NordVPNはHushFleetチームによって評価され、不十分帯に位置付けられた。セキュリティスコアは17/100、使いやすさスコアは70/100。 VPNプロバイダー全体のセキュリティランキングでは68件中12位。商用VPN、会社の法域はパナマ。独立したセキュリティ監査を自ら報告している：報告書は秘密保持契約の下にある、根拠レベルB。

手法: 3.7.0
スキーマ: 3.7.0
公開日: 2026年9月8日

仕様

記録はされるが、スコアには含まれない

7件のフィールドはスコアに反映されずこのレコードに載っている。それは契約自身がそう定めているからだ：scored: false。ここに載せているのは、この会社を所有しているのは誰か、監査に署名したのは誰かという読者の問いにレコードが答えているからであり — そして演算に一切触れない値は、静かに混ぜ込むのではなく、明示的にその外側に置くべきだからだ。

出口のある国

プロバイダーが出口を提供する国すべてを、自社のサーバーページから数えたもの：149か国。国別のサーバー台数はここになく、サイト全体でも保有台数の合計は掲載していない — 契約自体にどちらも含まれておらず、根拠を示せない数字は掲載しない方がましだからだ。mandateと印の付いた6か国はデータ保持を義務付けている。この印は手法自身の国別表から来ており、プロバイダーからのものではない。

クラス：商用VPN 帯：不十分法域：パナマ保持：集計数のみプロトコル：WireGuard派生プロトコルオーナーグループ：Nord Security

担当 HushFleetチームこのレコードに33件の変更履歴

変更内容

代替候補

これが合わなければ

NordVPN — HushFleetによるセキュリティレビュー

サービスクラス	商用VPN — セキュリティ優先
セキュリティスコア	100点中17点 · 不十分
使いやすさスコア	100点中70点 · 状態既知 · 確認済み83% · 重みの88.2%を読み取り済み
法人名	nordvpn S.A.
法域	パナマ
最終的なオーナー	Nord Security
露出度	中 · 支配的チャンネル：保持
保持	集計数のみ
直近の監査	Deloitte Audit Lithuania · 2025年12月12日 · 年次シリーズ · 不明
出口のある国	149
プロトコル	WireGuard派生プロトコル OpenVPN 難読化プロトコル
厳格な検閲下でも機能	機能すると自己申告
提供中の最も脆弱なプロトコル	対象外
トンネル内の独自DNS	不明
プラットフォーム	Windows macOS Linux Android iOS ブラウザー拡張機能 Android TV Apple TV
同時接続台数	10
キルスイッチ	すべてのプラットフォームで
スプリットトンネリング	利用可能
登録方法	不明
無料プラン	無料プランなし
P2P許可	許可
主要ストリーミングサービスに到達可能	不明
価格（月額）	$14.99 月あたり
価格（年額）	$139.08 更新時は年額、一括請求

ロギング義務の対象となる提供国C09_mandate_countries	アラブ首長国連邦インドイラクカザフスタントルコベトナム
最終実質所有者の国M11_owner_jurisdiction	不明
オーナーグループのクラスターキーM15_owner_group	Nord Security
現在のオーナーが支配権を取得した日付M16_control_since	2012
グループ内でのこのブランドの役割M17_brand_role	principal
クラスター内の兄弟ブランドと共有されるインフラM18_shared_infrastructure	separate
公開された監査の合計V10_audit_count	6

セキュリティスコアの内訳

8つのチャンネルがそれぞれ公開レコードに1つの問いを投げかけ、それに答えるために指定された一群のフィールドを読み取る。加算ではなく乗算で組み合わされる — チャンネル横の係数は、そこまでの圧力を差し引いた後に残るものであり、チャンネルを開くと、保存されている通りに読み取られた各フィールドがすべて表示される。モデルの仕組み

セキュリティフィールド

67 そのうち55件がいずれかのチャンネルに反映される

確認済み

47 19件がunknownのまま、1件が対象外

完全性

69% モデルが重み付けできた割合

出典

65 21件の文書にまたがる

すべての値はその根拠を伴っており、モデルは4つのレベルをそれぞれ異なる重みで扱う。まず重み、次にこのレコードの出典がそのレベルに何件あるかを示す：

B 重み0.85・ここに58件C 重み0.70・ここに7件

重みはmethodology.json自身が定めるもの — 文書そのもので確認された主張は、同じ主張が伝聞で報告された場合より重い。行末の日付はその値が最後に読み取られた日。

チャンネルは読み取ったフィールドすべてに値付けするわけではない。値付けした行にはその端に印が付き、加算分が表示される。それ以外は読み取られただけでコストはゼロ。フィールドごとに積み上げるチャンネルだけがフィールドに印を付けられる — それ以外は行の上に示されたパラメータで自らを値付けする。

このレコードでまだ未解決の点。

2つの価格。 U04b_price_yearly=139.08およびU04_price_monthly=14.99は、米国IPからnordvpn.com/pricingで読み取った、USD建てのBasicティアの更新価格である（ページは通貨を地域ロックしている。1年プランは最初の12か月について月額$5.49、その後は年額$139.08と表示される）。

透明性ページを再読。 PブロックはNordVPNの透明性ページ（nordvpn.com/blog/nordvpn-introduces-transparency-reports/、毎日更新）と照合して再読した。2024年10月、パナマの検察当局による拘束力のある令状により、NordVPNは支払いデータと、特定のメールアドレスについてアカウントが存在したことの確認を引き渡すよう強制された。これは記録上唯一の全期間にわたる開示である（P02/P03/P12）。

カナリアと、それに代わった四半期。 同じページでは、四半期ごとの透明性レポートに移行するため、令状カナリアが廃止されている（P07=removed）。最新の完了した四半期（2026年4月〜6月）では、政府からの照会が85件、開示が0件であるため、P08/P09は全期間の数値ではなく、その期間を示している。

インドと秘密命令制度。 P04=withdrew_physicalは、2022年6月のインド撤退である。P11=none_knownは、NordVPNが拘束力のあるNational Security lettersまたは秘密命令を受け取っていないというページの記載と、パナマにそのような制度が存在しないことに基づいている。

残りの未解決事項 — あと71語

誰も検証できない保証水準。 NordVPNは、Deloitte Lithuaniaによる業務を、ISAE 3000 (Revised)に基づく合理的保証業務と説明しており、これはより強い形式に当たる。読むことのできるPIAのレポートには、限定的保証の結論が記載されている。

より強い形態がクレジットされない理由。 モデルは現在その差を価格に反映しており、このレコードはその恩恵を受けない。V15_assurance_strength は不明である。というのも、そのレベルについての唯一の記述は、Nord Account の外部からは開けないレポートに関する、NordVPN 自身のものだからである。ログインの背後にある文書は、ここではいかなるレベルでもエビデンスとはならないため、このエンゲージメントは、到達したとされるレベルではなく、市場の標準に基づいてクレジットされる。

ログインの背後にあるレポート。 レポート自体は Nord Account にサインインした後でしか読めないため、その関係の外部にいる者は誰もその範囲を確認していない。したがって、ここにあるすべての監査フィールドは文書ではなく、NordVPN によるその要約に依拠している。これが、サービスに対する判定ではなく、このレコードがカタログ内で最も根拠の薄いものとなっている理由である。

オーナーフィールド。 M11_owner_jurisdiction と X04_owner_group_history は不明である。nordvpn.com と nordsecurity.com は Nord Security をオーナーとして記載しているが、いずれも Nord Security 自身の設立法域や、グループの過去の記録を記載していない。二次報道は、2022年の合併を起点として「Cyberspace」という持株事業体をオランダと結び付けているが、利用可能な時間内には、Nord Security または NordVPN の一次ページに照らして確認できなかった。

まったく読めなかったもの。 2025年の Deloitte レポートの全文はまったく読めない（ログイン制限）ため、C01_linkable_retention におけるポリシー自身の自己申告を超える保持についての判定は記録されていない。

開かなかったサーバー表。 C09b_mandate_hosting は不明である。公開中の国別サーバー表は、この監査で表示できたアコーディオンの状態では、Americas 地域についてのみ物理／仮想の別を示している。Europe、Asia-Pacific、Africa/Middle East のセクション（サーバー API によれば、フリートが提供する AE、IN、TR、VN、IQ、KZ など複数の義務対象国を含む）はクリック時にクライアント側で読み込まれ、展開されなかった。

主張せず不明のままとしたもの。 C04-C07、U06（検閲の証明）、U11、V12-V14、X06、X07、X10、X11 は一次文書に照らして独立に確認できなかったため、二次報道から主張せず、不明のままとした。

一つの疑念を未解決のまま残し、減点しなかった。 X12 について一つの疑念が残っているが、減点はしていない。com.nordvpn.android の Play のデータセーフティフォームは、Android の分析における「インストール済みアプリ」を申告している。一方、NordVPN のプライバシー通知がインストール済みアプリケーションに言及するのは、マルウェア対策の脆弱性スキャンにおける一か所のみであり、アプリケーション名とバージョンの処理対象を Windows に限定している。

それでも一致と読める理由。 そのカテゴリーは欠落しているのではなく開示されており、R28 はプラットフォームの対象範囲の差について判定を下さないため、値は matches_policy と読める。しかし、Android における目的は通知が記載するものではなく、二つのうちどちらの記載が誤っているのかを言えるのは NordVPN だけである。

レコード全体について。

nordvpn.com自体は、この監査で使用したすべての非ブラウザーの取得（headless-fetchツールを含む）に対してCloudflareのボットチャレンジ（403）を返す。このレコード内のnordvpn.comページへの出典はすべて、ドメインへの直接リクエストではなく、ページをサーバー側でレンダリングする第三者リーダープロキシ（r.jina.ai）を通じて取得された。

法的文書（プライバシーポリシー、利用規約）は別ドメインのmy.nordaccount.comにあり、nordvpn.com自身のサイトマップからは発見できず、レンダリングされたページのフッターリンクをたどった場合にのみ到達できた。第6回のDeloitteノーログ保証レポート（2025年12月12日発行）は、NordVPN自身のブログ記事（「we don't publish excerpts publicly... log in to your Nord Account」）によれば明示的にログインで制限されているため、発表の要約から保持に関する所見を推測せず、R23に従いV11_audit_findingsはnot_statedとして記録されている。

2018年のフィンランドのデータセンター侵害は第三者による侵入であり、法執行機関による押収ではないため、P01_seizure_eventではなくkind=breachとしてP12_case_historyに記録されている。NordVPN自身の説明（nordvpn.com/blog/official-response-datacenter-breach/）とBloombergの当時の報道は、開示がNordVPN自身の主導ではなく、外部研究者によるTwitter上の指摘に続くものだったという点で一致しているため、self_disclosed_lateではなくthird_party_disclosedとした。

残りの未解決事項 — あと2語

NordVPNとSurfsharkは親会社（Nord Security）を共有しているが、両社自身の合併発表は、インフラと製品ロードマップが別々であると記載している。その根拠に基づき、M18は分離に設定されている。

保持通信を個人に結び付けるレコードは存在するか、誰が確認したか？13件のフィールドを読み取り · 1件が不明のまま · 45.0ポイントの圧力×0.550

加算ではなく合成：silent系統の事前値0.55を起点に、文献が示す内容（0.0374）と実務が示す内容（0.3005）で動かし、監査による確からしさ0.3173とプロバイダーの対応による0.85を掛け合わせ、実際に保持されているものの深刻度0.08に対して評価する。

自己申告上、個人に結び付けられる保持重要C01_linkable_retention

aggregates_only

Bmy.nordaccount.com2026年8月28日

報告：C01_linkable_retentionの問題を報告

プロバイダーが保持する永続的なデバイス識別子C12_device_identifier

resettable_ad_id

Bmy.nordaccount.com2026年8月27日

報告：C12_device_identifierの問題を報告

少なくとも1件の独立監査重要V01_audit_exists

yes_declared

Bnordvpn.com2026年8月27日

報告：V01_audit_existsの問題を報告

レポートの公開方法V02_report_publication

nda_gated

計算値

無傷のレコードの×0.172 完全性69%

減点の主因：保持。このレコードのリスクが集中しているチャンネルであり、単独で無傷のレコードを×0.550まで引き下げる — 上のバーはそこまで塗られている。

露出度はmedium、完全性ステータスはcleanとして記録されている。

レジスター全体と比べると、このレコードは法域で最も上に位置し — ×0.921に対しレジスター平均は×0.680 —、開示で最も下に位置する — ×0.780に対し×0.970。

公表スコア

上記の各行は公開レコードの1つのフィールドであり、そのすべてに異議を唱えることができる：各行には報告ボタンが付いており、レコード全体について問題を報告することもできる。根拠のある訂正は当日中に反映され、スコアが動けば順位も動く。

2026年9月13日1 件の変更

このプロバイダーがカタログに掲載されている理由M14_inclusion_basis

hand_picked 変更後 adverse_record

2026年8月30日1 件の変更

現在も提供されている最も弱いプロトコルC13_weakest_protocol

wireguard_derived 変更後 記録なし

2026年8月29日8 件の変更

現在も提供されている最も弱いプロトコルC13_weakest_protocol

記録なし 変更後 wireguard_derived

フリート内のサーバー数（自己申告）U03_network_size

8250 変更後 記録なし

提供される最速プロトコルU07_modern_protocol

wireguard_derived 変更後 記録なし

提供されるプロトコルU07_protocols

記録なし 変更後 wireguard_derived

実際の開示履歴P02_disclosure_history

記録なし 変更後 account_data_disclosed

強制提出の裁判記録P03_court_record

記録なし 変更後 produced_account_data

国家ログ保存義務への対応P04_mandate_response

記録なし 変更後 withdrew_physical

透明性レポートP05_transparency_report

記録なし 変更後 fresh_with_numbers

以前の変更23件

2026年8月29日15 件の変更

報告された数値はこの規模として妥当P06_report_plausibility

記録なし 変更後 plausible

ワラント・カナリアの運用P07_warrant_canary

記録なし 変更後 removed

期間中に受領した依頼P08_requests_received

記録なし 変更後 85

データが提供された依頼P09_data_provided

記録なし 変更後 0

設立国における秘密命令制度P11_gag_order_regime

記録なし 変更後 none_known

文書化された法執行事案の時系列P12_case_history

{"date":"2018-03","kind":"breach","outcome":"nothing_produced","source_url":"https://nordvpn.com/blog/official-response-datacenter-breach/"} 変更後 {"date":"2018-03","kind":"breach","outcome":"nothing_produced","source_url":"https://nordvpn.com/blog/official-response-datacenter-breach/"}, {"date":"2024-10","kind":"court_order","outcome":"account_data","source_url":"https://nordvpn.com/blog/nordvpn-introduces-transparency-reports/"}

セキュリティスコアsecurity.score

13 変更後 17

仕様

記録はされるが、スコアには含まれない

出口のある国

変更内容

これが合わなければ

比較対象

NordVPN

セキュリティスコアの内訳

Mullvad VPN

IVPN

Proton VPN