ノーログポリシーの実効性が高いVPNはどれ？
VPNを選ぶとき、多くのサービスが「ノーログポリシー」を掲げています。
記事のまとめ
ノーログポリシーの実効性が高いVPNの特徴
- 大手監査機関による監査結果を定期的に公開しているVPN
- データ保持義務のない国や地域に本社を置いているVPN
- 実際の裁判や捜査でログが存在しないことが結果的に証明されたVPN
ノーログポリシーを利用するメリット
- 不正アクセス時にユーザーログが流出しない
- 第三者にアクセスログを閲覧されづらい
- 情報開示請求に強い
- ターゲティング広告の追跡をかわしやすい
無料のノーログVPNは存在するのか
- 無料VPNのビジネスモデルとノーログ運営は矛盾する
- 無料VPNがノーログ運営を徹底することが難しく、実際に偽ノーログだったケースや情報漏洩が起きたケースもある
ノーログポリシーの信頼性が高いVPNまとめ
| VPN | 本社・サービス開始 | 第三者監査・実証実績 |
|---|---|---|
 NordVPN 公式サイト >  |
パナマ本社 2012年開始 |
PwC・Deloitteによる監査6回 |
 Surfshark VPN 公式サイト>  |
オランダ本社 2018年開始 |
Deloitte等による複数回の監査 |
 Express VPN 公式サイト >  |
英領ヴァージン諸島本社 2009年開始 |
PwC・KPMG・Cure53の監査 実際のサーバー押収事件でも実証 |
| CyberGhost | ルーマニア本社 2011年開始 |
Deloitte Romaniaによる連続監査 |
| Private Internet Access | アメリカ本社 2010年開始 |
Deloitteの監査 FBI召喚状・連邦裁判での実証（2回） |
ノーログVPNとは何か
ノーログポリシー＝通信ログを記録しない方針のこと
ノーログVPNとは、利用者がどのサイトにアクセスしたか、いつ接続したか、どのIPアドレスを使っていたかといった通信ログを記録しない方針を採用したVPNサービスのことです。
仮にVPN事業者のサーバーが不正アクセスを受けたり、政府機関から情報開示を求められたりしても、そもそも記録が存在しないため、開示できる情報がないという状態を目指しています。
ノーログポリシーは企業側の自己申告だけでは信用しづらい
つまり、掲げている方針が実際に守られているかどうかを、利用者側が判断する必要があるのです。
ノーログポリシーに実効性を持たせる方法
データ保持義務のない国や地域に本社を置く
多くの国や地域には、通信事業者に対して一定期間データを保持するよう義務付ける法律があります。
こうした法律がある国や地域に本社を置くVPN事業者は、法律上ノーログを徹底しづらい立場になります。
逆に、パナマやルーマニアのように、データ保持を義務付ける法律がない国に本社を構えることで、ノーログ運営との整合性を高めているVPN事業者も存在します。
| VPNサービス | 本社のある国と地域 |
| NordVPN | パナマ |
| CyberGhost VPN | ルーマニア |
| Express VPN | 英領ヴァージン諸島 |
5/9/14 Eyesに加盟していない国や地域に本社を置く
アメリカ・イギリス・カナダなどが参加する「5 Eyes」をはじめとする国際的な情報共有の枠組みに加盟している国では、加盟国間で通信情報が共有される可能性が指摘されています。
14 Eyes加盟国
- 米国
- イギリス
- カナダ
- オーストラリア
- ニュージーランド
- フランス
- オランダ
- デンマーク
- ノルウェー
- ドイツ
- イタリア
- スペイン
- ベルギー
- スウェーデン
こうした同盟に加盟していない国を拠点に選ぶことも、政府による情報開示リスクを抑える工夫のひとつです。
大手監査機関による監査結果を公開する
Deloitte、PwC、KPMGといった世界的な大手監査法人にサーバー構成や運用実態を確認してもらい、その結果を公開することで、ノーログポリシーが実際に守られていることを証明しようとするVPN事業者が増えています。
実際の裁判や捜査でログが存在しないことが証明された場合
監査は事業者が依頼して実施するものですが、裁判や捜査での実証は第三者の意思で行われるものであり、証明力の異なる、もう一段階信頼性の高い実績といえます。
おすすめのノーログVPNを比較
NordVPN｜ノーログ監査実績が充実した大手VPN
運営会社のNordVPN S.A.はデータ保持義務のないパナマに本社を置き、親会社のNord Security B.V.はオランダに拠点があります。
世界的な規模とサーバー数、監査実績の多さから、ノーログVPNを探すうえでまず候補に挙がるサービスです。
NordVPNは安全？
| 会社名 | NordVPN S.A. |
| 本社のある国 | パナマ |
| 親会社 | Nord Security B.V. |
| 創業年 | 2012年 |
Surfshark｜ノーログ監査実績が充実した大手VPN
Surfsharkは2018年に創業されたVPNです。
当初は英領ヴァージン諸島で登記されていましたが、2021年にオランダへ本社を移転しました。
2022年にはNordVPNの親会社と共同持株会社の傘下に入り、同一グループとなっていますが、インフラやノーログ監査はNordVPNとは独立して運用されています。
Surfsharkは安全？
| 会社名 | Surfshark B.V. |
| 本社のある国 | オランダ |
| 本社以外の拠点 | リトアニアのヴィリニュスとカウナス ポーランドのワルシャワ ドイツのベルリン |
| 創業年 | 2018年 |
| 同一親会社の VPN |
|
ExpressVPN｜ノーログの実効性が高い大手VPN
ExpressVPNは2009年に設立された老舗のVPNです。
運営会社のExpress VPN International Ltd.は、データ保持義務のない英領ヴァージン諸島に本社を置いています。
2021年に英国上場企業のKape Technologies PLCに買収されましたが、その後も独立したブランドとして運営されています。
- KMPGによる監査(2023年12月、2022年9月)
- Cure53による監査(2022年5月)
- PWCスイスによる監査(2019年6月)
2017年にはトルコの捜査当局にサーバーが押収された際にも、押収されたサーバーに記録が一切残っていなかったことが確認されており、実際の事件でノーログの実効性が証明された実績を持っています。
Express VPNは安全？
| 会社名 | Express VPN International Ltd. |
| 本社のある国 | 英領ヴァージン諸島 |
| 親会社 | Kape Technologies |
| 創業年 | 2009年 |
| 創業者 |
|
| 同一親会社の VPN |
|
CyberGhost｜ノーログ監査実績が充実した大手VPN
CyberGhostは2004年にルーマニアで設立され、2011年から現在の形でVPNサービスを提供しています。
運営会社のCyberGhost S.R.L.はルーマニアに本社を置いており、ルーマニアはEUのデータ保持指令を国内で違憲と判断した経緯があるため、データ保持義務のない国として知られています。
2017年にKape Technologies（当時はCrossrider）に買収され、ExpressVPNと同じグループに入りましたが、独立したブランドとして運営が続けられています。
CyberGhostは安全？
| 会社名 | CyberGhost S.R.L. |
| 本社のある国 | ルーマニアの首都ブカレスト |
| 親会社 | Kape Technologies |
| 親会社の本社のある国 | イギリス |
| 創業年 | 2011年 |
| 創業地 | ルーマニアの首都ブカレスト |
| 同一親会社の VPN |
|
PIA VPN｜監査や裁判でノーログを証明した大手VPN
PIA（Private Internet Access）は2010年にアメリカで設立されたVPNです。2019年にKape Technologiesに買収され、ExpressVPN・CyberGhostと同じグループに入りました。
一方で、2016年のFBIによる召喚状への対応や、2018年の連邦裁判での宣誓証言において、提出できるユーザーの活動ログが存在しなかったことが実際に確認されており、Deloitteによる監査も複数回受けています。
| 会社名 | PIA Private Internet Access, Inc. |
| 本社のある国 | アメリカ合衆国コロラド州 |
| 親会社 | Kape Technologies |
| 親会社の本社のある国 | イギリス |
| 創業年 | 2010年 |
| 同一親会社の VPN |
|
MillenVPN｜日本企業が運営する数少ないノーログVPN
MillenVPNは、日本のAzpocket株式会社が2020年から運営している国産VPNです。
総務省への電気通信事業の届出を行っており、日本国憲法や電気通信事業法における通信の秘密保護の規定が、運営上の法的な裏付けになっています。
実際にノーログでVPNサービスが運営されているのかを外部から確認する手段がありません。
| 会社名 | アズポケット株式会社 |
| 本社のある国 | 日本 大阪府大阪市中央区南船場4-10-5-702 |
| 親会社 | なし |
| 創業年 | 2016年 |
| 事業内容 |
|
ノーログVPNを利用するメリット
不正アクセスに強い
通信内容や閲覧履歴が記録されないため、仮にVPN事業者のサーバーが不正アクセスを受けても、流出する個人情報が最小限に抑えられる。
第三者に通信内容を閲覧されづらい
公共Wi-Fiなど、通信内容を第三者に見られるリスクがある環境でも、通信を暗号化しつつ利用履歴を残さずに済む。
情報開示請求に強い
政府機関などから情報開示を求められた場合でも、そもそも記録が存在しないため、開示できる情報がない状態を保てる。
ターゲティング広告による追跡を避けやすい
広告目的での行動追跡や、利用履歴に基づいたプロファイリングを避けやすくなる。
ノーログじゃなくてもノーログポリシーを掲げることができてしまう
ノーログポリシーは第三者機関の検証がなくても自由に掲げられる
プライバシーポリシーに書くだけであれば、実態が伴っていないサービスでもノーログという言葉を使うことができてしまいます。
PureVPNの事例｜ノーログを掲げながら実際はログを保持していた
2017年、大手VPNの一つであったPureVPNが、ノーログポリシーを掲げていたにもかかわらず、実際にはIPアドレスや接続時間などのログを一部保持していたことが明らかになりました。
米国でのサイバーストーカー事件の捜査において、FBIがPureVPNから得た情報が犯人特定の証拠として使われたのです。
大手のVPNであっても、ノーログを掲げながら実際には記録を残していたケースが実際に存在するということです。
ノーログの実効性が怪しいVPNの見分け方
- ノーログポリシーについて、独立した第三者機関による監査を受けているか、その結果が公開されているかを確認する。
- 本社所在地がデータ保持義務のある国かどうかを確認する。
- 過去にログの流出や、ノーログの主張と矛盾する事件が報道されていないか調べる。
- 運営会社の情報（法人名、所在地、連絡先）が公式サイト上で明確に開示されているかを確認する。
- 「完全に匿名」「絶対に安全」といった、根拠を伴わない誇張表現ばかりが並んでいないかをチェックする。
無料のノーログVPNは存在するのか
無料でVPNを使いたいと考える人も多いですが、無料VPNとノーログポリシーの相性には注意が必要です。
無料VPNのビジネスモデルはノーログと矛盾しやすい
無料で提供されているVPNの多くは、このコストを利用者から直接回収する代わりに、利用者のデータや帯域を何らかの形で収益化することで運営費を補っています。
無料VPNのビジネスモデル自体が、ノーログポリシーの理念とは矛盾しやすいものになっています。
無料VPNで実際に起きた情報漏洩・データ売買の事例
無料VPN「Hola」は、ユーザーの回線の帯域幅を姉妹会社経由で第三者に販売していたことが発覚し、利用者が知らないうちに自分の回線が他人の通信の中継地点として使われていました。
また、2020年には「UFO VPN」を含む7つの無料VPNアプリで、合計2,000万件を超えるユーザーのログが、パスワードの設定もないまま外部からアクセス可能な状態で公開されていたことが判明しています。
「SuperVPN」も2020年と2023年の2度にわたり、大規模なユーザーデータの流出を起こしています。
無料VPNを避けたほうがよい理由
これらの事例からも分かるように、無料VPNの多くは、ノーログポリシーを掲げていたとしても、それを支える監査体制や運営基盤が伴っていないケースが目立ちます。
プライバシー保護を目的にVPNを使うのであれば、多少のコストがかかっても、監査実績や運営実態が明確な有料のノーログVPNを選んだほうが良いでしょう。
よくある質問
ノーログVPNを使えば完全に匿名になりますか？
VPN事業者側がログを残さなくても、利用者自身が個人情報を含むアカウントでログインしたサービスを使えば、そのサービス側に行動が記録されます。
ノーログVPNは、通信経路上での記録を減らす手段の一つとして理解しておくとよいでしょう。
監査を受けているVPNなら絶対にノーログですか？
監査は特定の時点における運用状況を検証したものであり、未来永劫にわたる保証ではありません。
監査後に運用方法が変更される可能性もあるため、定期的に監査を受け続けているか、最新の監査結果が公開されているかを確認することが大切です。
Kape Technologies傘下のVPNは避けるべきですか？
Kape Technologiesは、かつてアドウェア配布に関連した「Crossrider」として知られていた企業であり、この点を懸念するユーザーも多いです。
一方で、買収後のExpressVPN・CyberGhost・PIAはいずれも独立した監査を継続的に受けており、技術的なアーキテクチャに買収による変更は加えられていないとされています。
過去の経緯をどう評価するかは、利用者自身の判断に委ねられる部分です。
日本国内の法律だけでもプライバシーは十分に守られますか？
日本には通信の秘密を保護する規定があり、電気通信事業法などの法的な枠組みも存在します。
ただし、この記事で紹介した海外の大手VPNのように、外部の監査機関による独立した検証結果が公開されているかどうかという点では、海外大手VPNのほうが公開されている情報が多く信頼できると言えます。
コメント