Mullvad VPN vs NordVPN

Mullvad VPN

このレコードでまだ未解決の点。

監査の頻度。 Mullvadはアプリリポジトリで監査インデックスを公開しており、頻度について正確に記している。そのインデックスには、メインアプリの監査は2年ごとに実施され、その間に追加分があると明記されている。そのため、定期性は年次シリーズではなく、固定間隔なしの反復として記録されている。年次の頻度を自己申告する者はいない。

2つのレポート、1つの日付。 2つの別々の業務が2026年2月17日を共有しており、レコードは両方を記載している。1つは、userspace WireGuard実装であるGotaTunに対するAssuredのコードレビュー（critical、high、mediumの問題はなく、lowが2件、注記が9件）。もう1つはAndroidアプリに対するLeviathanのMobile App Profile評価で、コンプライアンスレポートは評価日を2026年2月17日、保証レベルをAL2としている。1つの日付、2つのレポート、矛盾なし。

件数が8となる理由。 監査件数が8なのは、GotaTunのレビューがアプリリポジトリ独自のリストの外にあるためである。それらに先立ち、5つすべてのプラットフォームを対象とした30人日のX41 D-Secレビューでは、6件の脆弱性が見つかった。内訳はhighが3件、mediumが2件、lowが1件で、criticalはなかった。

NordVPN

このレコードでまだ未解決の点。

2つの価格。 U04b_price_yearly=139.08およびU04_price_monthly=14.99は、米国IPからnordvpn.com/pricingで読み取った、USD建てのBasicティアの更新価格である（ページは通貨を地域ロックしている。1年プランは最初の12か月について月額$5.49、その後は年額$139.08と表示される）。

透明性ページを再読。 PブロックはNordVPNの透明性ページ（nordvpn.com/blog/nordvpn-introduces-transparency-reports/、毎日更新）と照合して再読した。2024年10月、パナマの検察当局による拘束力のある令状により、NordVPNは支払いデータと、特定のメールアドレスについてアカウントが存在したことの確認を引き渡すよう強制された。これは記録上唯一の全期間にわたる開示である（P02/P03/P12）。

カナリアと、それに代わった四半期。 同じページでは、四半期ごとの透明性レポートに移行するため、令状カナリアが廃止されている（P07=removed）。最新の完了した四半期（2026年4月〜6月）では、政府からの照会が85件、開示が0件であるため、P08/P09は全期間の数値ではなく、その期間を示している。

インドと秘密命令制度。 P04=withdrew_physicalは、2022年6月のインド撤退である。P11=none_knownは、NordVPNが拘束力のあるNational Security lettersまたは秘密命令を受け取っていないというページの記載と、パナマにそのような制度が存在しないことに基づいている。

Mullvad VPN

レコード全体について。

2023年4月の捜索令状は、このレコードにおける単独の項目として最も強力なものです。警察はオフィスに立ち入り、何も持ち出さずに去りました。これは書類ではなく実務のエビデンスであり、監査よりもはるかに長く古びません。料金はすべての期間で一律5 EUR／月です。U04_price_monthlyには5.80（Mullvadが自身のページで示すUSD相当額）が記載され、U04b_price_yearlyは69.60で、その料金での満額1年分です。

NordVPN

レコード全体について。

nordvpn.com自体は、この監査で使用したすべての非ブラウザーの取得（headless-fetchツールを含む）に対してCloudflareのボットチャレンジ（403）を返す。このレコード内のnordvpn.comページへの出典はすべて、ドメインへの直接リクエストではなく、ページをサーバー側でレンダリングする第三者リーダープロキシ（r.jina.ai）を通じて取得された。

法的文書（プライバシーポリシー、利用規約）は別ドメインのmy.nordaccount.comにあり、nordvpn.com自身のサイトマップからは発見できず、レンダリングされたページのフッターリンクをたどった場合にのみ到達できた。第6回のDeloitteノーログ保証レポート（2025年12月12日発行）は、NordVPN自身のブログ記事（「we don't publish excerpts publicly... log in to your Nord Account」）によれば明示的にログインで制限されているため、発表の要約から保持に関する所見を推測せず、R23に従いV11_audit_findingsはnot_statedとして記録されている。

2018年のフィンランドのデータセンター侵害は第三者による侵入であり、法執行機関による押収ではないため、P01_seizure_eventではなくkind=breachとしてP12_case_historyに記録されている。NordVPN自身の説明（nordvpn.com/blog/official-response-datacenter-breach/）とBloombergの当時の報道は、開示がNordVPN自身の主導ではなく、外部研究者によるTwitter上の指摘に続くものだったという点で一致しているため、self_disclosed_lateではなくthird_party_disclosedとした。