IVPN vs Opera VPN

La auditoría aún no publicada. La octava auditoría anual de Cure53 estaba programada para julio de 2026 y aún no se ha publicado ningún informe de 2025 o 2026, por lo que la fecha del informe más reciente es abril de 2024.

El incidente de agosto de 2026. En agosto de 2026, un atacante explotó una vulnerabilidad en el BTCPay Server autohospedado, antes de que se hiciera pública, y sustrajo los fondos operativos propios de IVPN en Lightning. IVPN publicó el relato cuatro días después, sin que se lo solicitaran, y lo limitó a esa máquina: las puertas de enlace de VPN no estuvieron involucradas, no se accedió a registros de clientes y no se perdió dinero de clientes.

Por qué no cuesta nada. El modelo no cobra nada por esto, y ese es el punto: un operador que lo comunica con prontitud se comporta de la manera que el sector pretende recompensar, y la ficha está aquí para que el lector sepa que ocurrió, no para modificar una cifra.

Qué cubrieron los encargos. La prueba de penetración de las aplicaciones (iOS, Android, Electron, el daemon) es de marzo de 2022 y la revisión de la puerta de enlace y del sistema operativo del servidor, de febrero de 2023; ninguna de las dos puso a prueba la declaración de ausencia de registros, como afirma explícitamente el informe de 2023, por lo que la retención se basa únicamente en la declaración de la política de privacidad.

El informe más reciente no es el pertinente. La auditoría de abril de 2024, la sexta de Cure53 con IVPN, probó el sitio web de la cuenta de cliente, la API y el alojamiento; su propia página de alcance indica que las aplicaciones cliente y los servidores VPN quedaban fuera de alcance, por lo que no amplía la evidencia ni de la aplicación ni de la puerta de enlace, y V03_audit_subject muestra unknown para ella en lugar de trasladar ese reconocimiento. La séptima auditoría, sobre los nuevos servicios de correo electrónico y DNS, solo se anunció para mayo de 2025; no se ha publicado ningún informe al respecto.

Lo que el sitio principal nunca establece. Solo RAM figura como parcial porque IVPN lo describe como una transición con implementaciones de prueba en curso, y no ha anunciado su finalización. La propiedad del hardware de los servidores (alquilado frente a propio), la modificación del tráfico en la salida y la jurisdicción personal del propietario beneficiario no están establecidos: ninguna página principal de IVPN indica ninguno de los tres, ni tampoco el tamaño de la base de usuarios.

Tres campos que responde la base de conocimiento, no las páginas consultadas en el primer llenado. La asignación de IP es compartida por diseño: el «crowding» agrupa a los usuarios en una dirección para dificultar la atribución. P2P está permitido en todas partes, pero IVPN pide a los clientes que eviten las salidas de Estados Unidos, alegando la presión de la DMCA de los proveedores ascendentes. El streaming no tiene ninguna garantía, aunque la empresa afirma que muchos clientes sí acceden a él.

El informe que cambiaría cuatro campos. El informe de Deloitte es el otro documento que cambiaría varios campos a la vez: V04, V07, V11 y V15 son todos desconocidos únicamente porque no está publicado, y V11, en particular, es el campo en el que se basa toda la afirmación de ausencia de registros.

Lo que no tiene documento. U07 no tiene documento y C13 tampoco lo tiene detrás: Opera menciona AES-256 y un «secure tunnel», pero nunca un protocolo, por lo que el transporte más débil disponible no está establecido. U08, U09 y U12b no están cumplimentados por la misma razón: la tabla de comparación de funciones de la página del producto marca las filas con marcas de verificación que el marcado obtenido no incluye, y leer marcas de verificación de una imagen renderizada no es una fuente.

Servidores descritos, no evidenciados. C02, C06 y C08 no tienen nada que los respalde: Opera afirma que los servidores son físicos y propios, lo que no establece ni el disco, ni el DNS, ni quién es propietario del hardware. C09b no puede responderse mientras U02 sea desconocido.

Una tienda, no dos. Solo se leyó el formulario de seguridad de datos de Google Play; no se leyeron las etiquetas de privacidad de App Store para el navegador de iOS, por lo que X12 se basa en una tienda y no en la peor de las dos.

Dos interpretaciones en lugar de afirmaciones. Linux en U01 se infiere del manual de ayuda de escritorio, que documenta la VPN y cubre Windows, macOS y Linux conjuntamente sin dividir por plataforma; Android e iOS se mencionan explícitamente en el anuncio de la auditoría. U10 es ilimitado porque no hay cuenta ni límite de dispositivos que pueda imponer uno, lo que es una interpretación del producto y no una cifra declarada.

La identidad de ese tercero ha cambiado: el anuncio de la auditoría de 2024 dice que los servidores de VPN Pro son "proporcionados en colaboración con Nord", y la explicación de 2026 dice que VPN Pro está "equipada con el protocolo Lightway de última generación", que es de ExpressVPN. Ningún documento dice que el acuerdo haya cambiado.

X02 es el hallazgo fundamental, y ambos documentos que lo respaldan son propios de Opera. El anuncio de 2024 cita la opinión de Deloitte: "la configuración de los sistemas de TI y la gestión de las operaciones de TI de apoyo se diseñaron e implementaron adecuadamente, en todos los aspectos materiales, sobre la base de los criterios descritos en la Declaración de la dirección de Opera, a fecha de 10 de agosto de 2024", y atribuye por separado la frase "No hay ninguna funcionalidad de registro de datos integrada en el servicio VPN, y no se recopilan datos de ningún tipo" a la propia Declaración de la dirección de Opera.

La publicación de 2026 vuelve a contar el mismo encargo como un hallazgo realizado por Deloitte: "dimos al equipo de Deloitte acceso completo a nuestra VPN y a nuestra infraestructura de servidores, y pudieron verificar nuestra afirmación ... De hecho, la función de registro de datos ni siquiera está integrada en la VPN". La misma publicación eleva una ventana que la publicación de 2024 fecha del 18 de junio al 10 de agosto de 2024 a "acceso completo".

Opera está describiendo su propia afirmación como la conclusión de su auditoría. Por eso el bloque VERIFY se divide como lo hace. V01 es yes_verified porque se basa en un informe que realmente se abrió —el propio resumen de gestión publicado por Cure53 sobre su evaluación de marzo de 2022—, no en el anuncio de Deloitte.

El informe de Deloitte en sí no está publicado en ninguna parte, por lo que V02 es press_only, y todo campo que sea un hallazgo de ese informe, y no un hecho sobre el encargo, sigue siendo desconocido: cobertura de la flota (V04), estándar de aseguramiento (V07), lo que el informe afirma que se retiene (V11) y la solidez de la opinión (V15).

Los hechos del encargo —la empresa, su categoría, la fecha y lo que figuraba como evaluado— se toman del anuncio. Un proveedor que ha vuelto a caracterizar esta auditoría de forma demostrable una vez no es una fuente para saber qué concluyó la auditoría. C01 es none_linkable porque esa es la declaración de la declaración de privacidad; V11 es el hallazgo, y no hay ningún hallazgo que leer.

El informe de Cure53 es real y es la razón por la que V14 es yes_verified: siete evaluadores, veinticuatro jornadas-persona, una evaluación de caja blanca en cuatro paquetes de trabajo que cubrían los clientes VPN, la configuración y la infraestructura del servidor, y el protocolo de Opera Mini utilizado para proporcionar la configuración de VPN. Catorce problemas pertinentes para la seguridad, ocho de ellos vulnerabilidades reales, cinco clasificados como de gravedad alta y ninguno crítico.

En marzo de 2022, nueve se habían corregido y las correcciones se habían verificado, uno se había corregido parcialmente, se había aceptado el riesgo de tres, uno era una alerta falsa y uno seguía en curso. El blog de Opera afirma que los siete elementos relacionados directamente con la VPN del navegador fueron «todos resueltos posteriormente», y la tabla lo confirma: el remanente se encuentra en el paquete de trabajo de Opera Mini, no en la propia VPN.

La propiedad está completamente divulgada y termina en un país de mandato, por lo que X03 y C11 apuntan en direcciones opuestas sin contradecirse.

El responsable del tratamiento de datos identificado en la propia declaración de privacidad de Opera es Opera Norway AS, una empresa noruega, y el informe de transparencia se presenta con ese nombre.

La sociedad holding es Opera Limited, una sociedad exenta constituida en las Islas Caimán en marzo de 2018, sin operaciones sustantivas propias. El Form 20-F de 2025 identifica a Hong Kong Kunlun Tech Holding Limited como accionista principal, con un 68,0 %, una filial de Kunlun Tech Co., Ltd. constituida en la PRC, y afirma que Kunlun «es la matriz última de Opera y está controlada por el presidente ejecutivo de Opera».

Por tanto, M06 es NO y C10 es no, mientras que M11 es CN y C11 es yes.

C12 es el vacío más marcado entre la declaración de la VPN y la aplicación en la que está integrada. La sección de la VPN de la declaración de privacidad declara ausencia de registros; otra sección del mismo documento dice que, cuando se instala una aplicación de Opera, «se genera un ID de instalación aleatorio. Recopilamos este identificador, así como Machine ID, las especificaciones del hardware (modelo, fecha de lanzamiento, etc.), el sistema operativo, la configuración del entorno y los datos de uso de funciones», con una retención de hasta tres años.

Un Machine ID se deriva del hardware, por lo que el identificador que conserva el proveedor es persistent_hardware_id y no uno aleatorio con alcance limitado a la aplicación, haga el túnel lo que haga o no haga con los registros.

X12 compara dos documentos que Opera presentó por sí misma. El formulario de seguridad de datos de Play para com.opera.browser declara que Installed apps se recopila para Analytics, y la declaración de privacidad nunca menciona la recopilación de las aplicaciones instaladas en el dispositivo. Installed apps es comportamiento, no un identificador; de ahí undisclosed_behaviour.

El mismo formulario declara que Device or other IDs se comparte con otras empresas para publicidad, lo que sitúa C07a en ads. C07b se basa en algo más limitado y se marca como B por ello: el único host de terceros en el marcado servido para la página del producto es Google Tag Manager, y no se enumeró lo que ese contenedor carga en tiempo de ejecución.

U02 es desconocido por el diseño del producto, no por un fallo de la búsqueda: la VPN gratuita ofrece tres regiones —Opera las denomina America, Asia y Europe— y nunca un país. C09 y C09b se derivan de ello y no pueden resolverse mientras se mantenga esta situación.

X05 es ads_supported en el explicador de Opera, que enumera la publicidad en primer lugar entre tres fuentes de ingresos y describe que Opera Ads recopila un ID de usuario generado aleatoriamente, la ciudad o el país y categorías generales de sitios visitados, con una retención de hasta un año; junto con U05 = unlimited_free, este es exactamente el caso que R15 existe para señalar.

X06 es la afirmación de la publicación de 2026 de que AES-256 «le llevaría a un hacker con incluso el ordenador más rápido más de mil millones de años descifrarlo». X09 es self_disclosed_prompt en dos publicaciones de 2026 en las que Opera publicó vulnerabilidades que investigadores externos le habían comunicado, junto con el análisis y la versión corregida; se trata de vulnerabilidades del navegador, no de incidentes de VPN, y no se conoce ningún incidente de VPN.

C05 es not_sold. La VPN gratuita no tiene ningún paso de pago: ni suscripción ni cuenta; por tanto, no hay nada que pagar de forma anónima ni de otro modo.

Esta ficha se escribió inicialmente como none, lo que se interpreta como «solo se ofrecen métodos de pago identificados» y aquí es falso, porque el vocabulario no tenía ningún token para un servicio que no cobra dinero; unknown habría afirmado que la búsqueda había fallado, lo que también era falso, y entre dos interpretaciones erróneas se registró la que perjudica al proveedor. El token existe ahora y tiene un precio de nada, que es la respuesta honesta: donde no hay pago, no hay identidad de pago que pueda filtrarse.