IVPN vs NordVPN

La violazione del datacenter in Finlandia del 2018 è stata un’intrusione di terze parti, non un sequestro da parte delle forze dell’ordine — registrata in P12_case_history come kind=breach, non P01_seizure_event. Il resoconto di NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e la copertura contemporanea di Bloomberg concordano sul fatto che la divulgazione sia seguita alle accuse su Twitter di ricercatori esterni, non a un’iniziativa di NordVPN — da qui third_party_disclosed invece di self_disclosed_late.

NordVPN e Surfshark condividono un proprietario (Nord Security), ma l’annuncio della fusione delle due società afferma che le infrastrutture e le roadmap dei prodotti restano separate; M18 è impostato su questa base.

L'audit non ancora pubblicato. L'ottavo audit annuale di Cure53 era programmato per luglio 2026 e non è ancora pubblicato alcun rapporto per il 2025 o il 2026, motivo per cui la data dell'ultimo rapporto è aprile 2024.

L'incidente dell'agosto 2026. Nell'agosto 2026 un attaccante ha sfruttato una vulnerabilità nel BTCPay Server autogestito, prima che fosse resa pubblica, e ha sottratto i fondi operativi Lightning di IVPN. IVPN ha pubblicato il resoconto quattro giorni dopo, senza che gli fosse richiesto, e lo ha circoscritto a quella macchina: i gateway VPN non sono stati coinvolti, non è stato raggiunto alcun dato dei clienti e non è stato perso denaro dei clienti.

Perché non costa nulla. Il modello non addebita nulla per questo, ed è proprio questo il punto: un operatore che lo dichiara tempestivamente si comporta nel modo che il campo dovrebbe premiare, e la scheda è qui perché il lettore sappia che è accaduto, non per modificare un numero.

Cosa comprendevano gli incarichi. Il pentest delle app (iOS, Android, Electron, il daemon) risale al marzo 2022 e la verifica del gateway e del sistema operativo del server al febbraio 2023; nessuno dei due ha testato direttamente la dichiarazione sull'assenza di registri, come afferma esplicitamente il rapporto del 2023, quindi la conservazione si basa unicamente sulla dichiarazione dell'informativa sulla privacy.

L'ultimo rapporto non è quello pertinente. L'incarico di aprile 2024, il sesto di Cure53 con IVPN, ha esaminato il sito web dell'account cliente, l'API e l'hosting; la sua stessa pagina sull'ambito indica le app client e i server VPN come esclusi dall'ambito, pertanto non estende le prove né sull'app né sul gateway, e V03_audit_subject vi legge unknown invece di riportare quel riconoscimento. Il settimo incarico, sui nuovi servizi email e DNS, è stato annunciato solo per maggio 2025; non ne è stato pubblicato alcun rapporto.

Ciò che il sito principale non accerta mai. RAM-only è registrato come parziale perché IVPN lo descrive come una transizione con distribuzioni di test in corso e non ne ha annunciato il completamento. La proprietà dell'hardware dei server (in leasing o di proprietà), la modifica del traffico all'uscita e la giurisdizione personale del proprietario effettivo non sono accertate: nessuna pagina primaria di IVPN ne dichiara alcuna, né dichiara l'ampiezza della base utenti.

Tre campi a cui risponde la base di conoscenza, non le pagine consultate nella prima compilazione. L'allocazione degli IP è condivisa per progettazione: il "crowding" raggruppa gli utenti su un unico indirizzo per ostacolare l'attribuzione. P2P è consentito ovunque, ma IVPN chiede ai clienti di evitare le uscite negli Stati Uniti, citando la pressione DMCA da parte dei fornitori a monte. Lo streaming non comporta alcuna garanzia, sebbene la società affermi che molti clienti riescano comunque ad accedervi.

Il canarino, e il trimestre che lo ha sostituito. La stessa pagina ha ritirato il canarino dei mandati (P07=removed) a favore di report trimestrali sulla trasparenza; l’ultimo trimestre completo (apr–giu 2026) mostra 85 richieste governative e 0 divulgazioni, quindi P08/P09 si riferiscono a quel periodo, non al dato relativo all’intera durata.

L’India e il regime degli ordini segreti. P04=withdrew_physical è l’uscita dall’India del giugno 2022. P11=none_known si basa sulla dichiarazione della pagina secondo cui NordVPN non ha ricevuto lettere vincolanti di National Security né ordini di bavaglio e sull’assenza di un regime simile a Panama.

Un livello di assurance che nessuno può verificare. NordVPN descrive l’incarico di Deloitte Lithuania come un incarico di assurance ragionevole ai sensi di ISAE 3000 (Revised), che sarebbe la forma più solida; il report di PIA, che è leggibile, dichiara una conclusione di assurance limitata.

Perché la forma più forte non è accreditata. Il modello ora valorizza quella differenza, e questa scheda non ne beneficia: V15_assurance_strength è sconosciuto perché l'unica dichiarazione del livello è quella di NordVPN, relativa a un rapporto che nessuno al di fuori di un Nord Account può aprire. Un documento dietro un accesso non è una prova qui a nessun livello, quindi l'incarico è accreditato secondo la norma di mercato anziché al livello che dichiara di aver raggiunto.

Un rapporto dietro un accesso. Il rapporto stesso è leggibile solo dopo aver effettuato l'accesso a un Nord Account, quindi nessuno al di fuori di quella relazione ne ha verificato l'ambito, e ogni campo di audit qui si basa sul riepilogo che NordVPN ne fa, anziché sul documento. Questo, e non un accertamento a carico del servizio, è il motivo per cui questa scheda è la più scarna del catalogo.