレーな仲介者の台帳も、持ち主が変わることがあります。2024年に中央銀行がQIWI銀行のライセンスを取り消した際、その記録は捜査当局に渡りました。

メッセンジャー上の個人販売者は別のケースです。こうした販売者からVPNを購入すること自体を対象とする法律はありません。そこで述べられているリスクは、詐欺や恐喝、「刑事条項」を持ち出す脅しです。その裏付けは薄く、弁護士の質疑応答ページに限られています。

流出したデータベースや複製されたデータベースでVPN利用者が特定されることはあるのか

銀行の帳簿は一種の記録です。顧客リスト、登録者リスト、クライアント台帳は別の種類の記録であり、これらが国家の手に渡る経路は二つあります。一つは流出です。もう一つは、2026年4月1日以降、合法的な複製です。

流出データについて、法的な立場は明確です。2026年11月時点で、ロシア警察が流出したデータベースを人物の特定や証拠として使用することを認める法律は存在しません。これを認めた公布済みの法律、政令、最高裁判決、国家院（ドゥーマ）の法案はいずれもありません。

この慣行は最近の法律より前から存在していました。2021年8月17日、OVD-Infoによれば、警察は、スマート投票の登録者データベースとナワリヌイ支持者のデータベースの流出版に住所が載っていたモスクワ市民を自宅を訪れました。2025年2月には、FBKに3500ルーブルを寄付したとして起訴された年金受給者の事件で、流出したスマート投票のリストが本人の特定に使用されたと伝えられています。ただし主な証拠となったのは支払い関係の書類でした。この報道は単一の媒体の報告に基づくものです。2025年9月、Mediazonaはドミトリー・レグーシュ事件の報道の中で、治安機関がこれらの流出データを補助的な証拠として使用していると書いています。これは類似事件に対するMediazonaの解釈であって、裁判所の認定ではありません。これらはすべて実務に関する報道であり、法的な許可を示すものは一つもありません。

流出データをめぐる法制度は、むしろ逆の方向に動きました。2024年12月11日以降、刑法第272条の1により、違法に入手した個人データの使用、譲渡、収集、保管が犯罪とされています。刑罰は最長4年で、加重事由がある場合は最長10年です。この条項はデータベースの売買業者に適用されています。2025年7月、モスクワの裁判所は、データベース売買の事件で7名を拘置所への収容または在宅軟禁としました。この中には内務省データセンターの職員とされる人物が含まれていました。この条項の注記が捜査機関自身による使用について何かを定めているかは、確定していません。

新たな権限は合法的なデータベースを対象とするもので、流出データについて述べられた内容よりはるかに広いものです。2026年4月1日以降、FSBの機関は、ロシアのあらゆる組織のデータベースの複製またはその一部を、無償で取得できます。さらに裁判所の決定も不要です。命令はFSB長官、その代理官または地方FSB局長が発し、対象のデータベースにはFSBが職務に必要とする情報が含まれていなければなりません。この改正案は2025年12月16日に国家院（ドゥーマ）で可決され、2026年4月1日に施行されました。複製は、取得目的が達成された後に破棄されることになっています。メディアのAgentstvoによれば、破棄が実際に行われているかを確認する仕組みは存在しません。これ以前は、組織のデータベースへのアクセスは、SORMなどの分野別の制度を除き、一般に裁判所の決定を必要としました。この権限がVPN利用者の特定に使用されたという報告はありません。

複製されたデータベースは、氏名が削除されていても、断片だけが含まれていても意味を持ちます。再識別に関する研究はその理由について一貫した結論を示しています。2008年、NarayananとShmatikovは、映画評価の「匿名化」済みNetflix Prizeデータセットを取り上げ、公開されているIMDbの評価データと照合することで利用者を再識別しました。2015年、Science誌に掲載された研究は、110万人の3か月分のカード取引を調べ、大まかな場所と日付の情報だけを伴う4件の取引で、90パーセントの個人を再識別できたことを発見しました。金額まで分かれば特定はさらに容易になります。この知見は、あらゆる大規模な取引データセットに当てはまります。氏名を削除してもカードは匿名にはなりません。

どのケースでも構造は同じです。データセットに身元を裏付ける情報源が組み合わさると、人は再識別されます。ロシアの再販業者の顧客リスト、決済代行業者の帳簿、クラウドプロバイダーのクライアント台帳、流出した登録者リストは、いずれもデータセットです。すべての支払人をパスポートに結び付ける銀行の記録は、身元を裏付ける情報源です。

ロシアのホワイトリストを通してトンネルするVPNには、なぜ独自のリスクがあるのか？

データベースの権限はロシアの組織に適用されます。2025年以降、一部のVPN構成はまさにそうした組織に依存するようになりました。その理由はモバイル通信の遮断です。

地域単位のモバイルインターネットの大規模遮断は、2025年5月に、公式にはドローン対策として始まりました。2025年7月8日には、77の地域で1日以内に遮断が報告され、その月だけで少なくとも2,099回の遮断が記録されました。監視プロジェクトNa Svyaziの調査によると、2026年までにロシアの国際的に承認された83の地域すべてが少なくとも1回は遮断を経験しています。2026年上半期のモバイルデータ通信量は前年同月比で22%減少し、被害が最も大きかったイワノボを含む地域では40%以上減少しました。

遮断中もアクセス可能なままなのがホワイトリストです。これはデジタル開発省が2025年9月に最初に公開した、承認済み国内サービスの登録簿で、当初は数十件でした。2026年4月までに500件を突破しています。報道された中核部分は、政府ポータル、VKとYandexのサービス、Mir決済システム、大手銀行、マーケットプレイスです。ホワイトリスト方式は検閲を「禁止リスト」から「許可リスト」へと反転させるため、新規のもの、外国のもの、未承認のものはすべてデフォルトでブロックされます。この仕組みの物理的な側面については、SberとVKのデータセンター攻撃とホワイトリストに関する記事で取り上げています。

一部のVPN構成は、ロシアのクラウド内でレンタルしたサーバーなど、それ自体がホワイトリストに登録されたインフラを経由することで、このモードでもアクセス可能なまま維持されてきました。この手法が広く行われていたことを示す最も明確な証拠は、国家が2026年に3回も対応したことです。

8月31日以降、4回目の公式対応は確認されていません。2026年9月と11月に遮断の波が報告されましたが、それらの帰属は不確かです。2026年9月の遮断の波に関する記事で、判明していることをまとめています。

これらの対応はいずれも機能していた接続を一夜にして切断したため、そのような経路の問題の一つは可用性です。より大きな問題は法的なものです。ホワイトリスト登録済みのロシアのプラットフォームを経由してルーティングすると、ロシアの法人が経路上に存在することになり、ロシア法はそのような法人が果たすべき義務を明確に定めています。

右側の列は、どの経路でも安全だという意味ではありません。利用者自身のロシアの通信事業者も、同じ規則の下で接続メタデータを1年間保存しています。この比較が示しているのは、強制され得る企業がどこに位置するかだけです。

左側の列の企業には実績があります。Novaya Gazeta Europeの調査では、全プラットフォームを通じて投稿やミームに関する3万件を超える事例が数えられ、行政事件の約80%、刑事事件の約46%にVKが関わっていました。文書化された引き渡しの例には、被告のIPアドレスによる完全なログイン履歴が含まれます。Yandexは2024年に77,979件の政府からのデータ要求を受け、74%に応じたと報告しています。2026年4月には、Yandexのクラウドが国家指示によるクライアントのブロックを標準契約に明記しました。2026年4月1日以降、裁判所なしでデータベースを複製できるFSBの権限は、これらの組織のすべてに適用されます。

この先何が変わる可能性があるのか？

2026年11月時点で4つの措置が検討中であり、いずれもまだ法律になっていません。

2026年7月のバストルイキン提案は、AI、VPN、プロキシを対象とする2つ目の、より広範な加重事由を追加するものです。国家院（ドゥーマ）では法案番号が公表されていません。法案が現れた場合、その文言から、既存の条項「f」が拡大されるのか、複製されるのかが明らかになります。

「アンチ詐欺3.0」パッケージはデジタル開発省の草案であり、パブリックコメント期間は2026年10月15日に終了しました。CNewsの報道によると、この草案は、場合によっては2028年3月1日から、VPNサービスの運営者にロシアのホスティングの利用を禁じる可能性があります。これはプロバイダーと、ホワイトリストルーティングが依存しているロシア側のリレーの両方に影響します。

ホワイトリストへの登録に関する最初の正式な規則は、2026年10月に草案が作成されました。CNewsは10月5日の報道で、規則の発効日は不明であると伝えています。それまでの間、登録と削除は非公式なままです。

4つ目は支払いに関するものです。ロシアのカードでVPNを支払うことへの禁止は成立しておらず、銀行システムへのリモートアクセスを求めたFSBの要求が報じられていますが、これは2027年を視野に入れたものであり、公表された文書はありません。

ロシアでVPNを利用する人にとって、これらは何を意味するのか

基本線は2年間にわたる新しい立法の中でも維持されてきました。ロシアでVPNを利用することは違法ではなく、VPNの料金を支払うことも違法ではなく、VPNの支払いを理由とした起訴事例は記録上存在していません。

しかし、この基本線をめぐるルールは、2025年9月以降3回変更されています。2025年9月1日以降は、VPNが刑事量刑を重くする要因となり得るようになり、2026年10月のある証言では、捜査当局が勾留を請求する際にこれに言及したとされています。2026年4月1日以降は、FSBが裁判所の許可なしにあらゆるロシアの組織のデータベースを複製できるようになりました。2026年9月1日以降は、支払いの流れが中央で、クライアントへの通知なしに読み取られるようになっています。これらのルールはいずれも記録や状況に関するものであり、VPNの利用それ自体に関するものではありません。

だからこそ、ツールと同じくらい相手方が重要になるのです。支払いを受け付ける、リレーをホストする、サブスクリプションを再販するといったチェーン上のロシアの事業者はすべて、ロシア法の下でユーザーに関する記録が保管される場所となります。捜査対象となっている、あるいは指定を受けた販売者の場合は、その販売者自身のファイルが状況に加わります。寄付関連の事例が示すように、ロシアの実務では新しい指定の下で古い記録が読み直されるため、2026年に合法的に作られた記録が2026年のルールの下で読まれるとは限りません。

したがって、2026年末のロシアにいる人にとって、リスクの中心は接続そのものではほとんどありません。それは、誰に支払いをしたか、どのロシア企業を通したかという記録の蓄積、そして何らかの事件が開かれた場合にその記録が何と並んで扱われるかという点にあります。

未決の措置のいずれかが動いた場合、VPN購入者に対する支払いに基づく執行の記録された事例が現れた場合、または裁判所が薬物事件以外に「f」号の適用を始めた場合には、このページを更新します。その他の記事はロシアの国別ページにまとめられています。