NordVPNの更新料は月2,013円、Firefoxは0円　VPNの実装・使い方・危険性

　前編で、VPSはサーバーを借りること、VPNは通信を暗号化して包むこと、そしてこの2つは敵同士ではなく組み合わせて使う道具だということを書きました。今回は、実際にどうやって作るのか、どう使うのか、そしてどこが危ないのかです。全文無料です。

　前編はこちらです。

　この話の土台になっているランサムウエアの記事も、あわせてご覧ください。

　この記事の料金と仕様は、すべて2026年10月時点の各社公表資料と報道によるものです。値段も機能もすぐ変わりますので、申し込む前に公式サイトでご確認ください。

ハードで入れる　会社のVPNは、ルーターの中に入っています

　VPNの実装方法は、大きく3つに分かれます。ハードで入れる、ソフトで建てる、サービスとして買う。この3つです。

　まずハードです。会社で使われているVPNは、ほとんどがこの形です。専用の箱を1台用意するのではなく、拠点に入れたルーターやファイアウォールに、最初からVPN機能が入っています。アプライアンス型と呼ばれます。

　代表例を挙げます。

海外製　Fortinet FortiGate、Cisco ASA、Ivanti Connect Secure、Citrix Gateway

国内製　YAMAHA RTXシリーズ、NEC IX、バッファローの業務用ルーター

　長所は3つあります。1つ目は、専用の機械なので24時間安定して動くこと。2つ目は、社員全員分の接続を1台で集中管理できること。3つ目は、本社と支店のような拠点間をまるごとつなげることです。管理が1か所で済むので、情報システム部門はこの形を選びます。問題は、その1か所を誰も見ていない場合に起こります。

8年前の穴が、いまもランサムウエアの入口になっています

　アプライアンス型の短所は、そのままランサムウエアの記事に書いた話になります。ファームウエアを更新しないと、守るための装置が即座に侵入口に変わるのです。

　2018年に公表されたFortinet FortiOSの脆弱性、CVE-2018-13379は、いまもランサムウエアの入口として使われています。8年前に公表され、修正プログラムも出ている穴が開いたままの装置が、2026年にまだ動いているということです。

　Fortinet製のVPN機器について、8.7万台分の認証情報が流出し、公開された事例もあります。英国のNCSC、国家サイバーセキュリティセンターは2026年6月に、FortiGateを狙う世界的な攻撃キャンペーンへの警告を出しました。

　推奨されている運用は、だいたい共通しています。

パッチの適用　公表から72時間以内

EOL機器　サポートが終わった装置は撤去する

管理画面　インターネット側に出さない

認証　多要素認証を必須にする

　読者の皆さんの勤務先に、何年も触っていないVPN機器はありませんか。あるとすれば、それはもう防具ではありません。

ソフトで建てる　月数百円のVPS1台で、自分専用VPNができます

　次がソフトです。個人にとって現実的なのは、こちらです。

　WindowsもmacOSもiOSもAndroidも、VPNクライアントを標準で持っています。つなぐ側は、すでに手元にあるのです。足りないのは受け側、つまりVPNサーバーのほうです。

　受け側を作るソフトを並べます。

　WireGuard　いまの主流。コードが小さく、速く、設定ファイルが短い。VPS1台で建てられる

　OpenVPN　歴史が長く、対応機器が多い。そのぶん設定は煩雑

　SoftEther VPN　筑波大学発の国産。NAT越えに強く、日本の一般家庭の回線事情に合う

　Tailscale　ポート開放が要らないメッシュ型。端末同士を直接つなぐ。個人には無料枠がある

　このうち、いちばん敷居が低いのはTailscaleです。ルーターのポートを開ける作業は、間違えると家庭内の機器がそのままインターネットに露出します。その作業が要らないというだけで、安全性が1段上がります。

　WG-EasyのようなGUIを使えば、コマンドをほとんど書かずに建てられます。費用はVPS代だけ、つまり月数百円です。前編で書いたとおり、個人用なら小さなプラン1台で足りてしまいます。

　ただし、ここに書いた手順や必要なスペックは環境によって異なります。会社の業務で使う回線や、止まると困る重要なシステムについては、自分で試す前に専門の事業者に相談してください。

サービスを買う　NordVPNは割引価格と更新価格が約3倍違います

　3つ目は、できあがったものを買う形です。NordVPN、ExpressVPN、MillenVPNなどがこれにあたります。目的は出口を変えることです。大事なのは、この型は社内や自宅のネットワークに入る用途には使えないという点です。広告を見て契約した人が、あとで「会社のパソコンにつながらない」と言うのは、だいたいこの誤解です。

　そのうえで、NordVPNの料金構造そのものが、経済の記事になります。2026年10月時点の公表価格では、2年プランのベーシックが月額約540円から638円。70%前後の割引がかかった価格です。ところが契約が満了したあとの更新価格は、年24,156円、税込です。月に換算すると約2,013円。約3倍になります。

　もう1つ付け加えます。各紹介記事が勧めている節約法が、更新を迎える前に一度解約して、新規の客として再契約するというものなのです。

　つまりこの設計では、黙って継続した人がいちばん高く払います。金融庁の資産運用シミュレーションを検証したときと、まったく同じ構造です。数字は嘘をついていません。前提を読まないと答えが変わるだけです。

　誤解のないように書いておきますが、これはNordVPNというサービスの質の話ではありません。後で書くように、このサービスは第三者監査の回数で業界の最多水準にあります。論点は、割引価格と更新価格の落差という契約の設計です。サービスが良いか悪いかと、契約の設計が利用者に親切かどうかは、別の話です。

Firefoxの無料VPNには、制約が3つあります

　そしてもう1つ、無料という選択肢が増えました。

　Firefoxのツールバーに増えたボタン、Firefox組み込みVPNです。Firefox 149から米国、英国、ドイツ、フランス、カナダで先行して始まり、日本では2026年9月16日に提供が開始されました。無料で、月あたり最大50GB。Mozillaアカウントへのログインが必要で、PC版とAndroid版があります。手元のFirefox 157.0.1では、まだbetaと表記されています。betaですから、仕様はこれから変わりうると考えてください。

　ただし制約が3つあります。

　1つ目。守るのはFirefoxの中の通信だけです。他のブラウザ、メールソフト、スマートフォンの他のアプリは対象外です。

　2つ目。経由国に選べるのは米国、英国、カナダ、ドイツ、フランスの5か国だけ。日本は選べません。

　3つ目。仕組みはブラウザの通信をプロキシ経由にしてIPアドレスを隠す方式で、Mozilla自身の説明も「IP保護」です。全デバイスを守る有料の「Mozilla VPN」とは、別の製品です。

　目的別の選び方を、4行にまとめます。社内や自宅のPCに入りたいなら、Tailscaleか、VPSにWireGuard。会社なら既存のVPN機器です。公衆Wi-Fiで経路を守りたいなら商用のVPNサービス、ブラウザだけでよければFirefoxの機能。海外から日本のサービスを使いたいなら、日本に出口のあるVPN。両方やりたいなら、VPSを1台借りて自分で建てるのが結局いちばん安くなります。

リモートデスクトップは、VPNの中で使ってください

　ここから使い方です。3つの場面に分けます。

　1つ目は、外から自宅や社内のPCに入る使い方、リモートデスクトップです。

　先に、やってはいけないことを書きます。リモートデスクトップ、RDPのポートを、そのままインターネットに開けてはいけません。先日のランサムウエアの記事で紹介した警察庁の統計では、感染経路が判明した36件のうちリモートデスクトップが9件、約25%を占めていました。「自分のところなど狙われない」は通りません。人間が探しているのではなく、機械が自動で全世界のアドレスを順番に叩いているからです。

　正しい順序は決まっています。まずVPNで中に入り、その中でRDPを使う。あるいはTailscaleのように、ポート開放の要らない仕組みを使う。この順序を逆にしないことが要点です。

　意外に引っかかる点を3つ書きます。受け側のWindowsはPro以上である必要があり、Homeはリモートデスクトップの受け側になれません。受け側のPCは、スリープさせない設定にしておく必要があります。そして自宅の回線のIPアドレスは変わるので、DDNSを使うか、VPS側を固定の待ち合わせ場所にします。

　長所もはっきりしています。転送されるのは画面だけなので、手元の端末にファイルが残りません。出先でノートPCを紛失しても、データは自宅のPCの中にあります。情報漏えい対策としては、かなり優秀な仕組みです。

　注意点は回線です。細い回線では実用になりません。表計算やブラウザは快適に動きますが、動画編集は無理です。ここも環境によって大きく変わります。

公衆Wi-Fiでいちばん確実なのは、テザリングです

　2つ目は、国内の出先でのインターネット利用です。ここは、よく言われていることと実態がずれています。

　昔の公衆Wi-Fiが危険だった理由は、通信が平文だったことです。同じWi-Fiにいる人に中身を読まれました。今は違います。ほとんどのサイトがHTTPSになったので、中身は読まれません。

　では何が残るのか。3つです。どこに接続したかという事実、つまりDNSの問い合わせや接続先の名前。名前を真似た偽のアクセスポイントに、自分から繋いでしまう罠。そして、暗号化が手抜きなアプリの通信です。

　したがって、公衆Wi-Fi対策としてのVPNの効果は、ゼロではありませんが、宣伝文句ほど劇的でもありません。そして、いちばん確実な対策はVPNではありません。スマートフォンのテザリングを使うことです。自分の回線で出てしまえば、偽アクセスポイントの問題も、施設側のネットワーク機器の問題も最初から発生しません。

　ここは経済の話として考えてみてください。商用VPNの月額と、通信プランのギガを追加する料金を並べて、どちらが安いか。出張が月に数日という方なら、ギガの追加のほうが安くて確実なことがあります。

　ホテルのWi-Fiだけは別問題として扱ってください。宿のネットワーク機器が何年も更新されていないことがあり、ここはVPNが効く場面です。

海外から日本の証券口座に、入れますか

　3つ目は海外です。おそらく、この記事でいちばん需要があるのがここでしょう。

　海外のIPアドレスからだと、日本の動画配信、radiko、一部の通販が使えません。地理ブロックと呼ばれる仕組みです。

　もっと厄介なのは金融機関です。海外からのアクセスを不審と判断して、口座を一時的にロックすることがあります。証券口座は特に注意が必要です。旅先でログインできず保有株の売買ができないという状況は、相場が動いているときに起これば実損になります。正解は、渡航前に金融機関の海外利用の方針を確認しておくことです。

　日本に出口のあるVPNを使えば、技術的には解決します。ただし、動画配信サービスの利用規約では、地理ブロックの回避を禁じていることが多いという点は書いておかなければなりません。これは法律の問題ではなく、契約の問題です。アカウント停止のリスクを負うかどうかは、本人の判断になります。

　現実的な手順は4つです。渡航前にアプリを入れて、接続テストまで済ませる。出口を日本にする設定と、現地にする設定の両方を用意する。金融機関のアプリは現地の回線で使うか日本出口で使うかを事前に決める。そして代替手段も考えておく。海外ローミングや海外用eSIMなら日本のIPアドレスで出られる場合があり、VPNより確実なことがあります。

VPNを使うこと自体が違法な国があります

　ここは、知らないと本当に困る話です。2026年10月時点の報道と各種資料によれば、次のような状況です。法規制は変わりますので、渡航前に必ず最新の情報を確認してください。

　中国。グレートファイアウォールによって、Google、YouTube、X、Facebook、LINEが使えません。そして政府が承認したVPN以外の使用は違法とされ、個人への罰金は最大15,000元、日本円で約35万円という報告があります。実際の摘発は提供事業者と政治的な利用が中心とされていますが、重要なのは実務の話です。現地に着いてからではVPNアプリをダウンロードできません。渡航前に入れておくことが、事実上の必須になります。

　ロシア。2017年から、未承認VPNの提供と使用が違法とされています。2025年には400を超えるVPN、迂回サービスへのアクセスが制限されたと報じられました。

　UAE。業務目的の利用は合法ですが、VPNを使って禁止コンテンツにアクセスすると厳罰の対象になります。

　申し上げたいのは1点だけです。自分の常識が通らない国があります。日本で合法で便利な道具が、国境を越えた瞬間に違法行為の道具になることがある。この一点は、はっきり書いておきます。

　そして、この章にはオチがあります。冒頭で紹介したFirefoxの無料VPNは、経由国が米国、英国、カナダ、ドイツ、フランスの5か国だけで、日本が選べません。つまり、海外から日本のサービスに入るという、日本人がいちばん使いたい用途には使えないのです。

　無料で月50GB、しかもボタン1つという手軽さの正体は、ここにあります。タダのものには、ちゃんと理由があります。この用途が目的なら、日本に出口のある有料のVPNを使うか、VPSを日本国内で借りて自分で建てることになります。前編のVPSの話が、ここで戻ってきます。

無料VPNの18%は、暗号化していませんでした

　ここからが危険性の話です。6つの論点を順に書き、最後に業界全体の動きに触れます。

　1つ目。無料VPNでは、あなたの通信が商品です。

　オーストラリアの研究機関CSIROが行ったAndroid向けVPNアプリの調査では、18%は通信を暗号化しておらず、84%で利用者データの漏えいが確認されました。約4分の3のアプリに、第三者のトラッキングライブラリが入っていました。暗号化するための道具が暗号化していないというのは、冗談のような話ですが、調査結果です。

　さらに深刻な事例があります。2024年にFBIが摘発した「911 S5」というボットネットでは、無料VPNアプリ経由で190カ国、約1,900万のIPアドレスが乗っ取られ、サイバー攻撃の踏み台にされていました。

　つまり無料VPNの一部は、あなたの回線を他人に貸し出して稼いでいます。そしてその回線で犯罪が行われれば、追跡されるのはあなたの契約です。被害者ではなく、加害者の側に名前が載ります。

　ここは経済の記事として、いちばん書きたいところです。サーバーと回線の帯域には、必ず誰かがお金を払っています。それを無料で提供してくれる慈善事業は存在しません。無料だと言われたときに考えるべきことは、品質ではなく、誰が払っているのかです。

VPNは万能の盾ではありません　609万件は1件も防げませんでした

　2つ目。VPNが守るのは経路だけです。

　次のものには、何の効果もありません。マルウェアとランサムウエア。フィッシングメール。パスワードの使い回しによるアカウント乗っ取り。そして、すでに企業から漏れてしまった自分の個人情報です。

　先日のランサムウエアの記事で書いた609万件のメールアドレスは、VPNを使っていても1件も防げませんでした。理由は単純です。漏れたのは自分の端末からではなく、預けた先からだからです。自分の家の玄関をどれだけ頑丈にしても、預けた荷物が別の倉庫から盗まれるのは防げません。

　だから、VPNを入れたから安全だと思った瞬間が、いちばん危ないのです。守られている範囲を正確に知っている人のほうが、結果として安全になります。

設置した日がいちばん安全です　ハードと自作VPNの点検項目

　3つ目。ハードのVPNは、設置した日がいちばん安全です。そこから先は、放置した日数だけ危険になっていきます。侵入口の約5割がVPN機器で、8年前の脆弱性が現役で使われているという事実が、それを示しています。

　点検項目は、先日のランサムウエアの記事と同じです。パッチは72時間以内に当てる。サポートの終わった機器は撤去する。管理画面をインターネットに出さない。多要素認証を必須にする。退職者のアカウントを消す。これは流出した認証情報の再利用に効きます。

　そしてもう1つ。誰も管理していないVPN機器を社内で探すことです。これがいちばん多い穴だと言われています。前任者が設置して、担当が代わり、台帳に載っていない機械が24時間扉を開けて待っている。この状態が各社にあります。

　4つ目。自分で建てたVPNは、自分専用の侵入口になりえます。

　VPSには管理者権限があります。ということは、守る責任も自分にあるということです。建てて放置したVPNサーバーがどうなるか、具体的に書きます。

　SSHの22番ポートには、毎日何千回とログイン試行が来ます。公開鍵認証にして、パスワード認証を切ってください。OSの自動更新を入れていなければ、数か月で既知の穴が開きます。そして踏み台にされると、被害者ではなく加害者になります。攻撃元として自分のIPアドレスが記録され、VPS業者からはアカウント停止と請求が来ます。

　月296円の自由には、月に数十分の点検がついてきます。ここは正直に書いておきます。安いのは料金だけで、手間が無料になるわけではありません。

　5つ目。会社のPCに勝手にVPNを入れてはいけません。情報システム部門の監視を無効化する行為になり、就業規則違反になりえます。善意でやった結果が、会社の防御に穴を開けることがあります。

ノーログを名乗る業者を、どう評価するか

　6つ目。これがいちばん大事な視点だと思います。

　VPN業者は、あなたの全通信を見られる立場にいます。回線事業者への信頼を、VPN業者への信頼に移し替えているだけで、信頼しなければならない相手が消えたわけではありません。ここを理解しないまま「VPNを使えば匿名」と考えるのは、危険です。

　では、どう見分けるか。見るべきは3点です。第三者監査を受けているか。運営している国と親会社はどこか。記録しないと明記されているか。

　実例で示すのがいちばん早いと思います。NordVPNは、ノーログ方針について第三者監査を6回受けています。PwCが2018年と2020年、Deloitteが2022年以降は毎年。最新の監査は2025年11月から12月に実施され、2026年2月に報告が公表されました。業界で最多の回数とされています。

　申し上げたいのは、「ノーログです」と自称しているかどうかではなく、誰が、いつ、何回確かめたのかを見るということです。これは決算書に監査法人の意見が付いているかどうかを見るのと、まったく同じ作法です。会社が自分で「うちの数字は正しい」と言っているだけの書類を、投資家は信じません。VPNも同じでいいのです。

　投資家目線で1行だけ付け加えます。「無料」と「ノーログ」を同時に名乗るサービスは、収益源がどこにあるのかを考えてください。監査報告も出さずにこの2つを同時に名乗るサービスこそが、先ほどのCSIROの調査結果の母集団です。

世界はすでにVPNから離れ始めています

　最後に、もう1つ。

　VPNの前提は「入ったら中は信用する」というものです。玄関で本人確認をして、通ったあとは自由に歩ける設計です。ということは、1つの認証情報が漏れたら、中が全部見えます。

　だから、ゼロトラスト、ZTNAと呼ばれる考え方への移行が進んでいます。通信ごとに毎回検証する方式です。10月9日に国家サイバー統括室が出した要請にある多要素認証とログ監視も、方向は同じです。

　VPNは便利ですが、2026年の時点では「古い前提で作られた便利な道具」です。使うなら、その前提を知って使う。これが今回の結論です。

投資家として、ここをどう見るか

　ここからは投資の話です。

　まずVPSを売っている側。日本の投資家が買える会社があります。

　さくらインターネット、証券コード3778。2026年3月期の売上は353億円で、前期比27.5%増。GPUクラウドが売上の20.2%を占めています。ガバメントクラウドの正式採択を得て、国産クラウドの需要を取りにいっている会社です。ただし同じ2026年3月期について、営業利益を38億円から3.5億円へ大幅に下方修正した事実も併記しなければなりません。会社の説明は、GPUインフラの成長が一時的に遅れたというものです。成長期待と足元の利益のギャップ、という論点になります。

　GMOインターネットグループ、9449。ConoHa VPSを運営しています。ソフトバンク、9434。子会社のIDCフロンティアは、先日のランサムウエア記事の当事者でした。

　ところが、VPNを売っている側は、日本の投資家が買えません。ここが面白いところです。

　NordVPNを運営するNord Securityは、リトアニア発の会社です。10年間、外部資本を入れずに自力で成長しました。2022年2月にSurfsharkと持株会社を統合し、2023年9月にはWarburg Pincusから1億ドルを調達、評価額は16億ドルから30億ドルへ倍増しています。従業員は2,000人超。そして未上場で、IPOの発表も確認できません。

　つまり、YouTubeで毎日あの広告を見せられているのに、その会社の株は買えないのです。

　そこへMozillaが、2026年9月16日から日本で無料50GBを配り始めました。並べてみると構図がはっきりします。

NordVPNの更新価格　月約2,013円

Firefox組み込みVPN　0円（月50GB、ブラウザ内のみ）

　もちろん機能は違います。全デバイスに対応するか、経由国がいくつあるか、日本出口があるか。上位の需要では、有料サービスの優位は残ります。しかし、ブラウザでニュースを読むだけという人に、この差を説明するのは難しいでしょう。

　これが価格破壊の典型的な形です。上位の機能では差が残る一方、いちばん人数の多い底辺の需要が無料に吸われていく。しかも今回それをやったのは、競合の営利企業ではありません。非営利財団であるMozilla Foundationの子会社です。誰が誰と競争しているのかが変わった、という構造の話です。

　もう1つの構造。セキュリティは「コスト」から「事業継続の前提条件」に変わりました。先日のランサムウエアの記事と同じ結論です。止まったら事業が終わるものは、もう経費削減の対象ではありません。この認識の切り替えができている会社とできていない会社の差は、これから決算に出てきます。

　なお、この話には続きがあります。2026年10月1日、生成AIのClaudeで、VPNを経由して使っていたアカウントが一斉に止まりました。無料の利用者だけでなく、月20ドルを払っていた会員も、会社のVPNを使っていた契約者も、警告なしで止まりました。その3週間前に、中国のAI企業がシンガポールと日本のIPアドレスを踏み台にしてClaudeの回答を大量に抜き取っていた、という154ページの報告書が出ていました。

　次回はその話を書きます。VPNを入れたことが、サービスから締め出される理由になった、という3つ目の落ちです。

最後に

　前編をまだ読まれていない方は、こちらからどうぞ。

　先日のランサムウエアの記事も、あわせてご覧ください。

　 料金と仕様は2026年10月時点のものです。申し込み前に公式サイトでご確認ください。技術的な手順は環境によって異なりますし、止まると困る重要なシステムについては専門の事業者に相談してください。各国の法規制も変わりますので、渡航の前には最新の情報をご確認ください。

　投資判断はご自身の責任でお願いします。この記事は、特定の銘柄やサービスの売買・契約を推奨するものではありません。

　さくらインターネットの話、売上は27.5%増なのに営業利益の予想は38億円から3.5億円へ、というのは、数字が正しいのに読み方で結論が変わる典型例です。売上の伸びだけを見れば好調な会社ですが、セグメント情報と会社予想の修正を並べると、違う絵が見えてきます。この読み分けについては、拙著に書きました。

　上場3710社の決算を並べ、28章ぶんの実例で書きました。AI相場の主役がなぜ半導体ではなく電線だったのか、セグメント情報をどう開くか、営業利益と純利益がずれる理由、売上原価の中身、会社予想をどこまで信じるか。使う道具は割り算と、決算短信の1ページ目と、少しの手間だけです。

　今日の話も、構造は同じでした。「VPNを入れたから安全」というラベルを貼ってしまうと、その先を見なくなります。決算書でも、「増収だから好調」というラベルが同じ働きをします。