VPNとは？仕組みと個人向けサービスの選び方｜運営国とノーログ監査で見分ける

梟〜GLEANINGS〜

2026年9月3日 13:07

カフェや空港のWi-Fiにつなぐとき、VPNを入れたほうがいい。
そう聞いたことがある方は多いと思います。
ところが企業のニュースを見ると、同じ言葉が「VPN機器から侵入された」という文脈で出てきます。

守るための道具の名前が、破られた場所の名前としても出てくる。
この混乱の原因は単純で、日本語でまとめて「VPN」と呼ばれているものが、実は目的の違う2種類に分かれているからです。

この記事では、まずVPNという技術そのものの仕組みを押さえたうえで、個人が契約するVPNサービスを何で選ぶのか、そして無料のVPNアプリで実際に何が起きているのかまでを扱います。

この記事は、ExpressVPNの料金体系の再編や各社の監査の更新を含め、各社の公式情報と査読つき論文をもとに、2026年9月時点の内容にしています。

VPNとは、インターネットの上に作る専用のトンネル

VPN（Virtual Private Network）は、インターネット回線の上に、暗号化された仮想の通信路を作る技術です。

専用線を物理的に引くのではなく、みんなが使っている回線をそのまま使いながら、その中に自分専用の通り道を1本通す。
そういうイメージになります。
トンネルの中身は暗号化されているため、同じ回線を流れていても、途中にいる第三者からは内容が読めません。

公共Wi-Fiが危ないと言われるのは、同じアクセスポイントにつないでいる誰かが、流れている通信を拾える可能性があるからです。
トンネルを通しておけば、拾われたとしても中身は読めない状態になります。

暗号化の方式のちがい

トンネルの作り方には、大きく2つの系統があります。

SSL-VPN：Webブラウザが標準で持っている暗号化技術（SSL／TLS）を使う方式。専用のソフトを入れずに済むことが多く、導入は手軽。守れる範囲は、特定のWebアプリケーションへのアクセスなど、限定的になりやすい
IPsec-VPN：専用のソフトや機器を使い、通信をまとめて暗号化する方式。拠点と拠点をつなぐ、社内システム全体にアクセスするといった、広い範囲の保護に向く

個人向けのVPNサービスでは、この2つに加えてOpenVPNやWireGuardといったプロトコルも使われています。
どれに対応しているかは各社が公表しているので、興味があれば見比べてみてください。
ただ、これから書くとおり、サービスを選ぶときの決め手は別のところにあります。

「個人向けVPN」と「法人向けVPN」は、名前が同じだけの別物

ここが最初のつまずきどころです。

個人向けVPNは、スマートフォンやパソコンにアプリを入れ、事業者が世界中に置いているVPNサーバーを経由してインターネットに出る仕組みです。
目的は、通信の中身を第三者に見せないことと、自分の接続元（IPアドレス）を隠すこと。
つまりプライバシー保護です。
利用者が用意するのは契約であって、機器ではありません。

法人向けVPNは、目的が2つあります。
本社と支社のネットワークを安全につなぐ「拠点間接続」と、社外から社内システムに入るための「リモートアクセス」です。
こちらは自社のネットワークの入り口に装置を置き、それを運用します。

同じ名前でも、前者は「外に出るときに自分を隠す道具」、後者は「外から中に入るための入り口」です。
向きが逆なので、気にすべきリスクも逆になります。
個人向けは、通信を全部預ける事業者を信用できるかという話になります。
法人向けは、その入り口の装置が破られないかという話になります。

冒頭に書いた「VPN機器から侵入された」というニュースは、いずれも後者の話です。
個人向けVPNのアプリを使っている人が、そのせいで攻撃されているわけではありません。

個人向けVPNは何で選ぶか

比較サイトでは、通信速度とサーバー設置国数が真っ先に並びます。
ただ、速度は各社とも自社に有利な条件で測った数字しか公表していないので、横に並べても意味がありません。
設置国数のほうは実際に差があります（NordVPNが149か国、ExpressVPNが113か国、Surfsharkが100か国、Mullvadが50か国）が、これは「行きたい国があるかどうか」の話で、多ければ良いという指標ではありません。

先に見るべきなのは、次の4つです。

1. 運営会社がどの国にあるか

VPNは、自分の通信をすべて事業者のサーバーに通す仕組みです。
言い方を変えると、通信を見られる立場の相手を、契約している通信事業者からVPN事業者に付け替えていることになります。
だとすれば、その事業者がどの国の法律の下にいるかは、通信記録の開示を求められたときの扱いに直結します。

NordVPN：パナマの管轄下で運営していると公式のサポートページに明記。親会社はNord Security
Surfshark：Surfshark B.V.。オランダ（アムステルダム）
ExpressVPN：Express Technologies Ltd.。プライバシーポリシーに、本社および登記上の営業所は英領ヴァージン諸島（BVI）とあり、準拠法もBVI法
Proton VPN：Proton AG。スイス（ジュネーブ）
Mullvad VPN：Mullvad VPN AB。スウェーデン（ヨーテボリ）
MillenVPN：アズポケット株式会社。日本（大阪市西区）

日本の会社であれば日本の法律が適用されるので分かりやすい、という考え方もできますし、逆に日本の当局からの照会に応じる立場でもある、と読むこともできます。
どちらが良いという話ではなく、何から守りたいのかによって答えが変わる項目です。

2. 第三者によるノーログの監査を受けているか

「通信履歴は記録しません」という宣言は、どの事業者もしています。
宣言そのものには差がありません。
差が出るのは、その宣言を外部の監査法人に検証させているかどうかです。

NordVPN：Deloitteによる監査。2026年2月3日に公表され、通算6回目
Surfshark：Deloitteによる監査。公式のTrust Centerに2023年と2025年の2回が並んでいる
ExpressVPN：KPMGによる監査。2022年から2025年まで4年連続
Proton VPN：Securitumによる監査。5年連続で、直近は2026年
Mullvad：Assured ABによるサーバー監査を2022年5月に一度実施。顧客データのログも情報漏洩も見つからなかったと結論づけている
MillenVPN：公式サイトでノーログポリシーを掲げているが、第三者監査については公表されていない

監査を受けていれば絶対に安全、という話ではありません。
ただ、外部に帳簿を開いて見せる手間とコストをかけているかどうかに、事業者の姿勢がいちばん分かりやすく出ます。

3. 同時に何台つなげるか

家族で使う、あるいはパソコンとスマートフォンとタブレットで使う場合、ここで差が出ます。

Surfshark、MillenVPN：無制限
NordVPN、Proton VPNの有料プラン：10台
ExpressVPN：ベーシック10台／アドバンス12台／プロ14台
Mullvad：5台

4. 料金は「金額」より「形」で見る

VPNの料金は、ほとんどの事業者が同じ形をしています。
長く契約するほど月あたりが安くなり、比較サイトに載っている月額は、2年前後の一括払いを前提にした数字です。
そして更新時には通常価格に戻ります。
ここが最大の落とし穴で、初回の安さだけで決めると2年後に驚くことになります。

日本語ページで円建ての金額を出しているのは、次の3社です。

NordVPN：2年プラン（27か月分の一括）で、ベーシックが月540円、コンプリートが月690円、プライムが月990円。更新は年額21,960円／34,680円／45,960円
Surfshark：同じく27か月分の一括で、スターターが月388円、Oneが月428円、One+が月698円
MillenVPN：2年プランが月396円（税込・一括9,504円）、1年プランが月594円（一括7,128円）。更新は月950円＋税

日本語ページでも外貨で表示されるのが、次の2社です。

ExpressVPN：2年＋4か月のプランで、ベーシックが月3.49ドル、アドバンスが月4.49ドル、プロが月7.49ドル。更新は年99.95ドル／119.95ドル／199.95ドル
Mullvad：期間による割引をしない。1か月契約でも10年契約でも月5ユーロで、同じ単価

Mullvadの方式は例外的です。
「安い月額の裏に長期の縛りがある」という業界の慣行を、そもそも採らないという設計になっています。
料金の形が事業者の思想を映すという意味では、いちばん分かりやすい例だと思います。

残るProton VPNは、料金の並べ方そのものが他社と違います。
無料プランを持っているうえ、有料側もVPN単体のVPN Plusと、メールやストレージを含むProton Unlimited、2人用のProton Duo、家族向けのProton Familyという束ね方をしています。
月額だけを他社の横に置くと、比べているものがずれます。

そして料金の話の最後に、返金保証の条件を読んでおいてください。
NordVPN、Surfshark、ExpressVPN、Proton VPN、MillenVPNは30日間、Mullvadは14日間の返金保証を設けていますが、条件には差があります。

たとえばMillenVPNの返金保証は、公式サイトで初回契約した2年プラン・1年プランが対象で、更新分、買い切りのワンタイムプラン、プランのアップグレード分、後から追加したオプションは対象外と明記されています。
ExpressVPNは新規ユーザーが公式サイトで直接購入した場合に限られます。
Proton VPNは利用規約で、初回購入から30日以内であれば全額返金、それを過ぎると返金なし、返金請求は1ユーザーにつき1回まで、と定めています。
公式のサポートページには、銀行振込と現金払いは返金できないとあります。
「30日間返金保証」という見出しだけを見て申し込むと、自分の契約が対象外だったということが起こりえます。

無料VPNアプリで実際に何が起きているか

無料のVPNアプリは、アプリストアに大量にあります。
ここで一度立ち止まったほうがいいのは、VPN事業はサーバー代と通信費が常時かかる商売で、無料で提供するには別の収入源が要るからです。

2026年のNDSS（Network and Distributed System Security Symposium）で、Google Playにある人気のVPNアプリ281本を分析した研究が発表されました。
ミシガン大学などの研究チームによる「MVPNalyzer」という論文で、対象アプリのインストール数は合計22億回を超えます。
結果は次のとおりです。

76本が、端末を一意に識別できる広告ID（Advertising ID）を外部に送信していた
61本が暗号化されていない通信を行っており、うち5本はVPNの設定ファイルそのものを平文で送信していた
29本が、DNSを含む利用者の通信を、トンネルの外に漏らしていた
107本が、VPN設定ファイルにおいてセキュリティのベストプラクティスを実装できていなかった

広告IDの送信は281本中76本で、4本に1本を超えます。
プライバシーを守るために入れたアプリが、端末の識別子を外に出している。
そういう状態のものが、それなりの数まざっているということです。

この構図が制裁につながった例もあります。
オーストラリア競争・消費者委員会（ACCC）は、Facebook（当時）の無料VPNアプリ「Onavo Protect」について、データとプライバシーを保護すると宣伝しながら、収集したデータを自社の商業目的に使うことを利用者に明示していなかったとして、2020年12月16日に提訴しました。
2023年7月26日、連邦裁判所はFacebook Israel社とOnavo社にそれぞれ1,000万豪ドル、合計2,000万豪ドルの制裁金を科しています。
ACCCは判決時の発表で、プライバシーを守ろうとVPNを使った利用者が、実際にはMetaの商業的利益のために自分のデータが使われる手助けをしていたことを、はっきり知らされていなかったと述べています。

なお、日本ではIPAがVPNに関する注意喚起を繰り返し出しています。
2023年8月の「インターネット境界に設置された装置に対するサイバー攻撃について」や、2025年10月の「VPN機器等に対するORB化を伴うネットワーク貫通型攻撃のおそれについて」がそれにあたりますが、これらはいずれも企業がネットワークの入り口に設置する装置の脆弱性についてのもので、ここで扱っている無料のVPNアプリとは別のテーマです。
同じ「VPN」の語で検索すると混ざって出てくるので、読むときに区別が要ります。

一時的な検証や短時間の利用で無料VPNを試すこと自体は選択肢になりますが、日常的に個人情報を扱う通信を通す先としては、料金を払って責任の所在がはっきりしている事業者を選ぶほうが筋が通ります。

なお、Proton VPNのように有料事業を本体として持つ会社が出している無料プランは、資金の出どころが違います。
ここで問題になっているのは、無料であること自体ではなく、無料で回すための収入源がどこにあるかです。

2026年9月時点の最新状況

ExpressVPNが階層制に移行しました。
2025年9月2日の発表で、それまでの実質1プランから、台数と付加機能で分かれる3階層へ再編しています。
以前の情報を前提に「ExpressVPNは高い」と覚えている場合、いま見ると印象が変わるはずです。

NordVPNのノーログ監査が6回目になりました。
検証期間は2025年11月10日から12月12日までで、公表は2026年2月3日。
年1回のペースで継続している形です。
監査は一度受ければ終わりではなく、受け続けているかどうかで見るものだ、ということでもあります。

なお現在の資本関係として、Nord SecurityとSurfsharkは同じグループです。
2022年2月に合併が成立しており、これは両社とも公式ブログで発表しています。
ただし両社とも、独立した運営を続けると明記しています。
Surfshark側はインフラと製品開発計画を分けたままの自律した会社として、NordVPN側は両ブランドが独立して運営を続けるという書き方です。
比較記事でこの2社が並んでいることは多いので、資本の関係があることは知っておいてよい情報だと思います。

Proton VPNの無料プランは、公式ページによって説明が分かれています。
同時接続1台という点はどのページでも共通ですが、接続できる国の数は、料金ページとサポートページが10か国、無料プランの比較ページが5か国となっています。
速度も、比較表では有料の最高速度に対して「Medium」と位置づけられている一方、無料プランの紹介ページには速度制限がないと書かれています。
無料プランを前提に選ぶのであれば、申し込む前に現在の表示を自分で確認しておいたほうが確実です。

まとめ

VPNは、インターネット回線の上に暗号化されたトンネルを1本作る技術。方式はSSL-VPNとIPsec-VPNの2系統に大きく分かれる
個人向けVPNは「外に出るときに自分を隠す道具」、法人向けVPNは「外から中に入るための入り口」。名前は同じだが向きが逆で、気にすべきリスクも逆になる
個人向けを選ぶときに先に見るのは、運営会社がどの国にあるか、第三者によるノーログ監査を受けているか、同時接続台数、そして料金の形の4つ
比較サイトに並ぶ月額は長期一括払いを前提にした数字で、更新時には通常価格に戻る。Mullvadのように、期間による割引をそもそも採らない事業者もある
無料VPNアプリは、281本を調べた2026年の研究で、76本が広告IDを外部に送信し、29本がDNSを含む通信をトンネルの外に漏らしていた

個人向けVPNは、通信を見られる相手を付け替える技術です。
付け替えた先を信用できるかどうかが、選び方のほとんどすべてを決めます。

みなさんは公共Wi-Fiで、VPNを使っていますか。
それとも「そもそも公共Wi-Fiにはつながない」という方針でしょうか。

参考・引用元

NDSS Symposium 2026「MVPNalyzer: An Investigative Framework for Auditing the Security & Privacy of Mobile VPNs」

https://www.ndss-symposium.org/ndss-paper/mvpnalyzer-an-investigative-framework-for-auditing-the-security-privacy-of-mobile-vpns/

Australian Competition and Consumer Commission「$20m penalty for Meta companies for conduct liable to mislead consumers about use of their data」（2023年7月26日）

https://www.accc.gov.au/media-release/20m-penalty-for-meta-companies-for-conduct-liable-to-mislead-consumers-about-use-of-their-data