IVPN vs Windscribe

La auditoría aún no publicada. La octava auditoría anual de Cure53 estaba programada para julio de 2026 y aún no se ha publicado ningún informe de 2025 o 2026, por lo que la fecha del informe más reciente es abril de 2024.

El incidente de agosto de 2026. En agosto de 2026, un atacante explotó una vulnerabilidad en el BTCPay Server autohospedado, antes de que se hiciera pública, y sustrajo los fondos operativos propios de IVPN en Lightning. IVPN publicó el relato cuatro días después, sin que se lo solicitaran, y lo limitó a esa máquina: las puertas de enlace de VPN no estuvieron involucradas, no se accedió a registros de clientes y no se perdió dinero de clientes.

Por qué no cuesta nada. El modelo no cobra nada por esto, y ese es el punto: un operador que lo comunica con prontitud se comporta de la manera que el sector pretende recompensar, y la ficha está aquí para que el lector sepa que ocurrió, no para modificar una cifra.

Qué cubrieron los encargos. La prueba de penetración de las aplicaciones (iOS, Android, Electron, el daemon) es de marzo de 2022 y la revisión de la puerta de enlace y del sistema operativo del servidor, de febrero de 2023; ninguna de las dos puso a prueba la declaración de ausencia de registros, como afirma explícitamente el informe de 2023, por lo que la retención se basa únicamente en la declaración de la política de privacidad.

El informe más reciente no es el pertinente. La auditoría de abril de 2024, la sexta de Cure53 con IVPN, probó el sitio web de la cuenta de cliente, la API y el alojamiento; su propia página de alcance indica que las aplicaciones cliente y los servidores VPN quedaban fuera de alcance, por lo que no amplía la evidencia ni de la aplicación ni de la puerta de enlace, y V03_audit_subject muestra unknown para ella en lugar de trasladar ese reconocimiento. La séptima auditoría, sobre los nuevos servicios de correo electrónico y DNS, solo se anunció para mayo de 2025; no se ha publicado ningún informe al respecto.

Lo que el sitio principal nunca establece. Solo RAM figura como parcial porque IVPN lo describe como una transición con implementaciones de prueba en curso, y no ha anunciado su finalización. La propiedad del hardware de los servidores (alquilado frente a propio), la modificación del tráfico en la salida y la jurisdicción personal del propietario beneficiario no están establecidos: ninguna página principal de IVPN indica ninguno de los tres, ni tampoco el tamaño de la base de usuarios.

Tres campos que responde la base de conocimiento, no las páginas consultadas en el primer llenado. La asignación de IP es compartida por diseño: el «crowding» agrupa a los usuarios en una dirección para dificultar la atribución. P2P está permitido en todas partes, pero IVPN pide a los clientes que eviten las salidas de Estados Unidos, alegando la presión de la DMCA de los proveedores ascendentes. El streaming no tiene ninguna garantía, aunque la empresa afirma que muchos clientes sí acceden a él.

Por qué la retención se valora según el hallazgo. Por tanto, la retención se valora según aquello cuya accesibilidad demostró un auditor, y no según lo que declara la política, y el canal de integridad refleja la distancia entre ambas cosas. Debe leerse como un hallazgo de hace dos años en un nodo, no como una medición actual: el alcance se limitó a ca-023.windscribe.com, y un trabajo más reciente que cubra una parte mayor de la flota es lo que lo resolvería.

La lista que nunca se leyó. La lista de países ofrecida nunca se leyó, por lo que no se pueden calcular ni la puntuación de usabilidad del país ni la intersección del mandato — Windscribe publica una distinción entre físico y virtual, lo que hace que C09b pueda responderse aquí en cuanto se disponga de la lista. La escala de usuarios tampoco está establecida, lo que deja la banda de exposición basada en menos datos de los que debería.

La fuente que citan ahora los tres eventos. AIN.UA todavía recoge los servidores ucranianos incautados el 24 de junio de 2021, y el propio blog de Windscribe recoge el caso griego desestimado el 11 de abril de 2025. La incautación neerlandesa y el propio campo de incautación citan ahora la propia página de ausencia de registros de Windscribe, en lugar de la prensa financiada por afiliados que informó de ello por primera vez: el relato de una empresa sobre su propia incautación es una fuente primaria, no el relato de otra persona sobre una de ellas. El evento ucraniano está fechado en la propia incautación, no en el texto que informó sobre ella.