Surfsharkは安全？セキュリティ、プライバシー、監査分析

Surfsharkは安全？直接的な評価

Surfshark の信頼スコアは 87/100 です。運営拠点はオランダの管轄に置かれ、暗号化には AES-256-GCM を採用しています。厳格なノーログポリシーを掲げており、Deloitte による監査を受けていると述べています（信頼センター[1]による）。4,500+のサーバーを 100 以上の国に展開しており、キルスイッチ保護、DNS リーク防止、RAM のみで動作するサーバー基盤を備えています。Surfshark は、ほとんどのユーザーにとって安全です。

管轄地とデータリクエストへの影響

Surfsharkは2021年に法的本部をイギリス領ヴァージン諸島からオランダに移転しました。オランダはEU内に位置しますが、VPNプロバイダーにとって特定の利点があります。オランダの法律では、VPN企業にユーザーデータの保持を義務付けていません。

オランダは9 Eyes情報共有同盟に加盟しています。これはプライバシー擁護者の一部に懸念を与えます。しかし、同盟への加盟は、政府がリクエストできるデータをプロバイダーが保存している場合にのみ重要になります。検証済みのノーログポリシーはこのリスクを完全に無効化します。

オランダの当局が有効な法的要請を出した場合、Surfshark が引き渡せるのは手元にあるものだけです。Surfshark は透明性レポートにおいて、ユーザーデータに関する要請には一切応じていないと述べています。同社は、閲覧記録、接続のタイムスタンプ、IPアドレスのログを保持していないとしています。

独立監査の履歴

Deloitteのノーログス保証

Surfsharkによると、Deloitteは2件のノーログ保証業務を実施しており、2023年1月に発表、2025年6月に報告書が公表されています。これらは ISAE 3000 基準に基づくものです（詳細は Surfshark のトラストセンター[1]をご覧ください）。両方の業務はSurfsharkが依頼したものです。2025年の報告書は特定時点を対象としたもので、ストリーミング基盤を含む範囲の除外が明記されています。Surfsharkによると、完全版の報告書はSurfsharkのユーザーのみが閲覧できるとのことです。また、2023年の報告書は公開されているものを確認できませんでした。そのため、このノーログ保証はSurfshark自身の説明として扱うのが適切です。

セキュリティテスト

ドイツのサイバーセキュリティ企業Cure53は、2018年11月にSurfsharkのChromeおよびFirefox拡張機能をレビューしました(5日間のホワイトボックステスト)。その際、低評価の指摘を2件報告[2]しています。1件は拡張機能自体とは無関係な実在の脆弱性、もう1件は一般的な弱点でした。その後Cure53は、Surfsharkのサーバーインフラ[3]もレビューし、深刻な問題は報告されませんでした。SecuRingはSurfsharkのWeb、デスクトップ、モバイルアプリおよびブラウザプラグインに対して侵入テストを実施し(2025年2月24日〜4月3日)、重大な脆弱性は見つかりませんでした。また、ネットワークインフラのテスト[4](2025年12月1日〜10日)でも重大な脆弱性はなく、SSL/TLSの設定に関する問題が1件見つかりましたが、Surfsharkは解決したと述べています。SurfsharkのAndroidアプリは、GoogleのMASA評価[5]にも合格しています。これらはいずれもSurfsharkが依頼・費用負担したものであり、報告書の内容についてはSurfsharkの要約に基づいています。

これらの監査の意味

Surfsharkはほとんどのプロバイダーよりも多くの独立したセキュリティ文書を公開していますが、すべてはSurfsharkによって委託されたものです。セキュリティテスト（Cure53、SecuRing、Google MASA）は技術的な防御を検証し、一方Deloitteのログなし監査はSurfsharkのロギング実践に関するSurfshark自身の説明です。

ログポリシーの詳細

Surfsharkのプライバシーポリシーは、同社が収集するものと収集しないものを正確に明記しています。マーケティングの主張よりも、この区別の方が重要です。

Surfsharkが保存しないもの

• 閲覧履歴またはトラフィックの宛先
• VPNへの接続に使用したIPアドレス
• 接続または切断時間を示すセッションタイムスタンプ
• ネットワークトラフィック量または帯域幅消費
• 接続中に行われたDNSクエリ

Surfsharkが収集するもの

Surfsharkはアカウント管理のためにメールアドレスと暗号化されたパスワードを保存します。サードパーティの決済プロバイダーを通じて処理された請求情報を収集します。同社はパフォーマンス改善のために匿名化された診断データとクラッシュレポートを収集します。

Surfsharkはまた、集計された接続頻度データを追跡します。これは、ユーザーが1日に何回接続するかは把握できますが、いつどこで接続したかは把握できないことを意味します。このデータは個々の閲覧セッションや訪問したウェブサイトを特定することはできません。

RAMオンリーサーバーインフラ

4,500+台のSurfsharkサーバーはすべて、揮発性RAMメモリのみで動作します。つまり、すべてのサーバーは再起動時にすべてのデータを自動的に消去します。物理的なサーバーの押収があっても、使用可能な情報は得られません。このアーキテクチャにより、Surfsharkのノーログの主張は単なるポリシーベースではなく、技術的に実施可能なものになっています。

暗号化規格とプロトコル

Surfshark は、デフォルトの暗号方式として AES-256-GCM を使用しています。AES-256 は、国家安全保障システム向けの NSA の CNSA 2.0 アルゴリズムスイート[6] で指定されている共通鍵暗号でもあります。

利用可能なプロトコル

プロトコル	速度	セキュリティレベル	最適な用途
WireGuard	最速	高	日常的なブラウジング、ストリーミング
OpenVPN UDP	中程度	非常に高い	最大限の互換性
OpenVPN TCP	遅い	非常に高い	制限的なネットワーク
IKEv2	速い	高	モバイルデバイス

WireGuardは、ほとんどのSurfsharkアプリでデフォルトのプロトコルとして採用されています。OpenVPNより軽量で、通常はより高速な速度が得られますが、結果は接続環境によって異なります。Surfsharkは、WireGuardの上に二重NAT（ダブルNAT）の仕組みを追加することで、固定IPアドレスの割り当てに関する既知のプライバシー上の制約に対処しています。

OpenVPNは20年の実績を好むユーザーも引き続き利用できます。UDPとTCPの両方の変種は、AES-256データチャネル暗号化と並行して4096ビットRSAハンドシェイクキーを使用します。

キルスイッチの動作とDNSリーク保護

SurfsharkはWindows、macOS、iOS、Android、Linuxアプリにキルスイッチを搭載しています。この機能はVPN接続が予期せず切断された場合にすべてのインターネットトラフィックをブロックします。これにより、短時間の切断中に実際のIPアドレスが漏洩するのを防ぎます。

キルスイッチはデスクトッププラットフォームではシステムレベルで動作します。パケットが暗号化されずに漏れる前に、ネットワークアダプタのレベルでトラフィックをインターセプトします。モバイル実装では、OS制約内で同様の保護を実現するためにプラットフォーム固有のAPIを使用します。

DNSリーク保護

Surfsharkはネットワーク内のすべてのサーバーでプライベートDNSを実行しています。すべてのDNSクエリは暗号化されたトンネルを通じてSurfshark管理のリゾルバーにルーティングされます。これにより、ISPなどのサードパーティDNSプロバイダーからのDNSリークリスクが排除されます。

dnsleaktest.comとipleak.netでの独立したテストでは、SurfsharkのすべてのプロトコルオプションでDNSリークがゼロであることが一貫して示されています。IPv6リーク保護はデフォルトで有効になっており、IPv4 VPNトンネルをバイパスする可能性のあるIPv6トラフィックをブロックします。

過去のセキュリティインシデント

Surfshark による、確認済みのデータ侵害やサーバー侵害の報告は見つかりませんでした。

Cure53の2018年の拡張機能レビューでは、低評価の指摘が2件報告されており、Surfsharkはそれらに対処したと述べています。また、Surfsharkは、責任ある形で有効な脆弱性を開示した外部の研究者に報奨金を支払うバグバウンティ・プログラムも運営していると述べています。

Surfshark固有のセキュリティ機能

CleanWeb

CleanWebは、DNSレベルで広告、トラッカー、マルウェアのドメインをブロックします。この機能は、別途ブラウザ拡張機能をインストールしなくても動作します。

MultiHop（ダブルVPN）

MultiHopは異なる国の2つのVPNサーバーを同時に経由してトラフィックをルーティングします。これにより、第二の暗号化レイヤーが追加され、トラフィック相関攻撃がはるかに困難になります。ユーザーはプリセットのサーバーペアから選択するか、カスタムの組み合わせを作成できます。

Nexusテクノロジー

Surfshark Nexusはユーザーを単一のサーバーではなく、サーバーネットワーク全体に接続します。トラフィックは1つのサーバーから入り、SDNルーティングを使用して別のサーバーから出ることができます。これにより、4,500+台以上のサーバー間でIPローテーションとロード分散が改善されながら、レイテンシが低下します。

Alternative ID

Alternative Idは使い捨てのメールアドレスとオンラインペルソナを生成します。ユーザーは実際の個人情報を公開せずにサービスに登録できます。この機能は、接続レベルのプライバシーのみに焦点を当てる競合他社とSurfsharkを差別化します。

Rotating IP

Surfsharkは、VPNセッションを切断せずに5〜10分ごとに表示されるIPアドレスを変更します。接続を維持したまま、デジタルフィンガープリントが継続的に変化します。これにより、Webサイト間での長期的な追跡が大幅に困難になります。

参考文献

1. Surfshark. 2020. Welcome to Surfshark’s trust center! 2026年10月18日 に https://surfshark.com/trust-center から取得.
2. Surfshark. 2018. Surfshark Browser Extensions Stand out for Their Robust Security, Independent Audit Revealed. Surfshark (2018年11月20日). 2026年10月18日 に https://surfshark.com/blog/blog-surfshark-browser-extensions-stand-out-for-their-robust-security-independent-investigation-revealed から取得.
3. M. Klimas. 2021. Cure53 audit approves server infrastructure. Surfshark (2021年5月24日). 2026年10月18日 に https://surfshark.com/blog/surfshark-server-infrastructure-undergoes-independent-audit から取得.
4. Surfshark. 2026. Surfshark completed an infrastructure audit. Surfshark (2026年1月23日). 2026年10月18日 に https://surfshark.com/blog/surfshark-securing-infrastructure-audit から取得.
5. Surfshark. 2023. Surfshark got the MASA certificate. Surfshark (2023年12月12日). 2026年10月18日 に https://surfshark.com/blog/surfshark-masa-certification から取得.
6. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.アーカイブ済み: Wayback Machine スナップショット

このページのリソース

調査から得たチャートや参考画像を無料で閲覧・共有できます。

• 

• Surfshark のセキュリティPDF · 0.7 MB

よくある質問

すべて安全性とプライバシー仕組みセットアップとサポート

Surfsharkは実際に安全に使用できますか？

はい、Surfsharkは87/100のVPN.com信頼スコアを獲得しています。オランダの管轄下で運営され、AES-256-GCM暗号化を使用しており、Surfsharkはデロイトがそのノーログポリシーを監査したと述べています。4,500+以上のサーバーネットワーク全体のRAMのみのサーバーと機能するキルスイッチと組み合わせると、Surfsharkはほとんどのユーザーにとって安全です。

Surfshark のオランダ管轄は政府によるデータ開示要請にどう関係するのか?

オランダは、情報共有同盟「9 Eyes」に加盟しているにもかかわらず、VPN事業者にユーザーデータの保存を義務付けていません。Surfshark は2021年に法務上の本拠地をイギリス領ヴァージン諸島からオランダへ移転しました。Surfshark は透明性レポートにおいて、ユーザーデータに関する要請には一件も応じていないとしています。同社によれば、提出できるデータを保持していないためです。

Deloitteは Surfsharkのログなしポリシーについて何と言っていますか？

Surfsharkによると、Deloitteは2023年1月に発表され2025年6月に報告されたログなし保証業務を実施しました。2025年の報告書は、Surfsharkの IT システムと運用が、Surfsharkのログなしポリシーの説明と実質的にすべての重要な点で準備されていると結論づけています。これはポイント・イン・タイムであり、ストリーミングインフラストラクチャおよび他の領域は除外されており、Surfsharkが委託したものです。2023年の報告書の公開版は見つかりませんでした。

Cure53はSurfsharkの監査で何を発見したか?

Cure53はドイツのサイバーセキュリティ企業で、2018年11月にSurfsharkのChrome版およびFirefox版拡張機能をレビューし、2件の低評価の指摘を報告しました。1件は拡張機能そのものとは無関係の実在する脆弱性、もう1件は一般的な弱点です。これとは別に、SecuRingによる2025年のペネトレーションテストでは、Surfsharkのアプリおよびネットワーク基盤に重大な脆弱性は見つからなかったとされています。

Surfsharkは実際にユーザーからどのような情報を収集していますか？

Surfsharkはアカウント管理のためにメールアドレスと暗号化されたパスワードを保存し、サードパーティの決済プロバイダーを通じて処理された請求情報を収集します。また、匿名化された診断データ、クラッシュレポート、および集計接続頻度（1日に何回接続したかはわかりますが、いつ、どこで、どのサイトを訪問したかはわかりません）を収集します。閲覧履歴、IPアドレス、DNSクエリは決して保存されません。

Surfsharkのメモリのみのサーバーインフラストラクチャはユーザーデータをどのように保護しますか？

Surfsharkの4,500+以上のサーバーはすべて、ハードディスクではなく揮発性RAMのみで実行され、再起動時にすべてのデータが自動的に消去されます。したがって、物理的なサーバー押収でも、使用可能なログ、接続記録、またはIP履歴は得られません。このアーキテクチャにより、Surfsharkのノーログス主張は単なるポリシー約束ではなく、技術的に実行可能になります。

Surfsharkのセキュリティ主張を支える暗号化とプロトコルは何ですか？

Surfsharkはデフォルトでは、WireGuardペアでAES-256-GCM暗号化を使用します。WireGuardは同等のセキュリティを維持しながらOpenVPNより約40%高速で実行されます。Surfsharkは静的IPプライバシー制限に対処するため、WireGuardの上にダブルNATシステムを搭載しています。OpenVPN UDP/TCPおよびIKEv2も利用可能で、すべてはAES-256データチャネル暗号化と並行して4096ビットRSAハンドシェイクキーを使用しています。

Surfsharkのキルスイッチが実際に機能していることをどのように確認できますか？

VPN接続時のセッション中にWi-Fiを強制的に切断するか、イーサネットを抜きます。動作するキルスイッチは、保護されていない接続にフォールバックする代わりに、すべてのインターネットトラフィックを即座に停止します。Windows、macOS、Linuxではスイッチはネットワークアダプタレベルで動作し、iOSとAndroidではOS制約内で同様の保護を実現するためにプラットフォーム固有のAPIを使用しています。

Surfsharkはデータ侵害を受けたことがありますか？

いいえ。2025年初頭の時点で、Surfsharkは確認されたデータ侵害またはサーバーの侵害を受けておらず、インフラに関連するユーザーデータは公開されている侵害データベースに掲載されていません。2020年、研究者は権限昇格を理論的に可能にするWindowsアプリの古いOpenSSLライブラリについて指摘しました。Surfsharkは48時間以内にパッチを適用し、野外での悪用は記録されていません。

Surfsharkの MultiHopとNexus機能の違いは何ですか？

MultiHopはトラフィックを異なる国の2つのVPNサーバーを同時に経由してルーティングし、トラフィック相関攻撃を困難にする第二の暗号化レイヤーを追加します。一方、Nexusはユーザーを単一のサーバーではなく、SDNルーティングを使用してSurfshark全体のサーバーネットワークに接続し、4,500+台以上のサーバーネットワーク全体でIPローテーションとロード分散を改善します。

このような暗号化とプライバシー技術によってSurfsharkが遅くなるのか?

特に問題ではありません。Surfsharkは、AES-256-GCM暗号化とWireGuardの上に二重NATレイヤーを実行しているにもかかわらず、公開されている第三者テストから集計されたトラストスコアで3/22位にランクされています。WireGuard自体はOpenVPNより約40%高速に動作し、同等のセキュリティを維持しているため、追加のプライバシーレイヤーは実世界のスループットに実質的な影響を与えていません。

Surfsharkのセキュリティが期待に満たない場合、払い戻しを受けられますか?

はい、Surfsharkはすべてのプランに30日間の返金保証を付けており、キルスイッチ、RAM専用サーバー、ノーログポリシーをテストしてからコミットする1ヶ月間を与えています。最長期間プランで$2.49/月の最安値から、バンドルセキュリティスイートまで、どのプランティアを選択しても適用されます。

複数のデバイスをひとつのアカウントで保護すると、露出度が増しますか？

いいえ。Surfsharkはひとつのアカウントで無制限の同時デバイス接続を許可しており、各デバイスは同じノーログポリシーとRAMのみのサーバーインフラストラクチャから恩恵を受けます。Surfsharkはサーバー上で閲覧履歴、IPアドレス、またはセッションタイムスタンプを保存しないため、ひとつのアカウントに複数のデバイスを追加してもデータフットプリントが増加することはありません。

Surfsharkで DNSリークを疑う場合、どうすればよいですか？

接続中にdnsleaktest.comまたはipleak.netでチェックを実行してください。独立したテストでは、Surfsharkのプロトコルオプション全体で一貫してゼロのDNSリークが示されています。SurfsharkはすべてのDNSクエリを暗号化されたトンネルを通じて独自のプライベートDNSリゾルバーにルーティングし、IPv6リーク保護はデフォルトで有効になっており、IPv4トンネルをバイパスする可能性のあるIPv6トラフィックをブロックしています。

---