Ответить на этот вопрос точно, скорее всего, сможет только представитель провайдера, знакомый с программой NL. Вариантов немало:
- разница в "чистом" и "грязном" траффике. Например (предположение! чисто абстрактное, далеко не факт, что это именно так!!!), с точки зрения NL входящий траффик - размер файлов, а с точки зрения провайдера - размер всех IP-пакетов. Служебные данные IP тоже чего-то весят.
- Другой вариант: файрволл режет некие входящие пакеты (отсечение атаки типа "сканирование портов"), и они соответственно не учитываются NL; но через биллинговую систему провайдера эти пакеты уже прошли и сочтитаны...
Плюс комбинации этих вариантов между собой, плюс разница "десятичных" и "двоичных" мегабайтов... Вариантов - мульён, фантазировать можно долго. Вероятность угадать правильно со стороны случайного "эксперта" близка к нулю.
Но, вообще говоря, меня бы значительно больше удивила обратная ситуация, когда у провайдера на счётчике меньше, чем у тебя на локальной машине...
На сём предлагаю прекратить гадания на кофейной гуще.