ユタ州、VPN越しの利用者特定をサイトに課す法律が施行
VPNでアクセス元を偽装した利用者についても、ウェブサイト側に責任を負わせる法律が米ユタ州で5月6日に動き出す。技術的に不可能な要求を法律で命じる構造に、業界からは「責任の罠」との声が上がる。
VPNでアクセス元を偽装した利用者についても、ウェブサイト側に責任を負わせる法律が米ユタ州で5月6日に動き出す。技術的に不可能な要求を法律で命じる構造に、業界からは「責任の罠」との声が上がる。
ウェブサイトに「VPN越しの利用者」を見破れと命じる
ユタ州の「オンライン年齢認証修正法」、正式名称上院法案73号(Senate Bill 73、SB 73)が、現地時間5月6日に施行される。米国の州レベルで、年齢認証の文脈でVPN利用そのものを名指しで規制対象にした最初の事例だ。
法案は2026年3月19日にスペンサー・コックス(Spencer Cox)知事が署名済みで、電子フロンティア財団(Electronic Frontier Foundation、EFF)が施行直前に独自分析を公開している。
仕組みは単純で、しかし容赦ない。ある利用者が物理的にユタ州内にいる限り、その人がVPNやプロキシでIPアドレスをどこの国に偽装しようと、法律上は「ユタ州からアクセスしている」と見なされる。サイト運営者は、その物理的所在を見抜いた上で、未成年であれば年齢認証を課す義務を負う。
加えて、未成年に有害とされるコンテンツを「実質的な割合」で扱うサイトに対しては、VPNを使った年齢確認の回避方法を案内することも禁じられる。回避手段の説明そのものが、商業サイトの言論として封じられる構造だ。
SB 73の核心は2つ。物理的にユタ州にいる人物は、IPアドレス上の位置に関わらず「ユタ州からのアクセス」と扱われる。そして、有害コンテンツを扱うサイトは、VPN使用方法の案内や回避手段の提供を禁じられる。
法律が要求しているのは「技術的に不可能なこと」
ここで、現実の技術と法律の要求が真っ向から衝突する。
商用VPN事業者は、IPアドレスを絶え間なく入れ替える。VPN事業者ごとのIPレンジを集めた完全なブロックリストは、そもそも存在しない。MaxMindやIP2Proxyといった評判データベースは、データセンター由来のIPを「VPNっぽい」と推定はできるが、確実な判定ではない。
さらに厄介なのは、家庭用回線をVPN経由で再販する「レジデンシャルVPN」だ。一般家庭の通信となりすましており、ふつうのインターネットアクセスと見分けがつかない。AWSのような大手クラウドに自分でWireGuardを立てれば、それは「ふつうのウェブホスティング」と同じ経路を通る。サイト運営者から見れば、悪意のないリクエストと区別がつかない。
VPN通信を確実に識別する方法はディープパケットインスペクション(DPI)だけだが、これはISP側の設備でやる芸当だ。ウェブサイトの運営者には手が届かない。中国のグレートファイアウォールやロシアのTSPUのような国家規模のシステムだけが、ユーザーとサーバーの間に居座る検閲インフラを持っている。
つまりユタ州の法律は、ウェブサイトに「国家規模のDPI設備に相当する識別能力」を要求している。実装できる者はいない。
NordVPN「責任の罠だ」、EFF「whack-a-moleだ」
VPN大手のNordVPNは、この法律を「解決不能なコンプライアンスの矛盾」と評し、「責任の罠」(liability trap)と呼んだ。子供をオンラインで守る目的そのものは支持しつつ、技術的に施行不能な法律はプライバシーを重視する合法的なユーザーを世界中で罰するだけだと主張する。
EFFも同じ角度から批判している。「全ての既知のVPN・プロキシIPをブロックすることは、どの企業も勝てない技術的なモグラ叩き(whack-a-mole)だ」。EFFは施行直前の分析でそう書いた。
サイト運営者が直面する選択肢は、現実的には2つしかない。
一つは、把握している全てのVPN関連IPを片端からブロックする道。もう一つは、ユタ州の利用者を見分けられない以上、世界中の訪問者全員に年齢認証を課す道。
どちらを選んでも、被害は「ユタ州の未成年」以外に及ぶ。商用VPNを正当な理由で使っているジャーナリスト、家庭内暴力のサバイバー、権威主義国家に住む反体制派、企業のリモートワーカー――全員がコラテラルダメージを受ける。
「Don't ask, don't tell」式の運用が招く萎縮
もう一つ厄介なのは、SB 73がVPNそのものを禁止していない点だ。EFFはこれを「don't ask, don't tell」(聞くな、言うな)式の執行と表現する。
サイト運営者は、利用者がユタ州にいてかつVPNを使っていると「実際に知った」場合にのみ、年齢確認を求める義務を負う。知らなければ、義務の輪郭は曖昧になる。法律違反を回避するもっとも安全な道は、利用者の所在を積極的に知ろうとしないことになる。
だが「VPNの使い方を案内するな」という縛りは、サイトがユーザーに正当なプライバシー情報を提供することを封じる。EFFは、これが米国憲法修正第1条(言論の自由)に抵触する可能性があると指摘した。プライバシーツールについての真実の情報を、サイトが利用者に伝えられない。この縛りの方向性は、健全な議論の余地を狭める。
ウィスコンシン州では、似たVPN禁止条項を含む法案が2026年2月に大規模な反発を受け、最終的に該当条項が削除された。ユタ州はその轍を踏まずに、より「マイルド」な形で同じ目的を達成しようとしている。
世界が同じ方向に歩いている
ユタ州だけが孤立しているわけではない。
英国では2025年7月25日、オンライン安全法(Online Safety Act)が成人コンテンツへの年齢認証を義務化した。施行当日、Proton VPNは英国での新規登録が毎時1,400%増と発表した。同社は「通常、市民の不穏な動きと結びつくレベル」と表現している。NordVPNも英国で1,000%の急増を記録した。
つまり、年齢認証を導入すれば、人々は一斉にVPNに逃げ込む。これが各国の共通パターンだ。
それを受けて、英国貴族院(House of Lords)は2026年1月21日、18歳未満へのVPN提供を禁じる修正条項を207対159で可決した。VPN事業者に英国ユーザー全員の年齢確認を課し、未成年をブロックさせる内容だ。庶民院(House of Commons)での審議が控えている。
フランスでも、人工知能・デジタル担当大臣のアンヌ・ル・エナンフ氏が、15歳未満のSNS禁止に続いて「VPNが私のリストの次のテーマだ」と発言した。
VPNの遮断にある程度成功している国は、現時点では中国・ロシア・イランのような、ISPレベルでの監視インフラを持つ権威主義体制だけだ。民主主義国家の側が、同じ方法論に手を伸ばし始めている。
モグラ叩きの先にあるもの
ユタ州の法律が動き出した瞬間、技術に詳しい利用者は数時間以内に回避策を見つけるだろう。AWSやGoogle Cloudで自分専用のWireGuardトンネルを立てるのは、慣れた人間なら15分の作業だ。レジデンシャルプロキシを買う手もある。
つまり、本当に未成年が抜け道を探そうとすれば、技術的に止める方法はない。
止められるのは、商用VPNを使う「普通の大人」だけだ。データブローカーや悪意ある第三者に自分の通信を覗かれたくない、ただそれだけの理由でVPNを使っている一般市民。彼らこそが、この法律でもっとも不便を強いられる。
立法者は年齢認証が機能していないことを見て、認証の方法を見直すのではなく、認証を回避するツールの方を攻撃する道を選んだ。VPNはセキュリティツールであって、抜け穴ではない。この区別がつかないまま規則が書かれている。
ユタ州が踏み出した一歩が「最初の州」で終わるのか、それとも「最初に転んだ州」になるのか。施行から数週間で、サイト運営者の選択と利用者の回避行動が、その答えを書く。
参照元
- Electronic Frontier Foundation - Utah's New Law Targeting VPNs Goes Into Effect Next Week
- Utah State Legislature - SB 73 Online Age Verification Amendments
