IVPN vs NordVPN

La auditoría aún no publicada. La octava auditoría anual de Cure53 estaba programada para julio de 2026 y aún no se ha publicado ningún informe de 2025 o 2026, por lo que la fecha del informe más reciente es abril de 2024.

El incidente de agosto de 2026. En agosto de 2026, un atacante explotó una vulnerabilidad en el BTCPay Server autohospedado, antes de que se hiciera pública, y sustrajo los fondos operativos propios de IVPN en Lightning. IVPN publicó el relato cuatro días después, sin que se lo solicitaran, y lo limitó a esa máquina: las puertas de enlace de VPN no estuvieron involucradas, no se accedió a registros de clientes y no se perdió dinero de clientes.

Por qué no cuesta nada. El modelo no cobra nada por esto, y ese es el punto: un operador que lo comunica con prontitud se comporta de la manera que el sector pretende recompensar, y la ficha está aquí para que el lector sepa que ocurrió, no para modificar una cifra.

Qué cubrieron los encargos. La prueba de penetración de las aplicaciones (iOS, Android, Electron, el daemon) es de marzo de 2022 y la revisión de la puerta de enlace y del sistema operativo del servidor, de febrero de 2023; ninguna de las dos puso a prueba la declaración de ausencia de registros, como afirma explícitamente el informe de 2023, por lo que la retención se basa únicamente en la declaración de la política de privacidad.

El informe más reciente no es el pertinente. La auditoría de abril de 2024, la sexta de Cure53 con IVPN, probó el sitio web de la cuenta de cliente, la API y el alojamiento; su propia página de alcance indica que las aplicaciones cliente y los servidores VPN quedaban fuera de alcance, por lo que no amplía la evidencia ni de la aplicación ni de la puerta de enlace, y V03_audit_subject muestra unknown para ella en lugar de trasladar ese reconocimiento. La séptima auditoría, sobre los nuevos servicios de correo electrónico y DNS, solo se anunció para mayo de 2025; no se ha publicado ningún informe al respecto.

Lo que el sitio principal nunca establece. Solo RAM figura como parcial porque IVPN lo describe como una transición con implementaciones de prueba en curso, y no ha anunciado su finalización. La propiedad del hardware de los servidores (alquilado frente a propio), la modificación del tráfico en la salida y la jurisdicción personal del propietario beneficiario no están establecidos: ninguna página principal de IVPN indica ninguno de los tres, ni tampoco el tamaño de la base de usuarios.

Tres campos que responde la base de conocimiento, no las páginas consultadas en el primer llenado. La asignación de IP es compartida por diseño: el «crowding» agrupa a los usuarios en una dirección para dificultar la atribución. P2P está permitido en todas partes, pero IVPN pide a los clientes que eviten las salidas de Estados Unidos, alegando la presión de la DMCA de los proveedores ascendentes. El streaming no tiene ninguna garantía, aunque la empresa afirma que muchos clientes sí acceden a él.

El canario y el trimestre que lo sustituyó. La misma página retiró el canario de órdenes judiciales (P07=removed) para publicar informes de transparencia trimestrales; el último trimestre completo (abr.–jun. de 2026) muestra 85 consultas gubernamentales y 0 divulgaciones, por lo que P08/P09 corresponden a ese periodo, no a la cifra de toda la vigencia.

India y el régimen de órdenes secretas. P04=withdrew_physical es la salida de la India en junio de 2022. P11=none_known se basa en la declaración de la página de que NordVPN no ha recibido cartas vinculantes de National Security ni órdenes de mordaza, y en la ausencia de tal régimen en Panamá.

Un nivel de aseguramiento que nadie puede comprobar. NordVPN describe el encargo de Deloitte Lithuania como un encargo de aseguramiento razonable conforme a ISAE 3000 (Revised), que sería la modalidad más sólida; el informe de PIA, que se puede consultar, declara una conclusión de aseguramiento limitado.

Por qué no se acredita la forma más sólida. El modelo ahora valora esa diferencia, y esta ficha no obtiene ese beneficio: V15_assurance_strength es desconocido porque la única declaración del nivel es la de NordVPN, sobre un informe que nadie fuera de una Nord Account puede abrir. Un documento tras un inicio de sesión no es evidencia aquí en ningún nivel, por lo que el encargo se acredita conforme a la norma del mercado y no al nivel que se dice que ha alcanzado.

Un informe tras un inicio de sesión. El informe solo se puede leer después de iniciar sesión en una Nord Account, por lo que nadie fuera de esa relación ha comprobado su alcance, y todos los campos de auditoría aquí se basan en el propio resumen de NordVPN en lugar de en el documento. Eso, y no un hallazgo contra el servicio, es la razón por la que esta ficha es la más escasa del catálogo.

La vulneración del centro de datos de Finlandia de 2018 fue una intrusión de terceros, no una incautación por las fuerzas del orden; se registra en P12_case_history como kind=breach, no como P01_seizure_event. El propio relato de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) y la cobertura contemporánea de Bloomberg coinciden en que la divulgación siguió a acusaciones en Twitter de investigadores externos, no a una iniciativa propia de NordVPN; de ahí third_party_disclosed en lugar de self_disclosed_late.

NordVPN y Surfshark comparten una matriz (Nord Security), pero el anuncio de fusión de ambas empresas afirma que sus infraestructuras y hojas de ruta de productos son independientes; M18 se establece como separado sobre esa base.