VPNのノーログ主張を確認する方法：5つのテスト

VPNのノーログ主張はどう確認すればよいのでしょうか。サーバーを直接調べることはできませんが、約束の裏付けがどれだけあるかを確かめることはできます。ポリシーに実際何が書かれているかを読み、監査人の名前と報告書があるかを探し、その監査が何を対象にいつ行われたかを確認し、家宅捜索や裁判といった実際の検証事例がないかを調べ、さらに会社の所有者と、悪いニュースへの対応を確かめます。

これが重要なのは、VPNがインターネットプロバイダーのかつて見ていたものをすべて見られるからです。EFFのVPN選びガイドは、VPNがISPからあなたの閲覧内容を隠す一方で、そのすべてがVPNプロバイダーには見えている¹と率直に述べています。さらに、「接続データを記録しないと主張している企業でも、それが善良な行動を保証するわけではありません」¹と警告しています。以下の5つのテストでは、当サイトで取り上げているプロバイダーの実例を使っており、その中には主張が通用しなかった例も含まれます。

「ノーログ」とは実際に何を意味するのですか？

通常は、トンネルを通じたあなたの行動や、接続をあなたに結びつけられる情報をVPNが記録しない、という意味です。会社がデータを一切保存しないという意味になることは、ほとんどありません。

ログには大きく2種類あります。アクティビティログは、閲覧したサイト、DNSの問い合わせ、ダウンロードしたファイルなど、あなたの行動を記録します。接続ログは、実際のIPアドレス、使用したVPNサーバー、接続した時刻と時間、転送したデータ量といった、セッションに関するメタデータを記録します。アクティビティログは残さなくても接続ログを残すVPNは、サーバーのIPと時刻が分かっている相手があなたと行動を結びつける手助けになってしまう可能性があります。まさに、後述するPureVPNの事例がそうでした。また、どのVPNも料金を請求する必要があるため、アカウント情報と支払い情報はある程度保有しています。

テスト1：プライバシーポリシーには実際に何と書かれているか

読むのはホームページではなくポリシーです。信頼できるポリシーは、何を、どのくらいの期間、なぜ保持するのかを列挙しています。一方、弱いポリシーは「ノーログ」と大きく書き、「接続データ」や「利用データ」にはずっと下のほうで触れるだけで、説明がありません。

EFFは、プライバシーポリシーで明確に除外していなければ、VPN企業がデータを記録する可能性がある¹と指摘しています。ですから、明示的な除外事項を探してください。Mullvadのポリシーは、どの程度の詳しさを期待すべきかの良いお手本です。そこには、「接続の記録は一切なく、接続した時刻、切断した時刻、接続時間、そしてあらゆるタイムスタンプも含まれません」²と書かれており、IPアドレスやDNSリクエストも記録しないとしています。続いて、保持するものを列挙しています。アカウント番号とその有効期限、支払い方法によって異なる支払いの詳細、そしてスウェーデンの会計規則で7年間の保存が義務づけられている記録です。アカウントごとの現在の接続数はメモリ上にのみ保持されます。この一覧のすべてを気に入るかどうかは人それぞれですが、少なくとも中身は確認できます。

これを2017年にTorrentFreakが明らかにした内容と比べてみてください。PureVPNはログを残さないとうたっていましたが、プライバシーポリシーにはサーバーが接続時刻と帯域幅を自動的に記録する³と書かれていました。FBIがマサチューセッツ州の男をサイバーストーキングの容疑で捜査した際、PureVPNは、ある顧客が自宅と勤務先の2つのIPアドレスからサービスにアクセスしていたことを捜査官に伝えられました。同じポリシーには、「特定のユーザーに特定の活動を結びつけられる」記録は保持しないとも約束されていました。どちらの記述も厳密には事実であり、合わせれば容疑者を特定するのに十分でした。PureVPNはその後、ポリシーを変更し、独立した監査を受けたとしています。現在のノーログのページ⁴には、ユーザーの接続元IP、割り当てられたVPN IP、接続時刻は記録しないと書かれています。

テスト2：監査法人の名前が明示されていて、報告書を読むことができますか？

監査を受けたという主張は、監査を行った会社名、日付、そして実際に開ける報告書や要約がなければ、あまり意味がありません。プロバイダーが「独立した監査を受けた」と言いながら、誰が行ったのかを明かさない場合は、その主張は未検証のものとして扱ってください。

EFFは、その価値を次のように説明しています。VPNプロバイダーは、サービスを第三者によるセキュリティ監査にかけ、その結果を公開することができます¹。当サイトで取り上げているプロバイダーのいくつかは、まさにそれを実践しています。

この表にはいくつか注目すべき点があります。Protonは、2022年から2026年までのSecuritumによる5件のレポートすべてを1つのページ¹¹からリンクしており、主張を自分で確かめやすくなっています。NordVPNの最初の2回の保証業務（2018年と2020年）は、Deloitteに移る前にPwCが実施¹²しました。PIA独自のノーログのページには2022年、2024年、2025年のDeloitte監査¹³が記載されており、最新のものは2025年12月19日に完了していますが、PIAは完全なレポートを公開せず、顧客に提供¹⁴する形をとっています。最も判断が難しいのがPureVPNです。2020年には「KPMG Validates PureVPN No-Log Claims」¹⁵という記事を公開しましたが、現在のノーログのページ⁴では、社名を伏せた「well known audit firm」による2023年2月の評価について触れ、PureVPNを、その会社が予告なしに確認できる「always-on audit VPN」と呼んでいます。現在の監査人が明らかにされておらず、レポートも公開されていなければ、その範囲を判断できないため、読んで確かめられるレポートより重みを下げて考えましょう。

テスト3：監査は何を対象とし、いつ行われましたか？

確認すべき点は3つあります。監査が一時点を見たのか一定期間を見たのか、ノーログの主張を検証したのか一般的なセキュリティを検証したのか、そして、どれほど古いかです。監査はこの3点すべてで大きく異なります。

ある1日か、それとも数か月か？

VPNのノーログ監査の多くは、ISAE 3000という基準に基づく保証業務で、1つの日付時点の状態を説明するものが少なくありません。ExpressVPNの2025年のKPMGレポートは、2025年2月28日時点⁷でのノーログ管理の設計を確認したものです。PIAのDeloitteレポートは、2022年6月30日時点⁸のサーバー設定を説明していました。Protonの監査人は、2026年のレビューをサーバーのサンプルを対象とした、ある時点での確認⁵と説明しています。時点での確認からわかるのは、その日に管理が正しく設定されていたことです。1年を通じてそのとおりに運用されていたかどうかまでは、あまりわかりません。一定期間にわたって管理がどう運用されたかを検証する業務（保証の用語では「Type 2」とよく呼ばれます）のほうが、より強い証拠になるので、レポートを読む際はその記載を探してください。

ノーログ監査か、セキュリティ監査か

この2つは、答える問いが異なります。Mullvadの2024年のCure53監査は、OpenVPNとWireGuardのステージングサーバー各1台¹⁰とデプロイ用コードのセキュリティを検証し、中程度の問題1件と軽微な問題1件（いずれも修正済み）を見つけ、ユーザーの匿名性を損なう方法は見つからなかったとしています。これは価値のあるもので、サーバーがどう構築されているかを示す証拠になりますが、ノーログの検証として題された報告書ではありません。どちらの種類も有用なものとして扱い、一方をもう一方と混同しないでください。

どれほど新しいか

IVPNのノーログ監査は、2019年のCure53によるものだけで、同社は今後ノーログ監査は依頼せず、年1回のセキュリティ監査に頼る⁹としています。これは明確に表明された、理解できる方針ですが、ノーログという具体的な主張については古い証拠に頼ることになります。直近のクリーンな監査であっても、それは一時点のスナップショットにすぎません。EFFも、特に政府から強制された場合など、監査後に運用が変わらないという保証はない¹と指摘しています。

テスト4：その主張は実社会での試練を乗り越えましたか？

最も強力な証拠は、法的権限を持つ者が実際に調べに来たときに何が起きたかです。家宅捜索、サーバーの押収、裁判での召喚状などがそれにあたります。こうした事例はまれで、自分で起こせるものでもありませんが、公の記録に残っている場合は、どんな監査よりも重みがあります。

• Mullvad、2023年。スウェーデン警察は、顧客データが入ったコンピューターを押収するための捜索令状を持って、Mullvadのヨーテボリのオフィスを訪れました。Mullvadはそのようなデータは存在しなかった¹⁶としており、警察官は何も持ち出さずに帰りました。
• ExpressVPN、2017年。トルコ当局は、ロシア大使暗殺事件の捜査中に、ExpressVPNのサーバーを押収しました。ExpressVPNは、接続ログを保持していないため、調べても有用な情報は得られなかった¹⁷と述べています。
• Private Internet Access、2016年。爆破予告の偽情報をめぐるフロリダ州の刑事事件で、FBIはPIAに召喚状を出しました。TorrentFreakが報じた刑事告訴状によると、PIAが提供できた情報は、使われたIPアドレスがアメリカの東海岸のものだったということだけでした¹⁸。（TorrentFreakは、PIAが自社のスポンサーの1社であることを開示しています。）2018年にサンノゼで行われた連邦のハッキング裁判では、PIAの法務責任者が、PIAは顧客のインターネット活動のログを保持していないと証言しました¹⁹。
• Windscribe、2025年。フィンランドにあるサーバーの1台が2023年の不正侵入に使われたとされ、ギリシャの検察当局はWindscribeのCEOを個人として起訴しました。この件は2025年4月11日に棄却²⁰され、Windscribeは提出できるログがなかったと述べています。Windscribeは、保持しているのはアカウントの最終利用日と30日間の通信量合計²¹のみだとも説明しています。
• PureVPN、2017年：反例。テスト1で説明したとおり、PureVPNはノーログをうたっていたにもかかわらず、その接続記録がFBIの捜査に役立ち³、サイバーストーキングの容疑者を自宅と職場のIPアドレスに結びつけることができました。

実社会での試練は、プロバイダーではなく法律の限界を示すこともあります。2021年、Protonは、Europolを通じたフランス警察の要請に基づくスイスの拘束力のある命令により、メールサービスであるProton Mailでフランス人活動家のIPアドレスを記録する²²ことを強制されました。ProtonのCEOは、スイスの法律ではVPNのログ記録を同じ形で強制することはできないと述べています。ここで重要なのは、プロバイダーがノーログの約束を守れるのは、拠点を置く国の法律が許す範囲に限られるという点です。EFFも同じ点を指摘しています。プロバイダーは、政府からの要請に関する法律を含め、その国々の法律に従う必要がある¹のです。

テスト5：誰が所有していて、悪いニュースにどう対応しましたか？

ノーログの約束は、それを掲げる企業の信頼性を超えるものではありません。プロバイダーの所有者、法的な本拠地、そして過去のインシデントをどれだけ迅速かつ誠実に開示したかを調べましょう。

• 開示の速さ。2018年3月、データセンター事業者が残していた安全でないリモート管理システムを通じて、攻撃者がフィンランドのデータセンターにあるNordVPNのサーバー1台にアクセスしました。NordVPNはそのサーバーにユーザーの活動ログはなかったと述べましたが、この侵害が公になったのは2019年10月²³で、約1年半後のことでした。
• 所有者の変更。以前はCrossriderという名前だったKape Technologiesは、2021年にExpressVPNを買収²⁴しました。買収額は約9億3,600万ドルで、Private Internet AccessとCyberGhostも傘下にあります。新しい所有者はノーログの約束を引き継ぎますが、売却前に行われた監査が記述しているのは、旧会社の姿です。
• 最近のインシデント。2026年、Surfsharkは、設定ミスのあった社内テスト用サーバーが、プロキシサーバーとともにインターネットからアクセスされていた²⁵ことを開示しました。本番のVPNインフラと顧客データには影響がなかったとしています。企業がこのようなインシデントをどう説明し、その後どう対応するかは、多くのことを物語ります。

これらの事実のどれも、それだけでプロバイダーを除外する理由にはなりません。慎重な企業でも情報漏えいは起こりますし、所有者の変更も珍しいことではありません。見るべきなのは、その企業がそうした出来事を速やかに、わかりやすく知らせているかどうかです。EFFはここに人の面からのテストを加えています。「そのVPNが情報セキュリティ界隈で知られた人々によって設立されたものであれば、信頼できる可能性が高くなります。」¹

これらの確認はどう組み合わさるのですか？

ノーログであることを単独で証明できるテストはありません。大きな文字で「ノーログ」とうたうだけのプロバイダーより、5つすべてに合格したプロバイダーのほうが、より高い信頼に値します。

使い方の目安は次のとおりです。まずテスト1から始め、ポリシーがあいまいならそこで打ち切ります。次に、監査機関の名前が明記されているか(テスト2)、対象範囲と日付(テスト3)を確認します。プロバイダー名に「raid(家宅捜索)」「seizure(押収)」「subpoena(召喚状)」「court(裁判所)」を組み合わせて検索するとテスト4の証拠が見つかります。さらに過去のインシデント履歴(テスト5)も読みましょう。Mullvad、Proton VPN、NordVPN、ExpressVPN、PIA、Windscribe、PureVPNの各レビューでは、プロバイダーごとにこの証拠を出典つきでまとめており、ノーログVPNのまとめ記事では各社を横並びで比較しています。

そもそもVPNが必要かどうかまだ迷っている場合はVPNは必要?から、無料VPNを検討している場合は先に無料VPNと有料VPNの違いをお読みください。これらのテストに最も落ちやすいのは無料サービスです。