Norton VPN — HushFleetによるセキュリティレビュー

Norton VPNはHushFleetチームによって評価され、非推奨帯に位置付けられた。セキュリティスコアは4/100、使いやすさスコアは80/100。 VPNプロバイダー全体のセキュリティランキングでは68件中42位。商用VPN、会社の法域はアメリカ合衆国。独立したセキュリティ監査を受けている：報告書の要約のみ公開されている、根拠レベルA。

手法: 3.7.0
スキーマ: 3.7.0
公開日: 2026年9月14日

仕様

記録はされるが、スコアには含まれない

7件のフィールドはスコアに反映されずこのレコードに載っている。それは契約自身がそう定めているからだ：scored: false。ここに載せているのは、この会社を所有しているのは誰か、監査に署名したのは誰かという読者の問いにレコードが答えているからであり — そして演算に一切触れない値は、静かに混ぜ込むのではなく、明示的にその外側に置くべきだからだ。

出口のある国

プロバイダーが出口を提供する国すべてを、自社のサーバーページから数えたもの：103か国。国別のサーバー台数はここになく、サイト全体でも保有台数の合計は掲載していない — 契約自体にどちらも含まれておらず、根拠を示せない数字は掲載しない方がましだからだ。mandateと印の付いた5か国はデータ保持を義務付けている。この印は手法自身の国別表から来ており、プロバイダーからのものではない。

クラス：商用VPN 帯：非推奨法域：アメリカ合衆国保持：接続タイムスタンププロトコル：WireGuard オーナーグループ：Gen Digital

担当 HushFleetチーム

代替候補

これが合わなければ

セキュリティスコアの内訳

8つのチャンネルがそれぞれ公開レコードに1つの問いを投げかけ、それに答えるために指定された一群のフィールドを読み取る。加算ではなく乗算で組み合わされる — チャンネル横の係数は、そこまでの圧力を差し引いた後に残るものであり、チャンネルを開くと、保存されている通りに読み取られた各フィールドがすべて表示される。モデルの仕組み

セキュリティフィールド

67 そのうち55件がいずれかのチャンネルに反映される

確認済み

50 17件がunknownのまま、0件が対象外

完全性

72% モデルが重み付けできた割合

出典

69 16件の文書にまたがる

すべての値はその根拠を伴っており、モデルは4つのレベルをそれぞれ異なる重みで扱う。まず重み、次にこのレコードの出典がそのレベルに何件あるかを示す：

A 重み1.00・ここに29件B 重み0.85・ここに40件

重みはmethodology.json自身が定めるもの — 文書そのもので確認された主張は、同じ主張が伝聞で報告された場合より重い。行末の日付はその値が最後に読み取られた日。

チャンネルは読み取ったフィールドすべてに値付けするわけではない。値付けした行にはその端に印が付き、加算分が表示される。それ以外は読み取られただけでコストはゼロ。フィールドごとに積み上げるチャンネルだけがフィールドに印を付けられる — それ以外は行の上に示されたパラメータで自らを値付けする。

このレコードでまだ未解決の点。

サーバーの衛生管理は文書化されていない。プライバシー通知にも公開された2件のVerSpriteレポートにも、EdgeサーバーがRAMのみなのか永続ディスクなのか、VPN IPアドレスがユーザー間で共有されるのか専用なのか、Nortonがトンネル内で独自のDNSリゾルバーを稼働させているのか、基盤となるハードウェアを誰が所有しているのかは記載されていない。4項目すべてについて、どちらかの値ではなくunknownとなっている。

国別の物理／仮想の内訳は、1ページの要約から読み取ったものであり、行ごとには検証されていない。直接のレンダリングにより、その列がアイコンではなく実際のテキストであることを確認し、南北アメリカ地域は要約と完全に一致したが、残り3地域、すなわち一覧にある103か国のうちおよそ90か国については、1件ずつ開いて確認するのではなく、取得ツールの表の要約に基づいている。この根拠に基づき、C09b_mandate_hostingはmixedとして記録されている。

VPNに特化した、文書化された押収、裁判所命令、または秘密命令の制度はない。四半期透明性レポートは、何も保持されていないため提供できるものがなく、リクエストには何も提供せずに対応したと記載しているが、これは定期的な集計上の主張であり、P12_case_historyのような日付のある事例ではない。そのため実務経路の加点は記録せず、いずれかを明示する文書がないことから、P04_mandate_responseとP11_gag_order_regimeは不明のままとしている。

残りの未解決事項 — あと16語

Norton VPNが、同じグループに属するGen DigitalのVPNブランド（Avast SecureLine、AVG Secure VPN、Avira Phantom VPN）とバックエンドインフラを共有しているかどうかは確認されていない。VerSpriteレポートは対象範囲を「Norton VPN」のEdgeサーバー自体に限定しており、そのサーバー群がNorton専用なのか、ポートフォリオ全体で共有されているのかを記載していないため、M18_shared_infrastructureはどちらとも仮定せず不明となっている。

真の月ごとプランは存在するが、その価格は確認できない。 Nortonのサポートは、年間契約なしの月額請求がNorton VPNに限って提供されていることを確認しているが、このセッションで到達できたページには実際の月額料金は示されておらず、初年度価格と更新価格を含む3つの年間ティアのみが示されていた。U04_price_monthlyは、年間合計を12で割った値ではなく、不明のままとする。

ローンチ年、レビュー媒体の開示、アフィリエイトプログラムの条件は確認できなかった。 Norton VPN（より広範なNorton 360スイートとは別）が最初に提供された時期を記載したページはなく、このセッションでは第三者レビューの掲載状況やアフィリエイトプログラムの報酬体系も調査していないため、M07、X08、X10、X11は問題なしと仮定せず、不明とする。

レコード全体について。

オーナーグループの履歴（X04_owner_group_history = sanctioned_or_prosecuted、M14_inclusion_basis = adverse_record）は、プライバシーを保護するとマーケティングしていたAvastが、2014年から2020年にかけてウイルス対策製品およびブラウザー拡張機能製品を通じて収集した閲覧データを販売していたことに対する、2024年2月のFTCの命令に基づく。

AvastはNortonと同じ親会社であるGen Digital Inc.（NASDAQ: GEN）の傘下にある姉妹ブランドであり、NortonLifeLockとAvastが合併し、2022年10月に社名変更した際に形成された。FTCの命令はこの合併に2年から8年先行しており、Norton、NortonLifeLock、Gen Digitalではなく、Avast Limitedのみを名指ししている。

クラスター伝播（ルールR02）には、後のM16_control_since以降における姉妹ブランド自身の日付付きの虚偽軸の判定が必要だが、今回はそれに該当しないため、その経路では伝播を記録していない。オーナーグループの判定自体は、伝播の時期にかかわらずグループの履歴であるため記録している。

アプリストアの衛生状態は、このレコードで最も弱い事実がある箇所である。Apple自身のApp Storeにおける「Norton VPN – Fast & Secure」（id1095519285）のプライバシーラベルは、「Data Used to Track You」の下でIdentifierを宣言している。これはアプリ間広告用識別子に関するApp Tracking Transparencyのカテゴリーであり、別途「Developer's Advertising or Marketing」の下にも「User ID」識別子がある。

残りの未解決事項 — あと28語

同じアプリ（パッケージ com.symantec.securewifi）についてのGoogle Playのデータセーフティフォームは、アプリの機能に関する「Device or other IDs」については具体性が低いものの、一貫している。加えて、位置情報（正確な位置情報、任意、分析目的）とSMS/MMSへのアクセスも記載されており、これらはVPN固有のプライバシー通知では言及されていない。C12_device_identifierとC07a_app_sdkは、2つの読み方のうちより厳しいものとしてAppleのラベルから設定している。X12_store_data_declarationは、プライバシー通知との位置情報およびSMSの空白についてundisclosed_behaviourに設定しており、contradicts_no_logsにはしていない。これらはいずれも、ノーログ主張が実際に否定しているVPNトラフィックの記録ではないためである。

2件のVerSpriteによるエンゲージメントをレベルAで引用している。2025年9月のTechnical Privacy Impact Assessment（バックエンドインフラ、ノーログ）と、2025年11月のMimic-protocol source-code reviewであり、いずれもそれらを説明するブログ記事から採用したのではなく、完全なPDFを開いて読んだものである。ただし、タイトルは「Executive Summary Report」である。V02_report_publicationは、これらが公開された完全な文書である一方、それ自体がより長い内部エンゲージメントの要約であって、生のエビデンスではないことを示すため、summary_onlyとして記録している。

TPIAの初回実施では、まれなエラーパスでのIPロギングの不具合が見つかり、同じ業務内の検証再テストで修正済みであることが確認された。V11_audit_findings は再テスト後の結論（none_linkable）を反映しており、一時的な不具合はフィールドに織り込まず、ここに記載している。

Mimicの評価では別途、パラメーターインジェクションのバグ、外部検証のない内部到達可能なCA、検閲回避に関連するプロトコルフィンガープリンティングの弱点2件（Mimic v7で対処）、SlowLorisによるDoSパス、低リスクの問題2件（弱いTLSフォールバック、古いGoコンパイラー）が見つかり、修正された。これらはすべて公開時点で修正済みと記載されているが、このセッションで独立して再検証されたものはなく、報告書自体の再テストに関する注記を超えるものではない。

U10_simultaneous_devices は10、Ultimateティアの上限として記録されている。StandardとPlusはいずれも5が上限である。U04b_price_yearly はStandardティアの初年度価格（$39.99）であり、同じページによれば年額$79.99で更新される。PlusとUltimateには、ここに記録されていない、より高い初年度／更新価格の組み合わせがある。

プロトコルは wireguard

法域プロバイダーに意見を述べる余地なく、存在するものを誰かが強制的に提出させられるか？5件のフィールドを読み取り · 2件が不明のまま · 63.6ポイントの圧力×0.364

会社の所在地0.6、オーナーの所在地0.45、提供する出口0.09、秘密命令の体制0.05 — 1件の事情として、積み増しせず一度だけ値付け。

提供する義務対象国でのホスティングC09b_mandate_hosting

mixed

Bus.norton.com2026年9月13日

報告：C09b_mandate_hostingの問題を報告

法人設立国に保持義務があるC10_company_under_mandate

yes

Asec.gov2022年10月12日

報告：C10_company_under_mandateの問題を報告

実質的所有者が保持制度の対象C11_owner_under_mandate

yes

Asec.gov2022年10月12日

報告：C11_owner_under_mandateの問題を報告

国家ログ保存義務への対応無知でも読み取られているP04_mandate_response

計算値

無傷のレコードの×0.043 完全性72%

減点の主因：法域。このレコードのリスクが集中しているチャンネルであり、単独で無傷のレコードを×0.364まで引き下げる — 上のバーはそこまで塗られている。

露出度はmedium、完全性ステータスはcleanとして記録されている。

レジスター全体と比べると、このレコードは無知で最も上に位置し — ×0.788に対しレジスター平均は×0.662 —、法域で最も下に位置する — ×0.364に対し×0.680。

公表スコア

上記の各行は公開レコードの1つのフィールドであり、そのすべてに異議を唱えることができる：各行には報告ボタンが付いており、レコード全体について問題を報告することもできる。根拠のある訂正は当日中に反映され、スコアが動けば順位も動く。

ロギング義務の対象となる提供国C09_mandate_countries	アラブ首長国連邦インドカザフスタントルコベトナム
最終実質所有者の国M11_owner_jurisdiction	US
オーナーグループのクラスターキーM15_owner_group	Gen Digital
現在のオーナーが支配権を取得した日付M16_control_since	2022-10-12
グループ内でのこのブランドの役割M17_brand_role	principal
クラスター内の兄弟ブランドと共有されるインフラM18_shared_infrastructure	不明
公開された監査の合計V10_audit_count	3

サービスクラス	商用VPN — セキュリティ優先
セキュリティスコア	100点中4点 · 非推奨
使いやすさスコア	100点中80点 · 状態既知 · 確認済み67% · 重みの61.8%を読み取り済み
法人名	Gen Digital Inc.
法域	アメリカ合衆国
最終的なオーナー	Publicly traded on NASDAQ (GEN); no single controlling shareholder documented
露出度	中 · 支配的チャンネル：法域
保持	接続タイムスタンプ
直近の監査	VerSprite · 2025年9月3日 · 固定間隔なしで繰り返し · あり、レポートを確認済み
出口のある国	103
プロトコル	WireGuard OpenVPN IPsec 難読化プロトコル
厳格な検閲下でも機能	不明
提供中の最も脆弱なプロトコル	IPsec
トンネル内の独自DNS	不明
プラットフォーム	Windows macOS iOS Android Android TV Apple TV Fire TV
同時接続台数	10
キルスイッチ	不明
スプリットトンネリング	利用可能
登録方法	メールアドレスのみ
無料プラン	トライアルのみ
P2P許可	不明
主要ストリーミングサービスに到達可能	接続可能
価格（月額）	非公開
価格（年額）	$39.99 更新時は年額、一括請求

openvpn

ipsec

obfuscated

proprietary

obfuscated

仕様

記録はされるが、スコアには含まれない

出口のある国

これが合わなければ

Norton VPN

セキュリティスコアの内訳

Proton VPN

Mullvad VPN

IVPN