「ノーログ」VPN はどこまで信頼できるのか？マーケティング主張と現実の違い

VPN プロバイダーのウェブサイトを訪れると、必ずと言ってよいほど目に入る文句があります。「ログなし」「ユーザーデータは一切保存しない」「完全なプライバシー保護」。でも、もし警察がそのプロバイダーに対して令状を持ってやってきたら、本当に何も出てこないのでしょうか。実は、この問題は思ったより複雑です。この記事では、マーケティング用語の奥にある現実を見ていきます。

マーケティング主張と検証可能な現実の溝

VPN プロバイダーが「ノーログ」と言うときの「ログ」とは、ユーザーがどのウェブサイトにアクセスしたか、どの IP アドレスを使っていたか、いつアクセスしたのかといった接続記録を指します。郵便に例えるなら、誰が誰に手紙を送ったか、その配送日時はいつだったかという記録です。

しかし「ログなし」という主張と「実際にログがない」ことは、別問題です。プロバイダーがウェブサイトに何と書いてあるかは、その企業の希望や販売戦略に過ぎません。重要なのは、その主張が独立した第三者によって検証されているかどうかです。悪いニュースとしては、ほとんどの VPN プロバイダーは完全な検証を受けていません。良いニュースとしては、一部は受けています。その違いを理解することが大切です。

独立監査が確認できること、確認できないこと

数社のプロバイダーは、有名な監査会社や専門のセキュリティ企業から監査を受けています。PwC、Deloitte、KPMG、Cure53 といった名前を耳にするかもしれません。これらは信頼性の高い企業です。では、彼らの監査報告書は何を保証しているのでしょうか。

監査人は通常、以下のようなことを確認します。「特定の日時にサーバーを調査したとき、その時点で保存されていたログファイルが存在しなかった」。つまり、過去のデータが今この瞬間に実際に存在しないことは確認できます。しかし、監査人にできないことがあります。サーバーの全歴史にわたって本当にログが削除されたのか、意図的に別の場所に隠されたのか、あるいはバックアップが存在しないのか、こうしたことを 100% 確認することはできません。

また、監査が実施された時点以降の期間については、何も保証しません。監査報告書の発行日から 1 年後、データ保護方針が変わった可能性さえあるのです。つまり、独立監査は「その瞬間の信頼性」を示すツールであり、「永遠の約束」ではありません。

召喚令状と国の力の現実

理論的には「ログがない」とされていても、現実はしばしば異なります。複数の事例が記録されています。

2021 年、あるコスタリカを拠点とする VPN プロバイダーは「ノーログ」の VPN であると主張していました。しかし米国の法執行機関が召喚令状を提示したとき、そのプロバイダーはユーザーの接続記録をもっていました。ログは保存されていなかったはずなのに、政府当局に提供されました。これはどういう意味か。考えられるシナリオは複数あります。広告と異なり実際にはログを記録していた、あるいは中間に存在するログシステムがプロバイダー自身も把握していなかった、などです。

こうした事例から学べることは、プロバイダーの主張と現実が一致しないことがあるということです。技術的な理由、経営判断、あるいは不十分なシステム設計などが原因になります。

管轄権と国家間の協力体制

「ノーログ」の価値は、プロバイダーがどこにサーバーを置いているかに大きく左右されます。米国、英国、カナダ、オーストラリアなど、いわゆる「5 アイズ」「9 アイズ」「14 アイズ」といった情報共有同盟に参加している国では、政府機関同士が比較的容易に個人データを交換できます。日本も含まれる国もあります。

たとえば米国に拠点を置く VPN プロバイダーは、米国政府の令状に応じなければなりません。その令状は、カナダやオーストラリアの当局を通じて間接的に発行される可能性もあります。こうした国際的な協力体制がある以上、「ノーログなら安全」という単純な保証は存在しません。

あなたが確認すべき質問

マーケティング文句を鵜呑みにするのではなく、次の点を自分で調べてください。

そのプロバイダーは独立監査を受けているか。受けていなら、その報告書は公開されているか、誰が実施したか。その企業のサーバーはどの国にあるか、その国の政府は召喚令状で個人データを要求できるか。過去に令状に応じたことがあるか。政策は透明性報告書で公開されているか。

結論として、「ノーログ」は技術的な特性というより、ビジネス政策であり、管轄権と国家権力の影響を強く受けます。完全な保証はありません。ただし、独立監査を受けており、透明性報告書を公開し、データ保護法が強固な国に拠点を置くプロバイダーの方が、そうでないプロバイダーより信頼に値するという判断は、合理的です。

マーケティング主張ではなく、検証可能な事実に基づいて判断する。それが、インターネットセキュリティの基本的な心構えです。