偽のVPNダウンロードページと本物の見分け方

大きなダウンロードボタンを押し、インストーラーが届き、そのあとになって初めてアドレスバーのドメインがおかしいと気づく。ページにはロゴも配色も、本物のプロジェクトを指すサポートリンクもあった。どれも、いま実行したファイルの証拠にはならない。ブランドは複製にすぎず、何が手に入るかを決めるのはダウンロード先のほうだ。

ボタンの送り先を確認する

ボタンにカーソルを合わせるか、スマートフォンなら長押しして、ラベルではなくリンク先を読む。いま見ているページと違うホストを指すボタンは、最も強い単独の手がかりで、見るのに一秒もかからない。短縮リンク、アフィリエイトのリダイレクト、選んでいないバージョンを含むパスなら、いったん止めて独立した場所でリンクを入手する。ラベルはページを作った人が書くが、href だけがクリックに耐える必要のある主張だ。

検索結果は第二の層を加える。広告には表示があるが、その表示は小さく、スポンサー枠の文言はプロジェクト自身の言い回しをまねることが多い。すでに知っているベンダーのドメインを入力するかブックマークを使い、これからクリックするアドレスと比べる。仕事用ソフトなら、基準は承認された配布経路であり、最上位の結果ではない。

チュートリアルもダウンロードページではない。ガイドに埋め込まれた広告は著者に支払い、その標的は広告主が選ぶ。

HTTPS が証明するのは配送であって、身元ではない

鍵アイコンは、到達したホストから転送中に改変されずにバイトが届いたことを示す。そのホストを誰が運営しているかは何も示さないのは、証明書が安く、似たドメインでも自分の名前で有効な証明書を取れるからだ。ホスト名は一文字ずつ読み、とくに最初のスラッシュより前の部分では、面白い嘘がサブドメインとハイフン入りの語に潜む。vpn-download.example.net のページは、同じレイアウトでも example.com とは別の提供者だ。

証明書の詳細が少し足すのは、組織検証の証明書は会社名を示すが、ドメイン検証だけの証明書は誰も示さないということだ。それでも、すでに信頼している情報源からアドレスを得るより弱い。鍵だけを確認したのなら、あなたは配達車を確認したのであって、送り主を確認したのではない。

実行する前にファイルを調べる

まずファイルの種類を見るのは、拡張子が偽装するのに最も安く、読むのに最も役立つからだ。dmg、exe、msi はインストーラーであり、ovpn や conf はプロファイルで、プロファイルは接続時に実行されるルート、DNS サーバー、スクリプトを運びうる。プロファイルを接続の修復と称して配るページは、その存在だけでなく中身を信じろと言っている。提示された形式を、ベンダーがあなたのプラットフォーム向けに文書化しているものと比べる。

次に提供元を確認する（Windows なら署名、macOS なら公証とチーム識別子、Linux ならリポジトリとパッケージ名）。正しいロゴのページから来た未署名のインストーラーは未署名のままで、デザインの質はその事実を変えない。署名がない、または提供元の名前が想定と違うなら、最初の確認の前に止める。

インストール時の確認にも目を向ける。VPN クライアントはトンネルを開くのに新しいルート証明書を必要とせず、接続するのに広いディスクアクセスも必要としない。

すでにインストールしてしまった場合の立て直し

二つ目の未知のサイトからダウンロードして比べても、同じ運営者が両方のページを動かせるのだから、一つ目が検証されることはない。役に立つ比較は、ベンダーの文書化されたページ、パッケージリポジトリ、広告を経ずにたどり着いたストアの掲載など、独立に入手したアドレスとのものだけである。その基準で、手元にあるのが本物のクライアントか、名前をまとった別物かを見極める。

インストーラーが動いたなら、インストールされたアプリ、追加されたプロファイル、新しい証明書、付与された権限という、何を変えたかを見直す。由来を説明できないものは取り除く。資格情報や VPN プロファイルを入力したなら、漏れたものとして扱い、要求したページ経由ではなくサービス本体で変更する。

そのうえで、そのページをベンダーとブラウザまたは検索提供者に報告する。Mozilla のフィッシング対策の説明には、ブラウザが単独で検知できることとできないことが書かれている。

一分でできる三つの質問による確認

ボタンは実際どこを指し、そのホストはベンダーが文書化しているものか。ファイルは何で、ベンダーはこのプラットフォーム向けにその形式を配布しているか。インストーラーは何を求め、ベンダーの文書も同じものを求めているか。三つの答え、一分、そして食い違いは慎重に続ける理由ではなく、止まる理由だ。

文書化されたダウンロードページを一度ブックマークして経路を短く保てば、次回は五つのスポンサー結果から選ばずに済む。習慣は退屈だが、いちばん不注意な瞬間から判断を遠ざけてくれる。