IVPN vs NordVPN

Pembobolan pusat data Finlandia pada 2018 merupakan intrusi pihak ketiga, bukan penyitaan oleh penegak hukum — dicatat dalam P12_case_history sebagai kind=breach, bukan P01_seizure_event. Pernyataan NordVPN sendiri (nordvpn.com/blog/official-response-datacenter-breach/) dan liputan Bloomberg pada saat itu sepakat bahwa pengungkapan tersebut mengikuti tuduhan di Twitter oleh peneliti eksternal, bukan inisiatif NordVPN sendiri — sehingga digunakan third_party_disclosed, bukan self_disclosed_late.

NordVPN dan Surfshark memiliki pemilik yang sama (Nord Security), tetapi pengumuman merger milik kedua perusahaan tersebut menyatakan bahwa infrastruktur dan peta jalan produk tetap terpisah; M18 ditetapkan terpisah berdasarkan hal itu.

Insiden Agustus 2026. Pada Agustus 2026, seorang penyerang mengeksploitasi kerentanan pada BTCPay Server yang di-host sendiri, sebelum kerentanan itu diketahui publik, dan mengambil dana operasional Lightning milik IVPN. IVPN memublikasikan laporan tersebut empat hari kemudian, tanpa diminta, dan membatasi cakupannya pada mesin itu: gateway VPN tidak terlibat, tidak ada berkas pelanggan yang diakses, dan tidak ada uang pelanggan yang hilang.

Mengapa tidak dikenai biaya. Model ini tidak mengenakan biaya apa pun untuk hal ini, dan memang itulah intinya — operator yang segera menyatakannya sedang bertindak dengan cara yang seharusnya dihargai oleh bidang ini, dan berkas ini ada di sini agar pembaca mengetahui bahwa hal itu terjadi, bukan untuk mengubah angka.

Cakupan penugasan. Pentest aplikasi (iOS, Android, Electron, daemon) berasal dari Maret 2022 dan tinjauan gateway/OS server dari Februari 2023; tidak satu pun menguji klaim tanpa log itu sendiri, laporan 2023 menyatakannya secara eksplisit, sehingga retensi hanya bergantung pada pernyataan kebijakan privasi.

Laporan terbaru bukan laporan yang relevan. Penugasan April 2024, yang keenam oleh Cure53 dengan IVPN, menguji situs akun pelanggan, API, dan hosting; halaman cakupannya sendiri menyebut aplikasi klien dan server VPN sebagai di luar cakupan, sehingga tidak menambah bukti untuk aplikasi maupun gateway, dan V03_audit_subject terbaca unknown untuknya, bukan membawa pengakuan bukti itu ke depan. Penugasan ketujuh, tentang layanan email dan DNS baru, hanya diumumkan untuk Mei 2025; tidak ada laporan yang dipublikasikan untuk penugasan itu.

Yang tidak pernah dipastikan situs utama. RAM saja dicatat sebagai sebagian karena IVPN menjelaskannya sebagai transisi dengan penerapan uji yang sedang berlangsung, dan belum mengumumkan penyelesaiannya. Kepemilikan perangkat keras server (disewa atau dimiliki), modifikasi lalu lintas di titik keluar, dan yurisdiksi pribadi pemilik manfaat belum dipastikan: tidak ada halaman utama IVPN yang menyatakan satu pun dari ketiganya, begitu pula skala basis pengguna.

Tiga bidang yang dijawab basis pengetahuan, bukan halaman yang dibaca saat pengisian pertama. Alokasi IP dibagi berdasarkan desain — "crowding" menempatkan pengguna dalam satu kumpulan alamat untuk menghambat atribusi. P2P diizinkan di mana-mana, tetapi IVPN meminta pelanggan menghindari titik keluar AS, dengan menyebut tekanan DMCA dari penyedia hulu. Streaming tidak disertai jaminan, meskipun perusahaan menyatakan banyak pelanggan memang dapat mengaksesnya.

Canary, dan triwulan yang menggantikannya. Halaman yang sama menghentikan canary surat perintah (P07=removed) demi laporan transparansi triwulanan; triwulan lengkap terbaru (April–Juni 2026) menunjukkan 85 permintaan pemerintah dan 0 pengungkapan, jadi P08/P09 adalah periode tersebut, bukan angka seumur hidup.

India, dan rezim perintah rahasia. P04=withdrew_physical adalah keluarnya dari India pada Juni 2022. P11=none_known didasarkan pada pernyataan halaman tersebut bahwa NordVPN belum menerima National Security letters atau perintah bungkam yang mengikat dan pada tidak adanya rezim semacam itu di Panama.

Tingkat assurance yang tidak dapat diperiksa siapa pun. NordVPN menggambarkan engagement Deloitte Lithuania sebagai engagement assurance wajar berdasarkan ISAE 3000 (Revised), yang akan menjadi bentuk yang lebih kuat; laporan PIA, yang dapat dibaca, menyatakan kesimpulan assurance terbatas.

Mengapa bentuk yang lebih kuat tidak diberi kredit. Model kini memberi harga pada perbedaan itu, dan berkas ini tidak mendapat manfaat darinya: V15_assurance_strength tidak diketahui karena satu-satunya pernyataan tentang tingkat tersebut berasal dari NordVPN sendiri, mengenai laporan yang tidak dapat dibuka oleh siapa pun di luar Nord Account. Dokumen di balik login bukan bukti di sini pada tingkat apa pun, jadi keterlibatan ini diberi kredit pada norma pasar, bukan pada tingkat yang diklaim telah dicapainya.

Laporan di balik login. Laporan itu sendiri hanya dapat dibaca setelah masuk ke Nord Account, jadi tidak ada seorang pun di luar hubungan tersebut yang telah memeriksa cakupannya, dan setiap bidang audit di sini bertumpu pada ringkasan NordVPN sendiri, bukan pada dokumennya. Hal itu, bukan temuan yang merugikan layanan, adalah alasan berkas ini memiliki bukti paling tipis dalam katalog.