はじめに（この記事で分かること）#

「ノーログ」という言葉は、すべてのVPN事業者がプライバシーポリシーに書いている。差がつくのは、その宣言を誰がどう検証したかだ。

この記事では、ノーログポリシーの信頼性を5段階の証拠レベルで評価する枠組みを示し、主要プロバイダがそれぞれどのレベルまで到達しているかを比較する。監査が時点評価である限界と、監査レポートが公開されているかどうかで信頼度が変わる理由を、両方とも書く。

前提: 脅威モデルの整理#

ノーログポリシーの信頼性を評価する相手は、VPN事業者自身と、事業者に法的な要請を出す可能性のある法執行機関だ。

脅威モデル入門で整理した5種類の相手のうち、ISPはVPN事業者への接続という事実は知るが、その中身は知らない。法執行機関は、VPN事業者にデータの提出を求めることができる。事業者がデータを持っていなければ、提出するものはない。

「ノーログ」の信頼性を評価するとは、この「提出するものがない」という状態が、どこまで検証可能かを問うことだ。

5段階の証拠レベル#

レベル内容強さ
L1: 宣言プライバシーポリシーに「ノーログ」と書いてある誰でも書ける
L2: 外部監査独立した監査法人がサーバーとプロセスを検査した強いが時点評価
L3: 実証令状・押収・法廷で「データが存在しなかった」ことが確認された事後的に偽造不可能
L4: アーキテクチャRAM-onlyサーバー、コロケーション。電源断の後にデータが残りにくい設計押収時の残存を減らす。稼働中の記録の有無は別に検証が要る
L5: 匿名開設・匿名決済メール不要、Monero/現金決済。契約時点から身元が紐付かない加入時点から匿名

L1だけのプロバイダと、L3まで達しているプロバイダでは、信頼の根拠がまるで違う。

L1: 宣言は証拠にならない#

すべてのVPN事業者が、プライバシーポリシーに「ノーログ」と書いている。宣言そのものは、検証の対象にならない。

宣言の質を左右するのは、宣言の範囲だ。「利用ログを保持しない」と「接続ログも保持しない」は別の主張だ。また、「保持しない」と「一定期間後に消去する」は別の主張だ。ポリシーの文言を、宣言の範囲ごとに読む必要がある。

L2: 外部監査は時点評価である#

外部監査は、宣言の妥当性を独立した第三者が検査するものであり、L1よりはるかに強い。しかし、監査は特定の時点の状態を検査するものであり、監査以降の変更は保証しない。

監査の信頼性を評価するポイントは三つある。監査機関が誰か（Deloitte、KPMG、PwCといった大手か）。監査レポートが公開されているか。監査が年次で継続しているか。

監査レポートが非公開の場合、監査の範囲と結論を読者が検証できない。Proton VPNはSecuritumによる監査レポートをPDFで公開している。NordVPNは監査回数が多いが、レポートは契約者がログインしたときにしか読めず、一般には公開されていない。

L3: 令状と押収が作る最強の証拠#

事業者に法的な要請が出され、事業者がデータを提出できなかった実績は、監査レポートよりも強い証拠だ。監査は事業者が委託するものだが、令状への対応は事業者が制御できない外部の検証だからだ。

Mullvadは、2023年4月にスウェーデン警察National Operations Department（NOA）の6名の警察官から令状を伴う訪問を受けた。Mullvadの声明によれば、顧客データは存在しなかったため、押収するものがなかった。

PIAについては、2016年の米国の事件の裁判記録に、PIAが提供できたのは使われたIPアドレス群が東海岸のものだという情報だけだったと書かれている。2018年の事件は報道で伝えられており、PIA自身は自社のページで「2016年と2017年に召喚状を受けた」と表記している。

ExpressVPNの場合、2017年1月にトルコ当局がサーバーを押収した（報道されたのは同年12月）。ExpressVPNは、利用者の接続ログを持っていなかったと説明している。RAM-onlyのTrustedServerは2019年に導入されたが、押収の件との因果関係は公式には説明されていない。

L4: アーキテクチャが電源断後の残存を減らす#

RAM-onlyサーバーは、すべてのデータをRAM上に保持し、ディスクに書き込まない。サーバーが再起動または電源断になると、すべてのデータが消える。Mullvad、NordVPN、ExpressVPN、PIAは、この構造を採用している。

ただし、RAM-onlyが保証するのは電源が切れた後にデータが残りにくいことまでだ。稼働中のサーバーで記録を取ること、記録を外部へ転送することは、RAM-onlyでも防げない。ディスク暗号化を選んだProtonは自社のブログで、コンピューターが動いている間はRAMもハードディスクと同じように読み出せると書いている。PIAがDeloitteの監査で示した記述（報告書の付録）でも、RAM-onlyとは別に、展開の過程でコンテナのログ出力を無効にしていることが説明されている。ログを無効にする設定と、それが運用で守られていることは、RAM-onlyとは別に検証しなければならない。Proton VPNはRAM-onlyではなく、ディスク全体を暗号化し、鍵をサーバーの外に置く方式をとっている。

コロケーション（自社によるハードウェアの所有と管理）は、ハードウェアと、それを管理する仕組みを事業者が自社で統制しやすくする。施設、電源、回線などは、それでもデータセンター事業者などの第三者に依存し続ける。Mullvadは、自社所有のサーバーを物理的に管理していると書く一方で、その一部を31173 Servicesがホスティングしていることも明記している。NordVPNは、VPNサーバーの相当数（原文は"A big chunk"。比率は公表されていない）を自社で所有・管理し、残りはパートナーが運用していると説明している。2018年にフィンランドのデータセンターで起きた侵害（NordVPNが把握したのは2019年4月）は、第三者のデータセンターに置いたサーバーで起きたものだった。

Proton VPNの2025年のSecuritumの監査は、2025年8月18日から20日にチューリッヒのProtonのオフィスで行われた。監査人は稼働中のシステムを確認したが、レポート自身が、Protonの技術者の案内を受けた確認であり、監督なしのフォレンジック調査とは違うと書いている。監査レポートはsecuritum.comでPDFとして公開されている。

L5: 匿名開設と匿名決済#

契約の時点で身元が紐付かないことが、ノーログポリシーの効果を完成させる。

Mullvadは、メールアドレスを要求しない。アカウントは16桁の番号で管理される。決済手段は、現金郵送、Monero、Bitcoin、Bitcoin Cash、銀行振込、クレジットカード、PayPal、Swishに対応している。暗号資産での決済は10%割引される。

IVPNも、メールアドレスを要求しないアカウント番号制を採用している。決済手段は、現金、Monero（自前ノード経由）、Bitcoin（自前のBTCPayサーバー経由）、PayPal、クレジットカードに対応している。

主要プロバイダの比較#

プロバイダL1L2L3L4L5備考
Mullvad✓✓（Assured、Radically Open Security、Cure53、X41など）✓（2023年令状捜査。Mullvad発表）✓（全台RAM-only。自社所有と専有賃借）✓（メール不要・Monero/現金）ポート転送なし
Proton VPN✓✓（Securitum年次×5、レポート公開）△（自己申告の透明性レポートのみ。押収・法廷の記録なし）○（Secure Core、暗号化ディスク）△（Protonアカウントが必要。新しいProton Mailアドレスでも作れる。現金・Bitcoinは可）スイス管轄
NordVPN✓✓（PwC×2、Deloitte×4。レポートは契約者のみ）△（2024年パナマの令状。自社発表）✓（RAM-only。相当数を自社所有、比率は非公表）△（暗号資産可・メール必須）パナマ管轄
ExpressVPN✓✓（KPMG×3、Cure53）✓（2017年1月トルコ押収）✓（TrustedServer）×（メール必須・暗号資産不可）BVI管轄。Kape傘下の注意点
PIA✓✓（Deloitte 2022・2024・2025）✓（2016年は裁判記録、2018年は報道）✓（RAM-only、定期再起動）△（メール必須・ギフトカードとプリペイドカードは可・暗号資産は受付終了）米国管轄。Kapeグループ
AirVPN✓×（監査を受けない方針）△（2015年の押収。運営者の申告のみ）△（起動ディスク＋RAMディスク）✓（実在メール不要・Monero等を直接受付）Eddieクライアント、ポート転送あり
IVPN✓✓×△✓（アカウント番号制・Monero自前ノード）オープンソース

限界と残るリスク#

この評価フレームワークにも限界がある。

監査は時点評価であり、監査後の変更は保証しない。年次監査を続けているプロバイダでも、監査の合間に変更が行われる可能性はある。

L3の実証は、事業者が法的な要請を受けた事例に限られる。要請を受けたことがない事業者には、このレベルの証拠が存在しない。L3の欠如は、プロバイダの信頼性の欠如を意味しない。

L5の匿名決済は、契約時点からの匿名性を確保するが、VPN接続の匿名性とは別の問題だ。VPN接続中のIPアドレスの隠蔽、ブラウザの指紋、アカウントのログイン履歴は、VPNの匿名性の段階で扱う別の問題だ。

まとめ#

ノーログポリシーの信頼性を評価するとき、見るべき箇所は宣言ではなく、宣言を検証した証拠だ。

監査レポートが公開されているか、監査が年次で継続しているか、令状や押収でデータが存在しなかった実績があるか、サーバーがRAM-onlyか、メールアドレスなしでアカウントを作れるか。この5つの問いに、出典付きで答えられるプロバイダが、匿名性の観点で評価に耐える。

Mullvadは5段階すべてを満たす。Proton VPNは、L2を監査レポートの公開とともに満たす。L3は、押収や法廷の記録がなく、自己申告の透明性レポートがあるだけなので部分的な評価にとどまる。L5も、Protonアカウントが必要なため部分的だ。既存のメールアドレスを渡さず、新しいProton Mailのアドレスでアカウントを作る経路はある。NordVPNは監査回数が最多だが、レポートが契約者にしか公開されていない点と、L5がメール必須のため部分的にとどまる点が評価を分ける。AirVPNはL5が強い一方で、L2の監査を受けない方針をとっている。どのプロバイダを使うかの判断は、匿名性重視のランキングで脅威モデルごとに整理する。

出典#