CyberGhost VPN vs IVPN

La trasparenza sul client e sulla build non è stata esaminata. Non è stato trovato alcun repository ufficiale del codice sorgente di CyberGhost, alcuna attestazione di build riproducibile o alcun test di penetrazione autonomo dell'applicazione (l'indice pubblico di Cure53 non contiene voci per CyberGhost o Kape), lasciando V12, V13 e V14 sconosciuti anziché giungere a una conclusione in un senso o nell'altro.

Una contestata dichiarazione di violazione non è stata risolta in modo indipendente. Un rapporto di terze parti del settembre 2024 ha affermato che erano state divulgate credenziali di account CyberGhost; la risposta di CyberGhost nega una compromissione lato servizio e attribuisce le credenziali a malware lato utente, ma il rapporto sottostante non ha potuto essere letto in questa sessione, quindi X09_incident_handling resta sconosciuto anziché adottare la versione di una delle due parti.

Due pagine dello stesso CyberGhost non concordano sul suo indirizzo: l'imprint indica 70-72 Dionisie Lupu street, l'informativa sulla privacy indica 68 Polonă street, entrambi nello stesso distretto di Bucarest ed entrambi in pagine attuali, non una pagina archiviata rimasta per errore. Nessuno dei due è stato trattato come prevalente sull'altro e la discrepanza viene lasciata a una futura revisione perché la risolva, invece di fare supposizioni qui.

L'audit non ancora pubblicato. L'ottavo audit annuale di Cure53 era programmato per luglio 2026 e non è ancora pubblicato alcun rapporto per il 2025 o il 2026, motivo per cui la data dell'ultimo rapporto è aprile 2024.

L'incidente dell'agosto 2026. Nell'agosto 2026 un attaccante ha sfruttato una vulnerabilità nel BTCPay Server autogestito, prima che fosse resa pubblica, e ha sottratto i fondi operativi Lightning di IVPN. IVPN ha pubblicato il resoconto quattro giorni dopo, senza che gli fosse richiesto, e lo ha circoscritto a quella macchina: i gateway VPN non sono stati coinvolti, non è stato raggiunto alcun dato dei clienti e non è stato perso denaro dei clienti.

Perché non costa nulla. Il modello non addebita nulla per questo, ed è proprio questo il punto: un operatore che lo dichiara tempestivamente si comporta nel modo che il campo dovrebbe premiare, e la scheda è qui perché il lettore sappia che è accaduto, non per modificare un numero.

Cosa comprendevano gli incarichi. Il pentest delle app (iOS, Android, Electron, il daemon) risale al marzo 2022 e la verifica del gateway e del sistema operativo del server al febbraio 2023; nessuno dei due ha testato direttamente la dichiarazione sull'assenza di registri, come afferma esplicitamente il rapporto del 2023, quindi la conservazione si basa unicamente sulla dichiarazione dell'informativa sulla privacy.

L'ultimo rapporto non è quello pertinente. L'incarico di aprile 2024, il sesto di Cure53 con IVPN, ha esaminato il sito web dell'account cliente, l'API e l'hosting; la sua stessa pagina sull'ambito indica le app client e i server VPN come esclusi dall'ambito, pertanto non estende le prove né sull'app né sul gateway, e V03_audit_subject vi legge unknown invece di riportare quel riconoscimento. Il settimo incarico, sui nuovi servizi email e DNS, è stato annunciato solo per maggio 2025; non ne è stato pubblicato alcun rapporto.