IVPN vs Private Internet Access

La auditoría aún no publicada. La octava auditoría anual de Cure53 estaba programada para julio de 2026 y aún no se ha publicado ningún informe de 2025 o 2026, por lo que la fecha del informe más reciente es abril de 2024.

El incidente de agosto de 2026. En agosto de 2026, un atacante explotó una vulnerabilidad en el BTCPay Server autohospedado, antes de que se hiciera pública, y sustrajo los fondos operativos propios de IVPN en Lightning. IVPN publicó el relato cuatro días después, sin que se lo solicitaran, y lo limitó a esa máquina: las puertas de enlace de VPN no estuvieron involucradas, no se accedió a registros de clientes y no se perdió dinero de clientes.

Por qué no cuesta nada. El modelo no cobra nada por esto, y ese es el punto: un operador que lo comunica con prontitud se comporta de la manera que el sector pretende recompensar, y la ficha está aquí para que el lector sepa que ocurrió, no para modificar una cifra.

Qué cubrieron los encargos. La prueba de penetración de las aplicaciones (iOS, Android, Electron, el daemon) es de marzo de 2022 y la revisión de la puerta de enlace y del sistema operativo del servidor, de febrero de 2023; ninguna de las dos puso a prueba la declaración de ausencia de registros, como afirma explícitamente el informe de 2023, por lo que la retención se basa únicamente en la declaración de la política de privacidad.

El informe más reciente no es el pertinente. La auditoría de abril de 2024, la sexta de Cure53 con IVPN, probó el sitio web de la cuenta de cliente, la API y el alojamiento; su propia página de alcance indica que las aplicaciones cliente y los servidores VPN quedaban fuera de alcance, por lo que no amplía la evidencia ni de la aplicación ni de la puerta de enlace, y V03_audit_subject muestra unknown para ella en lugar de trasladar ese reconocimiento. La séptima auditoría, sobre los nuevos servicios de correo electrónico y DNS, solo se anunció para mayo de 2025; no se ha publicado ningún informe al respecto.

Lo que el sitio principal nunca establece. Solo RAM figura como parcial porque IVPN lo describe como una transición con implementaciones de prueba en curso, y no ha anunciado su finalización. La propiedad del hardware de los servidores (alquilado frente a propio), la modificación del tráfico en la salida y la jurisdicción personal del propietario beneficiario no están establecidos: ninguna página principal de IVPN indica ninguno de los tres, ni tampoco el tamaño de la base de usuarios.

Tres campos que responde la base de conocimiento, no las páginas consultadas en el primer llenado. La asignación de IP es compartida por diseño: el «crowding» agrupa a los usuarios en una dirección para dificultar la atribución. P2P está permitido en todas partes, pero IVPN pide a los clientes que eviten las salidas de Estados Unidos, alegando la presión de la DMCA de los proveedores ascendentes. El streaming no tiene ninguna garantía, aunque la empresa afirma que muchos clientes sí acceden a él.

Qué no examinó. El informe cubre únicamente la infraestructura. C07a_app_sdk y C12_device_identifier son hechos del lado de la aplicación que nunca examinó; ahora citan la política de privacidad, que describe analítica para visitantes del sitio web e informes de diagnóstico optativos que incluyen la plataforma y la versión de la aplicación. Interpretar cualquiera de ellos como una declaración sobre SDK compilados en la aplicación es el eslabón más débil de esta ficha, y los clientes de código abierto son donde realmente se resolvería.

La citación de 2016 se basa en la propia palabra de PIA, no en el expediente judicial. El único relato detallado del caso McWaters (S.D. Fla., 9:16-cr-80043) se encuentra en un sitio afiliado que esta ficha no puede citar; el expediente de CourtListener para ese caso no menciona ninguna citación, ningún proveedor ni ningún resultado. P03_court_record y P12_case_history se basan ahora en la declaración del informe de transparencia de PIA de que recibió una citación en 2016-2017 y no entregó nada: una autodeclaración de nivel B, no un expediente judicial verificado.

M08_user_scale, P02_disclosure_history, P03_court_record y P12_case_history se volvieron a leer frente a las mismas fuentes y permanecen sin cambios; la página principal del informe de transparencia sigue sin mencionar ningún caso aparte de las citaciones de 2016-2017 ya registradas. La revisión de precios frente a la misma página buy-vpn-online constató que ambas cifras permanecían sin cambios: 11,95 $ mes a mes, plan de un año de 47,88 $ facturado por el primer año y con renovación automática por los mismos 47,88 $, sin diferencia entre la tarifa inicial y la de renovación, en consonancia con los precios de tarifa plana de PIA señalados en otra parte del catálogo.

Obtenido de las propias páginas y el blog de privateinternetaccess.com, los dos PDF de Deloitte titulados «Informe independiente de aseguramiento limitado» conforme a ISAE 3000 (Revisada) (abril de 2024 y diciembre de 2025, ambos abiertos y leídos directamente), el propio sitio de Kape Technologies, los informes procedentes de Isle of Man/Companies House sobre la adquisición privada de Kape en 2023 por Unikmind Holdings (Teddy Sagi), y la organización oficial de pia-foss en GitHub para los clientes de código abierto.

Se abrió el expediente público de CourtListener de United States v. McWaters (9:16-cr-80043, S.D. Fla.), pero no menciona ninguna citación, ningún proveedor de VPN ni ningún resultado; el artículo del sitio afiliado (vpncompare.co.uk) que describe detalladamente esa citación se descartó como fuente prohibida, y la cobertura propia de TorrentFreak devolvió HTTP 403 en cada intento de obtención durante esta revisión, incluido curl. P03/P12 se basan ahora en la autodeclaración del propio informe de transparencia de PIA.

Wikipedia se retiró de V12 en favor de la propia organización de GitHub. No se utilizó ningún sitio afiliado ni ningún agregador de «mejor VPN» como fuente factual en ninguna parte de esta ficha, aunque varios aparecieron repetidamente en los resultados de búsqueda con cifras de aspecto plausible (número de servidores, número de usuarios, fechas de auditoría) que no podían cotejarse con una página primaria y se descartaron en lugar de utilizarse.