「ProtonMailは本当に安全なのか」という疑問は、Proton Mail を利用する多くの人が思いつく疑問です。今回は、そんなことについて依怙贔屓なしに、ぶっちゃ論で客観的に解説します。
暗号化という観点では、ProtonMailは現時点で最も信頼できるメールサービスのひとつです。一方で、過去にはIPアドレスの開示事件やスイス法の制約を受けた過去、そして2025年から議論されている新たな監視法の改正案を踏まえると、「完全に匿名で安全」とは言い切れません。
この記事では、ProtonMailのセキュリティを構成する4つの柱（暗号化の仕組み・独立監査・スイス法の現実・IPアドレス開示問題）を整理し、何を守れて何を守れないのかを明確にします。
Proton Mailの暗号化の仕組み
Proton Mail の安全性を議論する上で、そもそもとしてProton Mailの暗号化の仕組みについて簡単に解説する必要があります。
エンドツーエンド暗号化（E2EE）
Proton MailはPGP（Pretty Good Privacy）をベースにしたエンドツーエンド暗号化を採用しています。メールの内容はあなたのデバイス上で暗号化され、受信者のデバイスでのみ復号されます。ProtonMailのサーバーには、解読不能な暗号文として届きます。
2019年には楕円曲線暗号（ECC）も導入され、処理速度とセキュリティが同時に向上しました。
ただし、エンドツーエンド暗号化が自動的に適用されるのはProtonMailユーザー同士のやりとりのみです。GmailやYahooメールなど他のサービスへメールを送る場合、相手側のサーバーでは平文として扱われます。
他サービスへの送信にはパスワード保護メール機能を使うことで暗号化を維持できますが、その場合相手は事前に共有したパスワードで内容を開く必要があります。
ゼロアクセス暗号化
ゼロアクセス暗号化は、保存されたメールデータに対する暗号化です。あなたのメールはProtonのサーバー上で、あなたのパスワードから生成された鍵で暗号化された状態で保管されます。Protonはその鍵を持っていないため、技術的にあなたのメールを読むことが不可能です。
これはGmailとの根本的な差です。Gmailのサーバーには解読可能な状態でメールが保管されており、Googleはその内容にアクセスできます。
ゼロアクセス暗号化の重要な帰結として、パスワードを忘れた場合にProton側でメールの内容を復元することは不可能です。これはプライバシー保護の証明でもありますが、ユーザーにとっての自己責任も意味します。
件名・メタデータの扱い
重要な注意点として、メールの件名はエンドツーエンド暗号化の対象外です。結構この点については、懸念から抜け落ちてしまうことも多いのですが、必ず忘れずに覚えておく必要があります。
電子メールプロトコルの仕様上の制約から、件名・送受信者のアドレス・タイムスタンプはメタデータとして扱われます。これらはProtonのサーバー上では暗号化された状態で保存されていますが、その復号鍵はProton側は保有しています。そのため、件名や送受信者のアドレス、タイムスタンプは、エンドツーエンドの保護対象ではありません。
万が一、スイス法に基づく法的な開示請求があった場合、これらのメタデータは開示対象になりえます。
オープンソースと独立監査
Proton Mailのクライアントアプリ（ウェブ・iOS・Android・Bridge）はすべてオープンソースで公開されています。誰でもコードを検証でき、隠れたデータ収集機能がないことを確認できます。
Github : 公開されているProton系のクライアントソフト
加えて、複数の独立した第三者機関による監査を受け、結果を公開しています。主な監査実績は以下の通りです。
- Securitum（ポーランドの大手セキュリティ監査会社）：ウェブアプリ・カレンダーの監査、およびProton VPNのノーログポリシーの年次監査（2022年・2023年・2024年・2025年と連続実施）
- SEC Consult：AndroidアプリのオープンソースへのAndroid化時の監査（未解決の脆弱性なしと評価）
- Cure53：Proton Passの監査
- ISO 27001認証：2024年5月に取得
- SOC 2 Type II：2025年7月に初めて達成（Schellman社による）
SOC 2 Type IIは「セキュリティ管理の仕組みが実際に機能していること」を継続的な観察によって証明する水準の高い認証です。GmailやOutlookのような大手メールサービスでも、ここまで透明性を持って外部監査を公開しているサービスは多くありません。
スイス法に基づく運営
Protonはスイス法に基づいて運営されており、これはプライバシー面で複数のメリットをもたらします。まず、スイスはEUや米英などの情報共有同盟（Five Eyes・Nine Eyesなど）の加盟国ではないため、アメリカのNSAやイギリスのGCHQが直接データを要求することはできません。
また、スイス刑法第271条により、外国政府への直接的なデータ提供は禁止されており、外国の要請はスイスの司法手続きを経る必要があります。
さらに、スイス法では原則としてデータ開示の対象者への通知が義務付けられております。
一方で、スイス法において合法的な要求においては、Protonは開示命令などに従う義務があります。Protonは透明性レポートを定期的に公開しており、2024年は11,000件以上の法的要請を受けてそのおよそ90%以上に応じたことが記録されています。
もっとも、開示されるのはメールの内容ではなく、メタデータ・IPアドレス・回復用メールアドレスなどの識別情報です。暗号化されたメールの内容は、法的命令があってもProton側では復号不可能です。
フランス活動家のIPアドレス開示事件（2021）
Proton Mailの限界を最も広く知らしめることになった事件が、2021年9月にありました。
この事件でProtonが批判された主な理由は、当時のウェブサイトに「デフォルトではIPアドレスをログしない」と記載されていたにもかかわらず、法的命令によってログ取得が開始されたことです。事件後、Protonはウェブサイトとプライバシーポリシーを更新し、スイスの刑事捜査においてはIPアドレスのログ取得を命じられる可能性があることを明示しました。つまり、”デフォルト状態ではIPアドレスを記録していないが、万が一捜査機関から要求された場合はIPアドレスを記録する措置を取る可能性がある”ということを意味しています。
Protonは事件後の公式声明で、メールの内容は法的命令があっても暗号化により提供不可能だったことを強調しました。また、要請に抗う余地がなかった理由として、スイス連邦司法省が案件を審査した上での命令であったことを挙げています。
この事件から読み取るべき教訓は、ProtonMailが法律を無視してユーザーを守ることはできないという点です。しかし同時に、メールの内容は守られたという事実も確認されています。
2024年以降の開示事例
2021年の事件以降も、同様の構造を持つ事例が確認されています。2024年には、アメリカのFBIがスイス当局を通じたMLAT（司法共助条約）の手続きで、「Stop Cop City」運動に関わる活動家のProtonMailアカウントに紐づいた決済情報（クレジットカード識別子）の開示を受けたことが判明しました。この場合も、メールの内容は提供されておらず、開示されたのはアカウントに登録された支払い情報のみです。
これらの事例が示すのは、ProtonMailが「匿名性を保証するサービス」ではないという点です。アカウントに任意で登録した情報（回復用メールアドレス・クレジットカード情報）は、法的手続きを経て開示対象になりえます。
スイス法の新たなリスク：VÜPF改正案（2025〜2026年）
2025年時点で注視すべき動きとして、スイスの監視法令であるVÜPF（郵便・電気通信監視に関する条例）の改正案があります。
この改正案の主な内容は以下の通りです。
- ユーザー数が5,000人以上のVPN・メールプロバイダーにIPアドレスの6か月間保存を義務化する
- ユーザー登録時に身分証明書（運転免許証・電話番号など）の提出を義務化する
- プロバイダーが独自に提供している暗号化の解除を当局の要求に応じて行えるようにする（エンドツーエンド暗号化で交わされるメッセージ間は例外）
Proton CEOのAndy Yenはこれに対して、「この法律が通れば、スイスに拠点を置く企業がアメリカのGoogleより機密保持能力が低くなる」と発言しています。
この改正案はまだ成立していません。2025年の公開協議を経て、スイス連邦政府が最終判断を下す予定です。デジタル権利団体・業界団体・法学者からの強い反発があり、大幅な修正や施行延期の可能性もあります。
この法律の行末については、Protonを利用する上では必ず注視していく必要があります。
ProtonMailが守れること・守れないこと
| 項目 | 守れるか | 補足 |
|---|---|---|
| メールの内容（Proton宛） | 守れる | E2EEにより法的命令があっても復号不可 |
| メールの内容（Gmail等宛） | 守れない | 相手側のサーバーで平文になる |
| 保存中のメールの内容 | 守れる | ゼロアクセス暗号化によりProtonも読めない |
| 件名・送受信者・タイムスタンプ | 一部のみ | at-rest暗号化あり。法的開示命令の対象になりうる |
| IPアドレス（通常時） | ログしない | デフォルトはログなし。スイスの裁判所命令でログ取得開始が可能 |
| 回復用メールアドレス | 守れない | 任意で登録した場合、法的開示命令の対象になりうる |
| 決済情報（クレカ払い） | 守れない | 法的開示命令の対象になりうる（2024年事例あり） |
| 米国・EU政府からの直接要請 | 守れる | スイス法第271条により外国政府への直接提供は禁止 |
| スイス当局の正規要請 | 守れない | 法的義務として応じる |
匿名性をより強固にする方法
Proton Mailをより匿名に近い形で使いたい場合、Protonも公式に推奨している以下の方法が有効です。
まず、Tor経由でのアクセスです。Proton MailはTor隠しサービス（.onionアドレス）を提供しており、これを使うことでProtonのサーバーにアクセスする際のIPアドレスを隠せます。2017年から提供している、暗号化メールプロバイダーとしては希少な機能です。
次に、Proton VPN経由でのアクセスです。スイス法のもとでProton VPNはログ保存が義務付けられておらず、開示要請があっても「ログが存在しない」として対応しています。Proton VPNの透明性レポートでは、2020年から2025年まで全ての法的開示要請に対して応じられなかった（ログが存在しないため）と記録されています。
また、回復用メールアドレスや電話番号を登録しないことも有効です。これらは任意の情報であり、登録しなければ開示対象の識別情報が減ります。ただし、その場合は2FAデバイス紛失時のアカウント回復手段が大幅に制限されるため、トレードオフを理解した上で判断してください。
さらに、支払いをBitcoinや現金で行うことも一つの方法です。クレジットカード情報はアカウントと紐づく識別子になりえますが、Protonは現金・銀行振込・Bitcoinでの支払いにも対応しています。
Gmailと比べてどれだけ安全か
上記の事実に基づいて、Protonの安全性をGoogleと比較すると以下の２つが重要な点となります。
1つ目は、メールの内容へのアクセスです。GmailはGoogleがサーバー上でメールを解読できる状態で保管しています。Proton Mailはゼロアクセス暗号化により、Proton自身もメールの内容を読めません。
2つ目は、政府機関からのデータ要請に対する法的な経路の違いです。Gmailはアメリカ法のもとにあり、米国政府・裁判所・情報機関からの要請に対して、公開禁止命令付きで秘密裏にデータを提供するケースがありえます。Proton Mailはスイス法のもとにあり、外国政府からの直接要請を断る法的根拠があります。またスイス法では対象者への通知が原則として義務付けられています。
どちらのサービスも、スイスの刑事事件としての要件を満たした合法的な開示命令には応じる義務があります。違いは、その命令に至るための手続きの厳格さと透明性の程度です。
まとめ
メールの内容を守るという意味では、Proton Mailは現時点で最高水準のセキュリティを持つメールサービスです。エンドツーエンド暗号化・ゼロアクセス暗号化・オープンソース・独立監査という組み合わせは、Gmailや一般的なメールサービスには存在しない保護です。
一方で、完全な匿名性を保証するサービスではありません。IPアドレス・メタデータ・アカウントに登録した情報は、スイスの正規の法的手続きを経た場合に開示対象となります。2021年と2024年の事例はこれを示した実例です。
また、スイスのVÜPF改正案の動向次第では、現在の法的な強みが将来的に変化する可能性があります。この点は注視が必要です。
ProtonMailは「メールの内容を読まれたくない人」のための最善の選択肢であり、「法執行機関から完全に身を隠したい人」のためのツールではありません。自分の目的に照らして、どの程度の保護が必要かを判断した上で使うことが重要です。
コメント