はじめに（この記事で分かること）#

NordVPNは、ノーログの第三者監査を2018年から6回受けてきた。監査の回数で見れば業界でも多い部類に入る。一方で、契約にはメールアドレスが要り、2024年10月にはパナマの検察の令状に応じて、ある利用者の支払い関連データとアカウントの存在を提供したと、同社自身が公表している。

監査が多いことと、匿名で使えることは別の話だ。この記事では、NordVPNの公式ページ、公式ブログ、プライバシーポリシーの文言を2026-11-08に確認し、5つの軸で評価する。結論を先に書くと、通信内容と接続記録を事業者に残したくない読者にとっては有力な選択肢になるが、「誰が契約者か」を事業者にも知られたくない読者にとっては、構造上の弱みが残る。

評価の枠組みはノーログVPN 2026年版の5段階の証拠レベルに、他社との順位は匿名性重視のランキング（NordVPNは4位）に合わせている。

前提: 脅威モデルの整理#

脅威モデル入門では、相手を5種類に分けた。VPNを使うと、接続先のサイトからは利用者の接続元のIPアドレスが隠れ、同じWi-Fiにいる第三者や通信事業者（ISP）からは、最終的な接続先と通信の中身が見えにくくなる。ISPに対して隠れないものもある。ISPが持つ契約者情報と、ISP自身が割り当てたIPアドレスはそのまま残り、NordVPNのヘルプも、ISPに見える情報としてVPNサーバーのIPアドレス、接続した時刻、送受信したデータ量を挙げている。代わりに、VPN事業者という観測点が一つ増える。

VPN事業者に何を預けるかは、二つに分けて考えると整理しやすい。一つは通信に関する情報で、どのIPからいつ接続し、どこへアクセスしたかという記録だ。もう一つは契約に関する情報で、メールアドレス、支払いの記録、アカウントの作成日などがこれにあたる。ノーログ監査が検証するのは主に前者で、後者は監査の対象外になりやすい。NordVPNの評価は、この二つで結果が大きく分かれる。

5軸評価の一覧#

先に結果を表にまとめる。各項目の根拠は、以下の節で出典とともに示す。参照日はすべて2026-11-08。

軸評価根拠の要点
ノーログ実績○（自社発表）2024年10月のパナマの令状で、提供できたのは支払い関連データとアカウントの存在確認のみと公表。2018年の侵害サーバーにも活動ログはなかったと説明。いずれも第三者の記録ではなく自社の発表
監査○PwCスイス2回、Deloitteリトアニア4回の計6回。ただし報告書は一般公開されず、契約者がログイン後に閲覧する方式
匿名開設と決済△メールアドレス必須。暗号資産（Bitcoin、Ethereum、Litecoin、ステーブルコインを公式が例示）と小売店での現金購入に対応。Moneroは公式の例示にない。支払い記録は最後の取引から10年保存
管轄とインフラ○運営主体はパナマのnordvpn S.A.。全サーバーRAM-onlyと公式が説明。自社所有は「相当数」（原文 "A big chunk"。比率は公表されていない）で、残りはパートナー運用
技術の先端性○NordLynx（WireGuard＋独自のダブルNAT）、耐量子暗号（任意で有効化、NordLynxのみ）、難読化サーバーとNordWhisper。トラフィック解析対策をうたう機能は確認できず

5軸評価: ノーログ実績#

ノーログの宣言を評価するとき、最も強い材料は、令状や押収のような法的手続きの中で「出すデータがなかった」ことが記録に残った事例だ。Mullvadの2023年の令状訪問や、PIAの米国での召喚状がその例にあたる。NordVPNについて、裁判記録や当局側の文書で確認できる事例は、今回の調査では見つからなかった。

その代わりに、NordVPN自身が公表している記録が二つある。

一つ目は、2024年10月のパナマの令状だ。NordVPNは透明性レポートのページに追記する形で、刑事捜査に関連してパナマの検察から拘束力のある令状を受け取り、保有するデータの提供を法的に義務づけられたと書いている。提供できたのは「支払い関連のデータと、当局が示したメールアドレスに紐づくアカウントが存在することの確認」だけで、通信のログや接続のログは収集していないので提供するものがなかった、という説明だ。同じページの集計では、2026-11-06時点で利用者情報の開示につながった命令は1件とされている。政府機関からの照会は、2025年以降の各四半期で79〜88件と記載されている。

この記録は、NordVPNのノーログ宣言を裏付ける材料であると同時に、メールアドレス必須の方式が何を意味するかを具体的に示している。当局がメールアドレスを特定していれば、そのメールアドレスでNordVPNを契約していたことと、支払いの記録は事業者から出てくる。通信の中身や接続記録は出てこない。どちらの面も、同社の公表どおりに読める。

二つ目は、2018年のフィンランドのデータセンターでの侵害だ。経緯は後の「管轄とインフラ」の節で扱うが、NordVPNは、この件で侵入者がサーバー上にユーザーの活動ログを見つけられなかったのは、ログがそもそも存在しないからだと説明している。

読み（推測を含む）#

二つの記録はどちらもNordVPN自身の発表で、令状の原本や裁判所の記録で裏付けたものではない。発表が事実なら、ノーログの宣言は法的な強制の場面で一度試され、宣言どおりの結果になったと読める。一方で、提供されたデータの範囲は事業者の申告以外に確かめる手段がない。この点で、当局側の手続きが公になったMullvadやPIAの事例とは証拠の強さが一段違う。表で「○（自社発表）」としたのはこのためだ。

なお、比較サイトのOpenTheRankにもこのパナマの令状についての記載がある。この記事では、比較サイトではなくNordVPNの透明性レポートの文言を出典にした。

5軸評価: 監査#

NordVPNのノーログページは、独立した監査を6回受けたと書いている。最初の2回はPricewaterhouseCoopers AG Switzerland、その後はDeloitteが担当した。各回の公式発表で確認できた内容を表にまとめる。

回年監査人実施期間と範囲（公式発表の記載）
12018PwC AG Switzerland2018年末に実施（2020年の発表による）
22020PwC AG Switzerland2020-05-20〜05-28。限定的保証業務。難読化、Double VPN、P2Pサーバーを範囲に追加
32022Deloitteノーログページに「2022年にDeloitteが実施」とある（個別の発表は今回未確認）
42023Deloitte Audit Lithuania2023-11-30〜12-07、報告書は12-13付。ISAE 3000（改訂版）。難読化、Double VPN、標準、Onion Over VPN、P2P
52024Deloitte Audit Lithuania2024-11-18〜12-20。ISAE 3000。標準、Double VPN、Onion Over VPN、難読化、P2P
62025Deloitte Lithuania2025-11-10〜12-12、報告書は12-12付。合理的保証業務、ISAE 3000（改訂版）。標準、Double VPN、難読化、Onion Over VPN。発表は2026-02-03

6回目は「合理的保証業務（reasonable assurance engagement）」と書かれており、2020年の「限定的保証業務（limited assurance engagement）」より保証の水準が高い形式になっている。どの回も「その時点の評価（point-in-time）」であると、NordVPN自身が明記している。

報告書の公開方法には制約がある。6回目の発表は、報告書が技術的な内容であるため抜粋を一般には公開しない、契約者はNord Accountにログインすれば全文を読める、と書いている。4回目の発表も、抜粋は文脈から切り離されて誤解されるのを避けるため共有できない、閲覧にはNordVPNのアカウントへのログインが必要、としている。つまり、契約者でなければ報告書を読めない。

公式ページの記述には不揃いもある。ノーログページの同じ本文の中で、冒頭は「6回すべてに合格」と書き、下の段落は「PwCが2018年と2020年、Deloitteが2022年・2023年・2024年。5つの報告書すべてが」と2024年までで止まっている。Trust Centerも「2018年の後にさらに4回」と書いており、6回目の発表が反映されていない。回数は個別の発表と冒頭の記述から6回とした。

読み（推測を含む）#

監査が毎年続いていること、監査人が大手であること、範囲に特殊サーバーが含まれていることは、NordVPNの強みだ。ただ、報告書が契約者限定である以上、契約していない読者は範囲と結論を自分で読めず、NordVPNの要約を信じるしかない。Securitumによる監査報告書をPDFで一般公開しているProton VPNとの差はここにある。また、監査が検証するのはサーバーの設定と運用で、メールアドレスや支払い記録のような契約側の情報が保存されること自体は、ノーログの宣言と矛盾しない。

5軸評価: 匿名開設と決済#

アカウントの識別子#

NordVPNの契約には、Nord Accountの作成が必要になる。日本語の料金ページのFAQは、注文ページでメールアドレスを入力し、支払い方法を選ぶ手順を案内している。一般プライバシーポリシー（2026-08-09更新）も、サービスの提供のためにメールアドレスや支払いの詳細といった個人データを収集すると書いている。

ポリシーには保存期間も書かれている。メールアドレスなどのアカウント情報はアカウントが存在する間保存され、請求と支払いの情報は会計・税務などの規制に従うため、最後の取引から10年保存される。アカウントを削除しても、支払いの記録は残る。

NordVPN固有のプライバシー通知（2026-07-19更新）は、ノーログの方針として、帯域幅の使用量、通信ログ、IPアドレス、閲覧情報を保存しないと書く。そのうえで、同時接続数を制限するために最後のセッションの情報を扱い、セッション終了後15分以内に自動で削除すること、乱用防止とチャージバック対応のために「過去90日以内に利用したかどうか」だけを扱うことを明記している。追加サービスにも注意書きがある。専用IPを買うと、メールアドレスとアカウント情報がそのIPアドレスに紐づく。Smart DNSを有効にすると、利用者のIPアドレスが保存される。

決済手段#

支払い方法は、公式の二つのページで確認した。ヘルプ記事（更新日の表示なし）は、クレジットカード、暗号資産、PayPal、Sofort（Klarna）、銀行振込、プリペイド（デビット）カードなどを挙げ、現金で払いたい場合は小売店でサブスクリプションを購入できると案内している。日本語の料金ページのFAQは、暗号資産について「Bitcoin、Ethereum、Litecoin、Stablecoinを含む幅広い暗号資産」と銘柄を例示し、一部の小売店で現金で買えるプリペイドカードがあること、匿名性が必要なら現金で払うよう案内している。チェックアウトに表示される支払い方法は国や通貨によって異なる、とも書いている。

決済代行については、一般プライバシーポリシーが、支払い処理を担う主要な委託先としてStripe、Adyen、PayPal、Checkout Ltdと並べてCoinGate（リトアニア）を挙げている。暗号資産の決済にCoinGateが使われていると読めるが、ポリシーは委託先の一覧を示すだけで、どの決済手段にどの事業者が使われるかまでは書いていない。

Moneroは、料金ページの例示にもヘルプ記事にも名前がなかった。第三者の比較サイトは対応銘柄をさらに多く挙げているが、公式の記載では確認できなかったため、この記事では採用していない。実際に選べる銘柄は、購入画面で確かめる必要がある。

料金（2026-11-08時点、日本円）#

日本語の料金ページの記載では、VPN機能だけのベーシックプランは、1か月プランが月2,280円、1年プランが最初の15か月で11,700円、2年プランが最初の27か月で15,660円だった。1年・2年プランの更新価格は、いずれも年21,960円と書かれている。上位のコンプリートプランとエリートプランには、パスワードマネージャーやクラウドストレージなどが加わる。全プランに30日間の返金保証があり、1アカウントで10台まで同時接続できる。確認時はブラックフライデーのセールが表示されており、初回価格は時期によって変わる。消費税が加わる場合がある、とも書かれている。

読み（推測を含む）#

パナマの令状の件で提供されたのは、まさにこの契約側の情報だった。暗号資産や小売店での現金購入を選べば、支払いの記録から実名にたどり着く経路は細くなる。それでもメールアドレスは必ず残り、支払いの記録は10年残る。Bitcoinは台帳が公開されているため、送金元のアドレスを取引所の本人確認と結びつけられる可能性がある（Bitcoinの追跡可能性を参照）。メールアドレスなしで番号だけのアカウントを作れ、Moneroや現金郵送を直接受け付けるMullvadとは、この軸で差がつく。支払い手段ごとに何が残るかはVPNを匿名で支払う方法で比較している。

5軸評価: 管轄とインフラ#

管轄#

NordVPNのプライバシーポリシーは、個人データの取り扱いに責任を負う会社を、パナマ市に所在するnordvpn S.A.としている。ノーログページは、パナマにはVPN事業者に適用されるデータ保存義務の法律がないと説明している。ポリシーは、法執行機関からの要請について、パナマ共和国の法律が定める手続き（刑事共助条約や嘱託書など）に従っているかを確認すると書く。一方で、EEAでのGDPR上の代理人はオランダのNordSec B.V.で、個人データをNordのグループ会社と共有することがあるとも書いている。ブランドはNord Securityのグループに属し、同社のサイトは創業者の名前と製品群を挙げている。

2024年10月の令状がパナマの検察から出されたことは、パナマを経由する手続きが実際に機能することを示している。管轄が国外であっても、当局の手が届かないわけではない。

2018年のフィンランドでの侵害#

NordVPNは2019年10月21日の公式ブログで、この件の経緯を時系列で説明している。問題のサーバーは2018年1月31日に稼働を始めた。侵入はおそらく2018年3月5日ごろに起き、データセンターが、NordVPNに知らせずに追加していた安全でないリモート管理用アカウントを削除したことで、3月20日に封じられた。NordVPNがこの侵害を知ったのは2019年4月13日で、同日にサーバーを廃棄し、そのデータセンターとの契約を解除した。

同社の説明では、影響を受けたのはフィンランドのサーバー1台で、侵入者はTLS鍵を取得した。NordVPNは2019年10月の公表時点で、その鍵はすでに期限切れだと説明している。侵入者が取得した時点で鍵が有効だったかどうかは、公表文からは分からない。この鍵ではNordVPNの通信を復号できず、悪用には特定の相手を狙った高度な中間者攻撃と、被害者の端末やネットワークへの特別なアクセスが必要だったという。利用者の認証情報への影響はなく、活動ログは存在しないため見つからなかった、とも書いている。公表が遅れた理由として、5,000台を超えるサーバーの事業者と設定を見直し、同じ攻撃が他で再現できないと確かめるまで公表すべきでないと判断したことを挙げている。

この後、NordVPNは新しく構築するサーバーのディスクを暗号化し、バグバウンティを始め、自社で所有・管理するコロケーションのサーバーへの移行を進めると発表した。

RAM-onlyとサーバーの所有#

Trust Centerは現在、NordVPNのサーバーは従来のハードディスクに依存せず、サーバーのデータはすべてRAMに保存され、電源が切れた瞬間に消えると説明している。サーバーの所有については、「VPNサーバーの相当数」（原文は"A big chunk of our VPN servers"。比率は公表されていない）が社内のチームによって所有・保守・管理され、残りはパートナーが運用するサーバーで、同じ厳格なセキュリティ要件のもとで管理されている、という書き方だ。全サーバーが自社所有になったとは書かれていない。ほかに、検証済みのソフトウェアだけが動くよう暗号化された起動プロセスを使うこと、サーバーは7,000台以上で225か所にあることも記載されている。

クライアントについては、LinuxアプリのCLIが数年前からオープンソースで、GUIのソースコードも公開されているとTrust Centerが書いている。Windows、macOS、モバイルのアプリについて、同様の公開の記載は見当たらなかった。

読み（推測を含む）#

2018年の侵害は、レンタルしたサーバーではデータセンター側の管理者が事業者の知らないところで入り口を作れる、という問題を示した。RAM-onlyは電源断の後にディスクに残る情報を減らすが、稼働中の記録までは防げない。コロケーションは、ハードウェアと管理の仕組みを事業者が自社で統制しやすくする。それでも施設、電源、回線などはデータセンター事業者などの第三者に依存し続ける。Mullvadも、自社所有のサーバーの一部をホスティング事業者に預けていると明記している。NordVPNはこの両方を進めているが、公式の記述を読む限り、所有の面ではパートナー運用のサーバーが残っている。どのサーバーが自社所有かを利用者が見分ける方法は、公式ページでは確認できなかった。

5軸評価: 技術の先端性#

NordLynx#

NordLynxは、WireGuardをもとにNordVPNが作ったプロトコルで、2020年に導入された。公式ブログによると、WireGuardは本来、サーバー上で利用者と内部IPアドレスを結ぶ静的な表を持つ必要がある。NordVPNはこれを避けるため、独自のダブルNATを組み込んだ。一つ目のインターフェースは同じサーバーに接続する全員に同じローカルIPを割り当て、二つ目はトンネルのセッションごとに動的にIPを割り当てる。この割り当てはセッションが続く間だけ有効で、認証は外部のデータベースで行うため、VPNサーバー上に利用者を識別できるデータは保存されない、という説明だ。暗号はChaCha20とPoly1305を使う。

耐量子暗号#

NordVPNは2024年9月末にLinuxアプリでNordLynxの耐量子暗号を導入し、2025年初めにWindows、macOS、Android、iOS、Apple TV、Android TVにも広げたと公式ブログで説明している。Linux版の発表は、アップグレードしたプロトコルが米国国立標準技術研究所（NIST）の最新の耐量子暗号の標準に準拠していると書いている。

この機能には条件がある。ヘルプ記事によると、耐量子暗号はNordLynxでのみ働き、OpenVPNなど他のプロトコル、専用IP、難読化サーバー、Meshnetを使うときは無効になる。設定画面で利用者が有効にする手順が案内されており、既定で有効かどうかは公式の記載では確認できなかった。

採用しているアルゴリズムの名前（ML-KEMなど）は、今回確認した公式のブログ、機能ページ、ヘルプ記事のいずれにも書かれていなかった。報道や第三者の解説はML-KEMと伝えているが、この記事では公式の記載どおり「NISTの標準に準拠」とだけ書く。

難読化と検閲回避#

難読化サーバーは、VPNの通信であることを示す情報をパケットから取り除き、通常のHTTPSのように見せることで、VPNを遮断するネットワークを通り抜けるための機能だと公式ページは説明している。2025年1月29日には、ウェブトンネルの技術でVPNの通信を通常の通信に見せかけるNordWhisperというプロトコルも発表された（Nord Securityのプレスリリースの日付。NordVPNのブログの解説記事は2025年8月27日付で、その後も更新されている）。NordWhisperは他のプロトコルより遅くなる場合があり、手動で選ぶ必要があり、専用IPやOnion Over VPNとは併用できない。

ここで、耐量子暗号と難読化サーバーが同時に使えない点に注意が要る。検閲の強い環境で難読化を選ぶと、耐量子の保護は外れる。

トラフィック解析への対策#

MullvadのDAITAのように、通信のタイミングや量のパターンから中身や接続先を推測する解析への対策をうたう機能は、2026-11-08時点でNordVPNの公式ページに見当たらなかった。VPN事業者や通信の両端を観測できる相手による解析の仕組みは、通信のタイミング相関で扱っている。

脅威モデル別の向き不向き#

広告事業者のトラッキングや、公衆Wi-Fiでの盗み見を避けたい一般ユーザーにとって、NordVPNは合理的な選択肢になる。通信と接続の記録を残さないという宣言は6回の監査で検証され、2024年の令状でも通信の記録は出なかったと同社は公表している。この脅威モデルでは、契約者がNordVPNに知られていることはあまり問題にならない。ただし、VPNは閲覧先のサイトにログインした時点の識別や、ブラウザのフィンガープリントは防がない。

取材源を守る記者や、権力に批判的な発信をする人にとっては、条件付きになる。相手が当局で、何らかの経緯でメールアドレスを把握された場合、NordVPNの契約の有無と支払いの記録は出てくる。この脅威モデルでNordVPNを使うなら、本名と結びつかないメールアドレス（匿名メールとエイリアスを参照）と、本人確認と結びつきにくい支払い手段を組み合わせるのが合理的だ。それでも支払いの記録が10年残る点は変わらない。契約者であること自体を知られたくないなら、メールアドレスを求めないMullvadのほうが構造上の弱みが少ない。

サーバーを匿名で運営する、あるいは開発作業の出口を隠す用途では、NordVPNを選ぶ理由は薄い。この用途で問題になるのはサーバー側の痕跡で、VPNの選択より設計が効く。WireGuardの踏み台でSSHを公開しない構成やIPを隠したままサイトを公開する構成を先に検討したほうがよい。また専用IPを買うと、そのIPがメールアドレスとアカウントに紐づくと公式が明記している点にも注意が要る。

検閲の強い国から接続する場合は、難読化サーバーとNordWhisperが選択肢になる。前述のとおり、その場合は耐量子の保護が外れる。検閲回避の手段の比較はTorの検閲回避にまとめている。

限界と残るリスク#

この記事の評価のほとんどは、NordVPN自身の説明に基づいている。監査は第三者によるものだが、報告書は契約者しか読めず、記事で引用した範囲や結論はNordVPNの発表文の要約だ。令状の件も、2018年の侵害も、同社の発表のほかに一次の記録を確認できていない。公式の説明と第三者の検証を分けて読む必要がある。

評価は2026-11-08時点のものだ。監査はどれも、実施期間中のシステムの状態を確かめたにすぎない。プライバシーポリシーは2026年8月、NordVPN固有の通知は2026年7月に更新されており、ログの方針や保存期間は将来も変わりうる。ポリシーは、重大な変更の場合は事前に通知すると書いている。支払い方法の一覧も国によって異なり、ヘルプ記事には更新日の表示がない。

VPNは、事業者という観測点を増やす代わりに、接続先のサイトからは接続元のIPアドレスを隠し、ISPからは最終的な接続先と通信の中身を見えにくくする道具で、それ以上のものではない。ISPの契約者情報、割り当てたIPアドレス、VPNへ接続した時刻と通信量は隠れない。NordVPNが記録を残さなくても、ログインしたサービス側の記録、端末に残る痕跡、通信の両端を観測できる相手からは守れない。どの層で何が漏れるかはVPNの匿名性を段階別に解説で整理している。

まとめ#

軸評価一言
ノーログ実績○（自社発表）2024年の令状で出たのは支払いとアカウントの存在だけと公表
監査○6回、ただし報告書は契約者限定
匿名開設と決済△メール必須、支払い記録は10年保存。暗号資産と小売店の現金には対応
管轄とインフラ○パナマ、RAM-only、所有は相当数が自社（比率は非公表）
技術の先端性○NordLynx、耐量子（NordLynxのみ・任意）、難読化。解析対策は確認できず

通信の記録を事業者に残したくない、という目的に対して、NordVPNは監査の回数と2024年の令状の公表という材料を持っている。広告対策や公衆Wi-Fiでの保護が目的なら、合理的な選択になる。

契約者が誰かを事業者にも知られたくない場合は、評価が変わる。NordVPNを選ぶなら、契約前に二つを決めておきたい。本名と結びつかないメールアドレスを用意すること、そして購入画面で暗号資産か小売店の現金購入が選べるかを確かめることだ。そこまでしても契約の痕跡を残したくないなら、Mullvadのレビューを読んで比較してほしい。監査報告書を自分の目で読みたい読者には、報告書を公開しているProton VPNのレビューが比較の対象になる。

出典#