NordVPN vs Opera VPN

La vulneración del centro de datos de Finlandia de 2018 fue una intrusión de terceros, no una incautación por las fuerzas del orden; se registra en P12_case_history como kind=breach, no como P01_seizure_event. El propio relato de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) y la cobertura contemporánea de Bloomberg coinciden en que la divulgación siguió a acusaciones en Twitter de investigadores externos, no a una iniciativa propia de NordVPN; de ahí third_party_disclosed en lugar de self_disclosed_late.

NordVPN y Surfshark comparten una matriz (Nord Security), pero el anuncio de fusión de ambas empresas afirma que sus infraestructuras y hojas de ruta de productos son independientes; M18 se establece como separado sobre esa base.

La identidad de ese tercero ha cambiado: el anuncio de la auditoría de 2024 dice que los servidores de VPN Pro son "proporcionados en colaboración con Nord", y la explicación de 2026 dice que VPN Pro está "equipada con el protocolo Lightway de última generación", que es de ExpressVPN. Ningún documento dice que el acuerdo haya cambiado.

X02 es el hallazgo fundamental, y ambos documentos que lo respaldan son propios de Opera. El anuncio de 2024 cita la opinión de Deloitte: "la configuración de los sistemas de TI y la gestión de las operaciones de TI de apoyo se diseñaron e implementaron adecuadamente, en todos los aspectos materiales, sobre la base de los criterios descritos en la Declaración de la dirección de Opera, a fecha de 10 de agosto de 2024", y atribuye por separado la frase "No hay ninguna funcionalidad de registro de datos integrada en el servicio VPN, y no se recopilan datos de ningún tipo" a la propia Declaración de la dirección de Opera.

La publicación de 2026 vuelve a contar el mismo encargo como un hallazgo realizado por Deloitte: "dimos al equipo de Deloitte acceso completo a nuestra VPN y a nuestra infraestructura de servidores, y pudieron verificar nuestra afirmación ... De hecho, la función de registro de datos ni siquiera está integrada en la VPN". La misma publicación eleva una ventana que la publicación de 2024 fecha del 18 de junio al 10 de agosto de 2024 a "acceso completo".

Opera está describiendo su propia afirmación como la conclusión de su auditoría. Por eso el bloque VERIFY se divide como lo hace. V01 es yes_verified porque se basa en un informe que realmente se abrió —el propio resumen de gestión publicado por Cure53 sobre su evaluación de marzo de 2022—, no en el anuncio de Deloitte.

El informe de Deloitte en sí no está publicado en ninguna parte, por lo que V02 es press_only, y todo campo que sea un hallazgo de ese informe, y no un hecho sobre el encargo, sigue siendo desconocido: cobertura de la flota (V04), estándar de aseguramiento (V07), lo que el informe afirma que se retiene (V11) y la solidez de la opinión (V15).

Los hechos del encargo —la empresa, su categoría, la fecha y lo que figuraba como evaluado— se toman del anuncio. Un proveedor que ha vuelto a caracterizar esta auditoría de forma demostrable una vez no es una fuente para saber qué concluyó la auditoría. C01 es none_linkable porque esa es la declaración de la declaración de privacidad; V11 es el hallazgo, y no hay ningún hallazgo que leer.

El informe de Cure53 es real y es la razón por la que V14 es yes_verified: siete evaluadores, veinticuatro jornadas-persona, una evaluación de caja blanca en cuatro paquetes de trabajo que cubrían los clientes VPN, la configuración y la infraestructura del servidor, y el protocolo de Opera Mini utilizado para proporcionar la configuración de VPN. Catorce problemas pertinentes para la seguridad, ocho de ellos vulnerabilidades reales, cinco clasificados como de gravedad alta y ninguno crítico.

El canario y el trimestre que lo sustituyó. La misma página retiró el canario de órdenes judiciales (P07=removed) para publicar informes de transparencia trimestrales; el último trimestre completo (abr.–jun. de 2026) muestra 85 consultas gubernamentales y 0 divulgaciones, por lo que P08/P09 corresponden a ese periodo, no a la cifra de toda la vigencia.

India y el régimen de órdenes secretas. P04=withdrew_physical es la salida de la India en junio de 2022. P11=none_known se basa en la declaración de la página de que NordVPN no ha recibido cartas vinculantes de National Security ni órdenes de mordaza, y en la ausencia de tal régimen en Panamá.

Un nivel de aseguramiento que nadie puede comprobar. NordVPN describe el encargo de Deloitte Lithuania como un encargo de aseguramiento razonable conforme a ISAE 3000 (Revised), que sería la modalidad más sólida; el informe de PIA, que se puede consultar, declara una conclusión de aseguramiento limitado.

Por qué no se acredita la forma más sólida. El modelo ahora valora esa diferencia, y esta ficha no obtiene ese beneficio: V15_assurance_strength es desconocido porque la única declaración del nivel es la de NordVPN, sobre un informe que nadie fuera de una Nord Account puede abrir. Un documento tras un inicio de sesión no es evidencia aquí en ningún nivel, por lo que el encargo se acredita conforme a la norma del mercado y no al nivel que se dice que ha alcanzado.

Un informe tras un inicio de sesión. El informe solo se puede leer después de iniciar sesión en una Nord Account, por lo que nadie fuera de esa relación ha comprobado su alcance, y todos los campos de auditoría aquí se basan en el propio resumen de NordVPN en lugar de en el documento. Eso, y no un hallazgo contra el servicio, es la razón por la que esta ficha es la más escasa del catálogo.

Los campos del propietario. M11_owner_jurisdiction y X04_owner_group_history son desconocidos: nordvpn.com y nordsecurity.com nombran a Nord Security como propietario, pero ninguno indica la propia jurisdicción de constitución de Nord Security ni ningún registro anterior del grupo; la prensa secundaria vincula una entidad de control «Cyberspace» con los Países Bajos a partir de la fusión de 2022, pero eso no se confirmó contrastándolo con una página primaria de Nord Security o NordVPN en el tiempo disponible.

Lo que no se pudo leer en absoluto. El texto completo del informe de Deloitte de 2025 no se puede leer en absoluto (está restringido por inicio de sesión), por lo que no se registra ningún hallazgo de retención más allá de la propia declaración de la política en C01_linkable_retention.

La tabla de servidores que no se abría. C09b_mandate_hosting es desconocido: la tabla de servidores activa por país muestra el estado físico/virtual solo para la región de las Américas en el estado del acordeón que esta auditoría pudo representar; las secciones de Europa, Asia-Pacífico y África/Oriente Medio (que incluyen varios países con mandato a los que presta servicio la flota, por ejemplo AE, IN, TR, VN, IQ, KZ según la API de servidores) se cargan en el cliente al hacer clic y no se expandieron.

Se dejó desconocido en lugar de afirmarlo. C04-C07, U06 (prueba de censura), U11, V12-V14, X06, X07, X10 y X11 no se confirmaron de forma independiente contrastándolos con un documento primario y se dejaron desconocidos en lugar de afirmarlos a partir de cobertura secundaria.

Una duda quedó abierta y no se imputó. Una duda queda abierta sobre X12 sin imputarse: el formulario de seguridad de datos de Play para com.nordvpn.android declara «Aplicaciones instaladas» en analítica en Android, mientras que el aviso de privacidad de NordVPN menciona las aplicaciones instaladas en un solo lugar —el análisis de vulnerabilidades antimalware— y limita el tratamiento de los nombres y las versiones de las aplicaciones a Windows.

Por qué sigue apareciendo como coincidencia. La categoría se divulga en lugar de estar ausente, y R28 no convierte una diferencia de alcance de plataforma en un hallazgo, por lo que el valor aparece como matches_policy; pero la finalidad en Android no es la que describe el aviso, y solo NordVPN puede decir cuál de las dos está redactada incorrectamente.

El informe que cambiaría cuatro campos. El informe de Deloitte es el otro documento que cambiaría varios campos a la vez: V04, V07, V11 y V15 son todos desconocidos únicamente porque no está publicado, y V11, en particular, es el campo en el que se basa toda la afirmación de ausencia de registros.

Lo que no tiene documento. U07 no tiene documento y C13 tampoco lo tiene detrás: Opera menciona AES-256 y un «secure tunnel», pero nunca un protocolo, por lo que el transporte más débil disponible no está establecido. U08, U09 y U12b no están cumplimentados por la misma razón: la tabla de comparación de funciones de la página del producto marca las filas con marcas de verificación que el marcado obtenido no incluye, y leer marcas de verificación de una imagen renderizada no es una fuente.

Servidores descritos, no evidenciados. C02, C06 y C08 no tienen nada que los respalde: Opera afirma que los servidores son físicos y propios, lo que no establece ni el disco, ni el DNS, ni quién es propietario del hardware. C09b no puede responderse mientras U02 sea desconocido.

Una tienda, no dos. Solo se leyó el formulario de seguridad de datos de Google Play; no se leyeron las etiquetas de privacidad de App Store para el navegador de iOS, por lo que X12 se basa en una tienda y no en la peor de las dos.

Dos interpretaciones en lugar de afirmaciones. Linux en U01 se infiere del manual de ayuda de escritorio, que documenta la VPN y cubre Windows, macOS y Linux conjuntamente sin dividir por plataforma; Android e iOS se mencionan explícitamente en el anuncio de la auditoría. U10 es ilimitado porque no hay cuenta ni límite de dispositivos que pueda imponer uno, lo que es una interpretación del producto y no una cifra declarada.