「Y2mateは安全か？」という問いへの正直な答えは、「問題ない」か「ウイルスだ」かの二択よりも複雑です。この記事では、ウイルス対策ソフトのベンダーやGoogleのSafe Browsingが実際に何を警告しているのか、サイトが実際に行っていることと指摘されていることの違い、そしてどのダウンローダーにも使える評価チェックリストを紹介します。
なお、筆者は競合ツール（TubePullの広告なしY2Mate代替ツール）を開発しています。その点を明示したうえで、以下の内容はすべてリンク先の情報源で確認できます。
ウイルス対策ソフトやブラウザは実際に何を警告しているのか？
ウイルス対策ソフトのベンダーやブラウザが警告しているのは、抽象的なブランドではなく、特定のY2mateドメインとその広告の挙動です。セキュリティツールが評価するのは、あくまで個々のドメインです。この前提を踏まえたうえで見ていきます。
Google Safe Browsing。 これまでに、さまざまなY2mateドメインがSafe Browsingの警告（「この先は偽のサイトです」「このサイトには有害なプログラムが含まれています」）の対象になってきました。警告の理由は通常、ダウンロードツールそのものではなく、偽装広告や不要なソフトウェアに関するものです。特定のURLはSafe Browsingの透明性レポートで確認できます。
PUP（不要と思われるプログラム）。 ウイルス対策ソフトのベンダーは、ストリームリッピングサイトの周辺に出回るものの多くをPUPに分類しています。これは従来型のウイルスではありませんが、広告を挿入したり、ブラウザの設定を変更したり、不要な「ダウンロードマネージャー」をインストールしたりするソフトウェアです。Malwarebytesは、広告収入に頼るダウンローダーが「通知を許可」のプロンプトを通じて頻繁に押し付けるプッシュ通知系PUPのカテゴリーについて解説しています。
マルバタイジング（悪意のある広告）。 ベンダーの報告で繰り返し指摘されているのは、サイト自体のコードは無害でも、読み込まれるサードパーティの広告ネットワークが偽のダウンロードボタン、偽の警告で不安をあおるスケアウェア、インストールを促すプロンプトを配信しているという点です。こうした広告素材は絶えず入れ替わるため、あるドメインが1時間前はスキャンを通過しても、次の1時間には引っかかることがあります。「Y2mateは安全か」に安定した「はい／いいえ」の答えがないのはこのためです。
Safe Browsingやウイルス対策ベンダーの警告は、特定の時点における特定のドメインについてのシグナルであり、多くの場合は広告レイヤーに関するものです。誰かが実際に感染した証拠ではありません。それでも、記録に残り、繰り返し確認されているリスクのパターンであることは確かです。
Y2mateが実際に行っていること
中核となる仕組みはごく平凡です。Y2mateはYouTubeのメディアストリームを取得し、ファイルとして提供します。これはyt-dlpやTubePullが行っているのと基本的に同じ処理で、それ自体に悪意はありません。
リスクがあるのは仕組みではなく、配信環境です。
- 広告レイヤー。 偽のダウンロードボタンを伴う攻撃的な広告です。本物のリンクは、おとりのボタンより小さいことがよくあります。
- 通知とリダイレクトのプロンプト。 この種のサイトは、ブラウザ通知の送信許可を求めてきたり（その後スパムを送りつけます）、クリックをリダイレクトの連鎖に飛ばしたりします。
- 「ヘルパー」や「マネージャー」への誘導。 ダウンロードを「解除」するためと称して、ブラウザ拡張機能やダウンロードマネージャーのインストールを促すものです。これが最もリスクの高い要素で、通常の動画ダウンロードにこうしたものが必要になることはありません。
目的のファイル自体は、たいてい正規のものです。危険なのは、そこにたどり着くまでにページがクリックさせようとするすべてのものです。偽のボタンを無視し、すべてのプロンプトを拒否し、何もインストールしないという完璧な操作ができれば、動画だけを手に入れられることも多いでしょう。しかし、毎回完璧に操作できる人はほとんどいません。
Y2mateだけではない。このカテゴリー全体に共通するリスク
Y2mateだけを特別に危険だと決めつけるのは誤解を招きます。このパターンは、広告収入に頼るストリームリッピングサイト全体に見られるものです。
SaveFrom.netは、「SaveFrom.net Helper」拡張機能をめぐって長年批判を受けてきました。この拡張機能は、コンテンツを挿入し、広範な権限を要求するとしてPUPに分類されています。構造的な理由は同じです。無料ツールの唯一の収入源が広告で、最も高い広告費を払う広告主が詐欺的なキャンペーンを展開していれば、このカテゴリーのどのサイトも同じ危険な広告レイヤーに行き着きます。ブランドはほとんど関係ありません。
法的な側面もあります。IFPIなどの音楽業界団体は長年にわたりストリームリッピングサイトを追及しており、その結果ドメインの変更が絶えません。ドメインが移るたびに評判の履歴はリセットされ、クローンサイトが似た名前を登録できるようになります。「今日は安全」なサイトでも、来月には同じブランド名のまま別の運営者になっているかもしれません。
建設的な問いは「Y2mateは安全か」ではなく、「このツールは、そもそも危険を避けながら操作することを強いてくるか」です。
どんなダウンローダーにも使える評価方法
ブランド名ではなく、目の前のツールそのものを評価しましょう。
- 拡張機能が不要であること。 URLからファイルへのダウンロードは、すべてサーバー側で完結します。拡張機能や「マネージャー」を必須とするツールは、この作業に不要な権限を求めています。
- HTTPSで、リダイレクトの連鎖がないこと。 ファイルが届くまでに、クリックが広告トラッキング用のURLを経由するべきではありません。
- 本物のダウンロードボタンが1つだけであること。 大きなボタンが複数ある場合、そのほとんどは広告です。
- 通知の許可を求めないこと。 正規のツールにプッシュ通知は必要ありません。
- 収益モデルが明確であること。 サブスクリプションなら、ツールの利益とユーザーの利益が一致します。「無料」に大量の広告とデータ収集が組み合わさったモデルでは、そうはなりません。
- 公開されている記録を確認すること。 Safe Browsingの透明性レポートで正確なドメインを検索し、ツール名に「malware」や「PUP」を付けて検索してみましょう。
- 1回使っただけで透かしや有料化の壁が出てこないこと。 これは本物の無料ツールではなく、見込み客を集めるための導線であるサインです。
いくつも当てはまらないなら、使うのをやめましょう。すべて満たしているなら、ブランドはほぼ関係ありません。
おすすめのツール
TubePullは、このチェックリストのすべての項目を満たすように作られています。拡張機能は不要、全体がHTTPS、本物のダウンロードボタンは1つ、通知のプロンプトはなく、広告ではなく任意のサブスクリプションで運営されており、マルウェアとして警告された履歴もありません。1080pまでは無料で、1440p/4Kは有料プランで利用できます。
オープンソースなら、yt-dlpが最も信頼できるツールです。広告もバンドルソフトもなく、活発にメンテナンスされており、ずっと無料で使えます。デスクトップのGUIが欲しい場合は、4K Video DownloaderやClipGrabがよく知られた選択肢です。いずれを選んでも、「Y2mateは安全か」という問いを不安定なものにしている危険な広告レイヤーを避けられます。
それでもY2mateを使う場合は、身を守る使い方をしてください。信頼できる広告ブロッカーを入れ、すべてのプロンプトを拒否し、何もインストールしないことです。代替ツールについては、Y2mate代替ツールのガイドと無料ダウンローダーのまとめをご覧ください。
まとめ
Y2mateのダウンロードの仕組み自体はごく普通のものです。記録に残っているリスクは、広告と、それが押し付けてくる拡張機能やプロンプトにあります。Safe Browsingやウイルス対策ベンダーはこれらに対して繰り返し警告を出してきましたが、広告レイヤーが入れ替わるため、その警告は一貫していません。害を受けずに使えることもありますが、それは毎回完璧に操作できることに賭けているのと同じです。より良い選択は、あなたとファイルの間に危険を置かないツールを使うことです。TubePull、Y2Mate、SaveFrom、noadsdl、cobalt.toolsの詳細な比較もご覧ください。