はじめに（この記事で分かること）#

ExpressVPNは、押収されたサーバーから何も出てこなかった事例を持ち、全サーバーをRAMだけで動かし、KPMGのノーログ監査を繰り返し受けている。それでも匿名性を最重視するランキングでは、匿名VPNランキングで5位に置いた。理由は二つある。契約にメールアドレスが要り、2026年には暗号資産での支払いも受け付けなくなったこと。そして、親会社Kape Technologiesと、かつての幹部をめぐる経緯が、信頼の根拠を別の角度から問い直させることだ。

この記事は、公式ページ・監査の公開資料・米司法省の発表を2026年11月8日に確認した範囲で、5軸それぞれの根拠と弱点を整理する。どの脅威モデルなら合理的な選択になり、どこから先は向かないのかを最後に示す。

前提: 脅威モデルの整理#

脅威モデル入門の5種類の相手のうち、VPNが働きかけるのは主にISPと、接続先のサイトやプラットフォームだ。ISPには通信先が見えなくなり、サイトにはVPNのIPアドレスが見える。その代わりに、ISPが見ていたものの多くをVPN事業者一社が見る位置に立つ。

だからVPNの評価は「この一社に何を預けることになるか」の評価になる。ExpressVPNの場合、預けるものは二層に分かれる。一つはサーバーを流れる通信そのもので、TrustedServerと監査はこちらを守る仕組みだ。もう一つはアカウント側の記録で、メールアドレス、支払い情報、そしてプライバシーポリシーが収集すると明記している利用統計がここに入る。後者はRAM-onlyのサーバーとは別の場所にあり、サーバー押収の事例では試されていない。この二層を分けて読むと、ExpressVPNの強みと弱みの位置がはっきりする。

5軸評価: ノーログ実績#

ExpressVPNのノーログ方針が外部から試された例として知られるのは、トルコの事件だ。2016年12月にアンカラで駐トルコ・ロシア大使Andrei Karlovが殺害された事件の捜査で、実行犯のGmailとFacebookの記録がVPN経由で消されていたことが分かり、トルコ当局はその接続が通ったExpressVPNのサーバーをデータセンターで押収した。TorrentFreakの2017年12月19日の記事によれば、押収は2017年1月で、事実が公になったのが同年12月だった。サーバーを調べても役に立つ情報は出てこなかった、と同記事は伝えている。

同じ記事が引用するExpressVPNの声明は、「2017年1月にトルコ当局に伝えたとおり、捜査員が挙げたIPアドレスをどの顧客が使っていたかを知るための接続ログを、ExpressVPNは持っておらず、持ったこともない」という趣旨だ。押収後に捜査員が直接ログを求めてきたこと、ExpressVPNはこの件の後トルコに物理サーバーを置くのをやめ、トルコのIPアドレスをオランダのサーバーに割り当てる「仮想ロケーション」に切り替えたことも、同記事はExpressVPNの説明として載せている。

ここで確認の範囲を断っておく。TorrentFreakがリンクしている公式声明のページ（expressvpn.com/blog/expressvpn-statement-andrey-karlov-investigation/）は、2026年11月8日の時点でHTTP 410（削除済み）を返し、Internet Archiveでも保存対象から除外されていた。現行の公式サイトでは、TrustedServerのページにも、沿革を載せたAbout Usのページにも、トルコの件は書かれていない。この記事では、TorrentFreakが引用した声明を一次に近い記録として扱い、それ以上の細部（当時のサーバーの構成など）は書かない。

この事例が示すのは、押収されたVPNサーバーの中に利用者を特定するログがなかった、ということだ。アカウント側のデータベースが法的手続きで調べられた記録ではない。PIAのように米国の法廷記録でログの不在が争われた例とも性質が違う（PIAレビュー）。

もう一つの材料は、ExpressVPN自身が半年ごとに出している透明性レポートだ。2026年8月6日公開の2026年1〜6月分では、政府・法執行機関・民事の要請が137件、令状が3件、DMCA通知が1,361,382件あり、VPNの利用ログや接続ログの開示につながった要請は0件とされている。ただし、これは事業者の自己申告で、レポートが数えているのは「利用ログ・接続ログの開示」だ。メールアドレスや支払い情報といったアカウント情報を提供したかどうかには、このレポートは触れていない。

5軸評価: 監査#

監査の数と継続性は、ExpressVPNの強い軸だ。2025年6月25日の公式ブログは、公開済みの第三者監査が23件に達したと書いている。監査機関はKPMG、PwC Switzerland、Cure53、F-Secure、Praetorianで、2026年10月20日更新の監査解説ページによれば2018年から監査を依頼している。

ノーログ方針に直接かかわるものを時系列で並べると次のようになる。

公開時期監査機関対象と基準時点レポートの入手条件
2019年PwC Switzerlandプライバシーポリシーへの準拠とTrustedServer公式の監査一覧から
2022年10月KPMGサーバーがプライバシーポリシー（利用ログ・接続ログを収集しない方針）に沿っているかの統制KPMGの利用条件への同意が必要
2022年10月Cure53TrustedServerの侵入テストとソースコード監査PDFを直接公開
2024年5月KPMGTrustedServerとプライバシーポリシーの主張に関する統制（2023年12月12日時点）。ISAE (UK) 3000 Type 1KPMGの利用条件への同意が必要
2025年6月KPMGTrustedServerとプライバシーポリシーの主張（2025年2月28日時点）。ISAE (UK) 3000 Type 1KPMGの利用条件への同意が必要

2025年のKPMG監査について、ExpressVPNは「システムが設計どおりに機能しているという合理的保証（reasonable assurance）が得られ、利用ログの防止策に問題は見つからなかった」と書いている。KPMGのレポート本体は誰でも読めるが、閲覧ページで利用条件に同意する必要があり、条件の6(j)は見込み客がレポートを保存・印刷することを認めていない。読めるが持ち出せない、という公開の仕方だ。一方、2022年のCure53によるTrustedServer監査はPDFが直接公開されている。

数え方にも小さな揺れがある。2025年のブログ記事は見出しで「3回目のKPMG監査」と書きながら、本文では「KPMG LLPによる2回目の評価の完了」と書いている。この記事では、公式に確認できたKPMGの公開を2022年・2024年・2025年の3回として扱う。

監査の限界は、ExpressVPN自身の書き方からも読み取れる。KPMGの2回の評価はどちらも「Type 1」と明記されている。一般にType 1はある時点の統制の設計と実装を見るもので、一定期間を通じて統制が運用されていたかを見るType 2とは違う。基準日の前後にどう運用されていたかは、この種の監査の対象外だ。

5軸評価: 匿名開設と決済#

この軸が、ExpressVPNのもっとも弱い部分になる。2026年10月2日更新のプライバシーポリシーは、アカウントに「メールアドレスと支払い情報などの個人データが必要」と書いている。Mullvadのような番号だけのアカウントは用意されていない。

支払い手段は、2026年5月7日更新のサポートページによれば、クレジットカード、デビットカード、PayPal・Apple Pay・Google Payといった決済手段だ。決済手段の紹介ページは、Visa、Mastercard、American Express、Discover、JCBなどのカードと、PayPal、Apple Pay、Google Payを挙げている。どちらのページにも、暗号資産、現金、ギフトカードは出てこない。

暗号資産については、2026年8月11日更新の更新手続きガイドが「ExpressVPNは、BitPay経由を含め、暗号資産を支払い手段としてサポートしなくなった」と明記している。以前に暗号資産（BitPay経由）で購入した契約は自動更新されない、とも書かれている。受付を終えた正確な日付は、確認した公式ページには書かれていなかった。

料金は、2026年11月8日に購入ページで確認した時点で、すべて米ドル表示だった。2年契約に4か月を足した28か月のプランが3種類並び、最安のBasicは最初の28か月で83.72ドル（月あたり2.99ドル相当）、その後は年99.95ドルで自動更新される。AdvancedとExpress Proも同じ構成で、初回はそれぞれ117.32ドルと201.32ドル、更新は年119.95ドルと199.95ドルだった。購入ページはブラックフライデーのセールを表示しており、割引率は時期で変わる。新規利用者には30日間の返金保証が付く。同時接続は1契約で最大14台と公式ページに書かれている。

匿名性の観点で読み直すと、ExpressVPNとの契約では、メールアドレスに加えて、カード会社や決済事業者の側にも実名に近い記録が残る。以前は暗号資産という選択肢がわずかに残っていたが、それも閉じた。匿名でVPNを契約する方法で整理した二つの軸、つまりアカウント登録と支払い手段のどちらでも、ExpressVPNは身元と契約を切り離す手段を提供していない。

5軸評価: 管轄とインフラ#

ExpressVPNのサービスを運営するのはExpress Technologies Ltd.で、プライバシーポリシーは本社と登記を英領ヴァージン諸島（BVI）に置き、BVIの管轄で運営すると書いている。公式のAbout Usは、BVIにはVPN事業者にデータ保存を義務付ける法律がないと説明している。

親会社については、2021年に買収されてKape Technologiesのグループに入った。2021年12月16日の公式ブログは、ExpressVPNは別ブランド・別サービスとして既存の体制で運営を続け、顧客データはBVI管轄の独自の法人で保持し、プライバシーポリシーへの準拠を確かめる監査を毎年受けると約束している。2026年10月更新の公式ページも「ExpressVPNはKape Technologiesのグループの一員」と書いており、確認した範囲で社名変更や親会社の交代を示す公式の発表は見つからなかった。

Kapeは2018年3月まで、Crossriderという社名だった。イスラエルの経済紙Globesの2018年3月11日の記事によれば、当時のCEOは「広告技術の世界から完全に離れた」と語り、社名変更の理由の一つに「会社の過去の活動との強い結びつき」を挙げている。Kapeへの批判の多くは、このCrossrider時代の事業に向けられている。批判の具体的な中身は二次的な論評が中心で、この記事では立ち入らない。

人の面で書いておくべきなのは、ExpressVPNの幹部だったDaniel Gerickeの件だ。米司法省（コロンビア特別区連邦検事局）の2021年9月14日の発表によれば、元米情報機関・軍関係者の3人が同年9月7日に起訴猶予合意（DPA）を結んだ。Gerickeはその一人で、3人はUAEに拠点を置く会社（発表では「U.A.E. CO」と社名を伏せている）の上級管理職として、2016年から2019年にかけてUAE政府のためのコンピューター・ネットワーク攻撃（ハッキング）を支援・実行したとされた。米国の輸出管理法（ITAR）上の許可なく防衛役務を提供したことと、コンピューター不正・アクセス手段不正にかかわる法律への違反が問われた。合意の条件として、Gerickeは3年間で33万5,000ドルを支払い、捜査への協力、保安適格性の放棄、ネットワーク攻撃にかかわる職務への就業制限などを受け入れた。起訴猶予合意は有罪答弁ではなく、義務を守れば訴追は続けないという取り決めだ。合意期間の満了後にどう処理されたかは、今回確認した資料では分からなかった。

司法省の発表は、会社名も作戦名も出していない。ExpressVPNは2021年9月16日の公式声明で、2019年12月にGerickeを採用したとき「経歴は知っていた」が、機密の活動の詳細や、今月決着した捜査については知らなかったと説明し、「Project Ravenを容認しない」と書いた。VICEの2021年9月23日の記事は、ExpressVPNが採用時にGerickeのCyberpointとDarkMatterでの勤務歴を把握していたと説明したこと、Project Ravenの規模はReutersが2019年に初めて報じたことを伝えている。同じ公式声明は、最小権限の原則により、VPNサーバーの保守や変更の担当者でなければ、Gerickeも共同創業者も、サーバーに変更を加える権限を持たないとも書いている。2023年7月25日のKape・ExpressVPNの発表は、経営陣の交代の一環として、Gerickeが退任済みまたは退任手続き中だとしている。

インフラの中心はTrustedServerだ。公式ページによれば、VPNサーバーはRAMだけで動き、再起動のたびにすべてのデータが消える。起動のたびにOSを含むソフトウェア一式の読み取り専用イメージを最新版から読み込む。About Usの沿革は、TrustedServerの導入を2019年としている。2022年にはインドから物理VPNサーバーを撤去したことも、同じ沿革に載っている。サーバーのハードウェアを自社で所有しているか（コロケーションか）は、確認した公式資料には書かれていなかった。

5軸評価: 技術の先端性#

独自プロトコルのLightwayは、Rustで書かれ、AGPL-3.0でGitHubに公開されている。公式の沿革は2021年にCure53の監査を受けてオープンソース化したとし、2026年10月更新の公式ページは、Lightwayの監査を2024年にPraetorian（3回目）とCure53（4回目）が行ったと書いている。

耐量子化は早かった。2025年1月15日の公式ブログによれば、Lightwayは以前から組み込んでいたKyberを、NISTが標準化したML-KEMに置き換えた。古典的な暗号と耐量子の暗号を組み合わせるハイブリッド方式で、TCPとUDPの両方でNISTのセキュリティレベル5に相当する鍵長を使う。公式ページは、耐量子保護をLightwayとWireGuardの両方の実装に展開したとも書いている。ただし、ブログは最新版のアプリを使えばよいと書くだけで、すべての接続で既定で有効かどうかは明記していない。

難読化については、公式ページが「制限の厳しいネットワークで安定して接続するための難読化技術」を持つと書いているが、方式の説明はない。Mullvadのダミートラフィック注入（DAITA）のような、トラフィックの量やタイミングの解析への対策は、確認した公式資料には見当たらなかった。VPNを使っていても通信の時刻と量から利用者が推定される経路については、通信のタイミング相関で扱っている。

脅威モデル別の向き不向き#

広告網やデータブローカーから閲覧履歴を集められたくない人にとって、ExpressVPNは合理的な選択肢の一つになる。この相手が欲しいのは名前ではなく、同じ人が何を見ているかという紐付けで、ExpressVPNのメール必須という弱点はほとんど効いてこない。一方で、サイトから見えるIPアドレスが変わっても、Cookieやブラウザの特徴で追跡は続く。VPNより先にブラウザフィンガープリントの対策を固めるほうが、この脅威モデルでは効果が大きい。

取材源を守る記者の場合は、評価が割れる。サーバーの中にログが残りにくい設計と、繰り返しの監査は、通信の中身や接続先が後から掘り出されるリスクを下げる。しかし、ExpressVPNのアカウントにはメールアドレスと支払い記録が結び付き、プライバシーポリシーによれば、その日に接続が成功したかどうか、接続したサーバーのロケーション、利用者ごとの通信量の合計、接続元の国とISPも収集される。「この記者がこの日にVPNを使っていた」という事実は、事業者の側に記録として残りうる。取材源との関係そのものを隠したいなら、VPN一枚に頼らず、調べものにはTor Browser、連絡には電話番号を識別子にしないメッセンジャーを組み合わせるほうが筋がよい。

サーバーを匿名で運営する開発者には、ExpressVPNは向かない。運営用の回線を契約者の身元から切り離したい場面で、メール必須とカード決済は最初の一段で身元を結び付けてしまう。サーバーのIPアドレスを隠す構成はWireGuardによるクリアネットのIP秘匿で扱っており、ここでは番号アカウントと匿名決済に対応する事業者を選ぶほうが合理的だ。

限界と残るリスク#

この記事の評価の多くは、ExpressVPN自身の説明に依っている。TrustedServerの仕組み、透明性レポートの件数、監査の結論の要約は、どれも事業者が書いたものだ。第三者の目を通っているのは、KPMGやCure53のレポートが対象にした範囲と、トルコの押収のように外部の当局が実際にサーバーを調べた一件に限られる。そのトルコの件も、公式の声明ページはすでに削除されており、現在は報道記事の引用でしか確認できない。

監査は時点評価だ。2025年のKPMG監査が確かめたのは2025年2月28日時点の統制で、その後の運用を保証しない。運用の継続を外から確かめる手段は、次の監査と透明性レポートしかない。

方針は変わりうる。暗号資産決済の終了がその実例で、以前は受け付けていた支払い手段が、サポートガイドの更新で選択肢から消えた。親会社の下で運営体制やポリシーが変わる可能性も、2021年の約束（別ブランドとしての運営、BVI管轄の独自法人でのデータ保持、毎年の監査）が守られているかどうかで見ていくしかない。料金と支払い手段は、契約の直前に購入ページで確かめてほしい。

VPNそのものの限界もある。どれほどログを持たない事業者でも、端末の侵害、アカウントへのログイン、文章の癖、DNSやWebRTCの漏れといった経路からの特定は防げない。キルスイッチやDNSリークの確認のような基本の確認は、事業者を選んだ後にも残る。

まとめ#

軸評価根拠（2026-11-08確認）
ノーログ実績○2017年1月のトルコでのサーバー押収で利用者を特定する記録は出なかった（TorrentFreak、公式声明は削除済み）。アカウント側が試された記録はない
監査◎KPMGのノーログ関連監査を2022・2024・2025年に公開、第三者監査は計23件。KPMGレポートは利用条件への同意が必要で保存不可
匿名開設と決済×メールアドレス必須。カード・PayPal・Apple Pay・Google Payのみで、暗号資産は2026年8月11日更新のガイドで受付終了を明記
管轄とインフラ○BVIの法人が運営、TrustedServer（RAM-only・読み取り専用イメージ）を2019年に導入。親会社Kapeと元幹部のDPAという経緯
技術の先端性○オープンソースのLightway、ML-KEMのハイブリッド耐量子。トラフィック解析への対策は公式資料に見当たらない

広告網からの追跡を減らしたい人が、監査の厚さと設計の分かりやすさを重視して選ぶなら、ExpressVPNは筋の通った選択になる。その場合も、ブラウザ側の対策を先に済ませておくとよい。取材源の保護が目的なら、ExpressVPNは通信経路の一部を任せる道具にとどめ、身元と結び付いたアカウントで接続していることを前提に、Torと電話番号不要のメッセンジャーで関係そのものを守る設計にするのが合理的だ。契約から身元を切り離すことが要件に入るなら、選択肢は番号アカウントと匿名決済を持つ事業者になる。まずMullvadのレビューと、各社を同じ物差しで並べた匿名VPNランキングを読み比べてほしい。

出典#