ISP はあなたの何を見ているのか

インターネットサービスプロバイダ (ISP) は、あなたがインターネットに接続するための入口を提供する存在です。すべてのトラフィックは ISP のネットワークを経由するため、ISP は技術的にかなりの範囲の通信情報にアクセスできる立場にあります。

多くのユーザーは「自分の通信は暗号化されているから安全だ」と考えがちですが、HTTPS/TLS で暗号化されるのは通信の中身 (ペイロード) だけであり、通信先のドメイン名や接続時刻といったメタデータは ISP から丸見えです。この事実を正確に理解することが、プライバシー保護の第一歩になります。

まずは IP 確認さんで自分の接続情報を確認してみてください。表示される IP アドレスや ISP 名は、あなたの通信がどの事業者を経由しているかを端的に示しています。

ISP が収集できる情報の具体的な範囲

ISP が技術的に取得可能な情報は、暗号化の有無によって大きく異なります。ここでは、HTTPS 通信と非暗号化通信のそれぞれについて、ISP が把握できる範囲を整理します。

HTTPS 通信の場合

2020 年代の Web トラフィックの大半は HTTPS で暗号化されています。この場合でも、ISP は以下の情報を取得できます。

  • 接続先のドメイン名 (SNI: Server Name Indication から読み取れる)
  • 接続の日時とタイムスタンプ
  • 通信のデータ量 (アップロード・ダウンロードのバイト数)
  • 接続先サーバーの IP アドレス
  • 通信の頻度とパターン (どの時間帯にどれだけ通信しているか)
  • DNS クエリの内容 (暗号化 DNS を使用していない場合)

つまり、ISP は「あなたが example.com にアクセスした」という事実は把握できますが、「example.com のどのページを見たか」「フォームに何を入力したか」までは分かりません。

非暗号化通信 (HTTP) の場合

暗号化されていない HTTP 通信では、ISP は上記に加えて以下の情報も閲覧可能です。

  • アクセスした URL の完全なパス (ページ単位の閲覧履歴)
  • フォームに入力したデータ (ログイン情報、検索クエリなど)
  • ダウンロードしたファイルの内容
  • メールの本文 (暗号化されていないメールプロトコルの場合)

HTTP のみのサイトはすでに少数派ですが、IoT デバイスや古いアプリケーションの中には依然として非暗号化通信を行うものがあります。IoT セキュリティの観点からも、家庭内のすべてのデバイスの通信状況を把握しておくことが重要です。

DNS クエリから分かること

DNS クエリは、ユーザーの閲覧行動を最も詳細に映し出す情報源の一つです。従来の DNS は平文で送受信されるため、ISP はあなたがアクセスしようとしたすべてのドメイン名を記録できます。

たとえば、あなたが医療情報サイト、転職サイト、特定の政治団体のサイトにアクセスした場合、ISP はその DNS クエリから「健康上の懸念がある」「転職を検討している」「特定の政治的立場を持つ」といった推測が可能になります。DNS リークの問題は、VPN 利用時にも発生し得るため注意が必要です。

ISP がデータを収集する目的

ISP が通信データを収集・保持する背景には、複数の目的が存在します。単なる技術的な必要性にとどまらず、ビジネス上の動機や法的義務が絡み合っています。

法的義務としてのデータ保持

多くの国では、ISP に対して一定期間の通信記録 (メタデータ) の保持を法律で義務付けています。日本では電気通信事業法に基づき、通信の秘密が保護される一方で、捜査機関からの令状に基づく通信記録の開示義務があります。

EU では 2006 年のデータ保持指令 (後に EU 司法裁判所が無効と判断) 以降も、各国が独自のデータ保持法を運用しています。オーストラリアでは 2015 年のメタデータ保持法により、ISP は 2 年間の通信メタデータ保持が義務付けられています。プライバシー関連法規の動向は国ごとに大きく異なるため、自国の法制度を把握しておくことが重要です。

ネットワーク管理とトラフィック制御

ISP はネットワークの安定運用のために、トラフィックの種類と量を監視しています。帯域の逼迫時には、動画ストリーミングや P2P 通信など特定のトラフィックに対して帯域制限 (スロットリング) を適用することがあります。

この「トラフィックシェーピング」は、ネットワーク管理上の合理的な措置とされる一方で、ネットワーク中立性 (ネットニュートラリティ) の観点からは議論の対象です。ISP がトラフィックの種類を識別するためには、DPI (Deep Packet Inspection) と呼ばれる技術が用いられます。

広告・マーケティング目的

一部の ISP は、収集した閲覧データを広告ターゲティングに活用しています。米国では 2016 年に FCC が、閲覧履歴などの機密性の高い情報を第三者に提供する際に利用者の事前同意 (オプトイン) を求めるブロードバンド事業者向けのプライバシー規則を採択しました。しかし 2017 年 4 月、議会審査法 (Congressional Review Act) に基づく決議 (S.J.Res. 34) が可決・署名され、この規則は施行前に撤回されました。プライバシー擁護団体はこの撤回を強く批判しています。

日本では電気通信事業法の「通信の秘密」規定により、ISP が通信内容を広告目的で利用することは原則として禁止されていますが、匿名化・統計化されたデータの活用については法的なグレーゾーンが存在します。広告トラッキングは ISP レベルでも行われ得るという認識が必要です。

DPI (Deep Packet Inspection) の仕組みと脅威

DPI は、ネットワークを流れるパケットのヘッダーだけでなく、ペイロード (データ本体) まで検査する技術です。ISP がトラフィック管理や法的義務の履行に使用する一方で、プライバシーに対する深刻な脅威にもなり得ます。

DPI で可能になること

  • トラフィックの種類の識別 (動画ストリーミング、VoIP、P2P、VPN など)
  • 特定のアプリケーションやプロトコルの検出とブロック
  • 暗号化されていない通信の内容の閲覧
  • 暗号化通信であっても、トラフィックパターンからサービスの種類を推測

暗号化通信に対する DPI の限界

HTTPS や VPN で暗号化された通信に対しては、DPI はペイロードの内容を直接読み取ることはできません。しかし、トラフィック分析 (Traffic Analysis) と呼ばれる手法により、パケットのサイズ、タイミング、頻度といったパターンから、利用しているサービスの種類をある程度推測できます。暗号化が隠すのはパケットの中身だけで、「いつ・どちら向きに・どれだけ」流れたかという形は隠さないためです。

たとえば、動画ストリーミングは大容量の連続的なダウンロードトラフィックを生成し、VoIP 通話は小さなパケットが一定間隔で双方向に流れるという特徴があります。こうしたパターンは暗号化しても隠せないため、ISP は「何を見ているか」は分からなくても「何をしているか」はある程度推測できるのです。

VPN トラフィックの検出

DPI は VPN トラフィック自体を検出することも可能です。中国のグレートファイアウォールやロシアの TSPU (Technical Means of Countering Threats) は、DPI を用いて VPN 接続を識別・遮断しています。これに対抗するため、一部の VPN プロバイダは通信を通常の HTTPS トラフィックに偽装する「難読化 (Obfuscation)」技術を実装しています。

ISP の監視から身を守る 6 つの実践的対策

ISP によるデータ収集を完全にゼロにすることは、ISP のネットワークを経由する以上不可能です。しかし、収集される情報の範囲を大幅に縮小することは十分に可能です。以下に、効果の高い順に対策を紹介します。

1. VPN の常時利用

最も効果的な対策は、信頼できる VPN を常時利用することです。VPN を使用すると、ISP から見えるのは「VPN サーバーへの暗号化された接続」だけになり、接続先のドメイン名や通信内容は一切把握できなくなります。

ただし、VPN プロバイダ自体が新たな「信頼すべき第三者」になる点には注意が必要です。ノーログポリシーを掲げ、第三者監査を受けているプロバイダを選択してください。VPN キルスイッチを有効にしておくことで、VPN 接続が途切れた際の IP アドレス漏洩も防げます。

2. 暗号化 DNS の導入

DNS over HTTPS (DoH) または DNS over TLS (DoT) を使用することで、DNS クエリを暗号化し、ISP による閲覧先ドメインの把握を防止できます。主要なブラウザ (Chrome、Firefox、Edge) はいずれも DoH に対応しており、設定から有効化できます。

Firefox では「設定 → プライバシーとセキュリティ → DNS over HTTPS」から、Chrome では chrome://settings/security の「セキュア DNS を使用する」から設定可能です。OS レベルで設定すれば、ブラウザ以外のアプリケーションの DNS クエリも暗号化できます。

3. HTTPS の徹底

ブラウザ内蔵の HTTPS-Only モード (HTTPS 優先モード) を有効にし、すべての通信を HTTPS 経由に強制してください。Chrome、Firefox、Edge のいずれもこの機能を標準搭載しています。かつて EFF が公開していた拡張機能 HTTPS Everywhere は、主要ブラウザが同等の機能を内蔵したことを理由に提供を終了しました。EFF 自身も「HTTPS を既定にするために HTTPS Everywhere はもう必要ない」として、ブラウザ内蔵の HTTPS-Only モードへ移行するよう案内しています。拡張機能を探すのではなく、ブラウザの設定画面を確認するのが正しい手順です。

4. ECH (Encrypted Client Hello) の活用

TLS 接続時の SNI (Server Name Indication) は、従来は平文で送信されていたため、ISP が接続先ドメインを把握する手がかりになっていました。ECH (Encrypted Client Hello) は、この SNI を暗号化する技術で、2026 年 3 月に RFC 9849 として標準化されました。

Cloudflare は Free プランを含むゾーンで ECH を既定で有効にしており、Firefox は DNS over HTTPS が有効な環境で ECH を使用します。ECH が普及すれば、ISP が HTTPS 通信から接続先ドメインを特定することは格段に困難になります。

5. Tor ブラウザの利用

最高レベルの匿名性が必要な場合は、Tor ブラウザの利用を検討してください。Tor は通信を複数のリレーノードを経由させ、多層暗号化を施すことで、ISP を含むいかなる単一の観測者にも通信の全体像を把握させない設計になっています。

ただし、Tor の利用自体が ISP に検知される点は認識しておく必要があります。Tor トラフィックを隠したい場合は、Tor over VPN (VPN 接続後に Tor を使用) という構成が有効です。

6. メタデータの最小化

技術的な対策に加えて、そもそも生成するメタデータを減らすことも重要です。不要なアプリのバックグラウンド通信を制限し、使用していないデバイスの Wi-Fi を切断し、プライバシー重視の検索エンジンを利用することで、ISP に渡る情報の総量を削減できます。

ISP のデータ収集をめぐる技術と法制度の動き

ECH の普及と ISP の対応

Encrypted Client Hello (ECH) の普及により、ISP が TLS ハンドシェイクから接続先ドメインを特定する従来の手法が無効化されつつあります。大手 CDN のなかでも Cloudflare は Free プランのゾーンで ECH を既定で有効にしており、DNS over HTTPS を有効にした対応ブラウザから Cloudflare の背後にあるサイトへアクセスする場合、経路上の観測者が SNI から本来の接続先ドメイン名を読み取ることはできません。

これに対し、一部の ISP は ECH をブロックする動きを見せています。ECH がブロックされた場合、ブラウザは ECH なしの従来の Client Hello で再試行するため、結果的にドメイン名が露出します。RFC 9849 はこの再試行の手順自体を仕様として定めるとともに、ECH を使わない接続にもダミーの ECH 拡張を付けて送る仕組み (GREASE ECH) を用意しています。ECH を使っている接続だけを見分けて狙い撃ちすることを難しくするための設計です。

日本における通信の秘密と法改正の動き

日本では電気通信事業法が通信の秘密を保護しており、ISP が通信の内容や通信の存在を他人に知らせたり、自ら利用したりすることは原則として認められません。この原則があるため、ISP がマルウェア通信の検知やボットネットの遮断といったセキュリティ目的でトラフィックを分析する場合も、利用者の同意など個別の根拠が必要になります。

国際的な枠組みとしては、欧州委員会が 2019 年 1 月に日本の個人情報保護水準について GDPR に基づく十分性認定を行い、EU から日本への個人データ移転が容易になりました。国内では個人情報保護法により、個人データの漏えい等が発生して個人の権利利益を害するおそれがあるときは、個人情報保護委員会への報告と本人への通知が義務付けられています。ISP が保有する通信ログも個人データを含み得るため、この義務の対象になり得ます。通信の暗号化技術を体系的に学びたい方には、暗号技術の入門書も参考になります。

QUIC プロトコルと ISP の可視性

HTTP/3 の基盤である QUIC プロトコルは、接続の確立から暗号化までを統合しており、従来の TCP + TLS よりも ISP に露出する情報が少なくなっています。ただし、QUIC の接続 ID (Connection ID) 自体はヘッダーに平文で現れるため、経路上の ISP から見えなくなるわけではありません。QUIC では新しい接続 ID が暗号化されたフレームで交換され、通信経路が変わるタイミングで使用する接続 ID を切り替えられるため、ISP が同一の接続を継続して追跡することは従来より難しくなります。

ネットワークセキュリティの全体像を体系的に理解するには、ネットワークセキュリティの専門書が参考になります。

ISP の監視レベルを自分で確認する方法

自分の通信がどの程度 ISP に露出しているかを確認するための具体的な手順を紹介します。

DNS クエリの暗号化状況を確認する

  1. IP 確認さんにアクセスし、接続元の IP アドレスと ISP 名を確認する
  2. ブラウザや OS の DNS 設定を開き、暗号化 DNS (DoH / DoT) が有効かどうかを確認する。ISP から自動で割り当てられた DNS サーバーをそのまま使っている場合、DNS クエリは暗号化されていない可能性が高い
  3. Cloudflare (1.1.1.1) や Google (8.8.8.8) の暗号化 DNS に切り替えることを検討する

VPN 接続時の漏洩チェック

  1. VPN に接続した状態で IP 確認さんにアクセスし、IP アドレスが VPN サーバーのものに変わっていることを確認する
  2. DNS リークテストを実施し、DNS クエリが VPN トンネル外に漏洩していないことを検証する
  3. WebRTC リークテストで、ブラウザ経由の IP 漏洩がないことを確認する

ブラウザの暗号化設定を確認する

  • HTTPS-Only モードが有効になっているか確認する
  • DNS over HTTPS が有効になっているか確認する
  • ECH (Encrypted Client Hello) が有効になっているか確認する (Firefox: about:config で network.dns.echconfig.enabled を確認)

まとめ

ISP はあなたのインターネット接続の入口に位置するため、技術的に広範な通信情報にアクセスできる立場にあります。HTTPS の普及により通信内容の傍受は困難になりましたが、接続先のドメイン名、通信パターン、DNS クエリといったメタデータは依然として ISP に露出しています。

VPN の常時利用、暗号化 DNS の導入、ECH の活用といった対策を組み合わせることで、ISP に渡る情報を大幅に削減できます。まずは IP 確認さんで現在の接続状況を確認し、自分の通信がどの程度保護されているかを把握するところから始めてみてください。

この記事の関連用語

IP アドレス インターネットに接続されたデバイスを識別するための数値ラベル。IPv4 では 32 ビット、IPv6 では 128 ビットで表現され、通信の送信元と宛先を特定す… DNS (Domain Name System) ドメイン名を IP アドレスに変換するインターネットの基盤システム。ユーザーが入力した URL を実際のサーバーアドレスに解決し、Web サイトへの接続を可能に… VPN (仮想プライベートネットワーク) インターネット通信を暗号化し、別の場所にあるサーバーを経由させることで、実際の IP アドレスと通信内容を保護する技術。公共 Wi-Fi の利用時や地理的制限の… DNS over HTTPS (DoH) DNS クエリを HTTPS プロトコルで暗号化して送受信する技術。従来の平文 DNS と異なり、ISP やネットワーク管理者による DNS クエリの傍受を防止… メタデータ データに関するデータ。通信においては、送信元・宛先の IP アドレス、タイムスタンプ、データサイズなど、通信内容そのものではない付随情報を指す。メタデータだけで…

よくある質問

HTTPS で通信していれば ISP には何も見えない？

HTTPS で暗号化されるのは通信の中身 (ペイロード) だけです。接続先のドメイン名、通信の日時、データ量、DNS クエリといったメタデータは ISP から把握可能です。ECH (Encrypted Client Hello) や暗号化 DNS を併用することで、露出する情報をさらに減らせます。

ISP は通信データをどのくらいの期間保存している？

国や法律によって異なります。日本では電気通信事業法に基づき、捜査機関の令状に応じて通信記録を開示する義務がありますが、保持期間の明確な法定義務はありません。オーストラリアでは 2 年間のメタデータ保持が法律で義務付けられています。

VPN を使えば ISP の監視を完全に防げる？

VPN を使用すると、ISP から見えるのは VPN サーバーへの暗号化された接続だけになり、接続先や通信内容は把握できなくなります。ただし、VPN を使用していること自体は ISP に検知されます。また、VPN プロバイダが新たな信頼すべき第三者になるため、ノーログポリシーと第三者監査を受けたプロバイダを選ぶことが重要です。