AirVPN vs CactusVPN

AirVPN

このレコードでまだ未解決の点。

誰にも確認されていない保持。 独立監査が委託されたことは一度もない（V01=なし。これは、AirVPNによる一次的な否定ではなく、レビュアー間の合意と、AirVPNがそのような監査を発表していないことに基づく）ため、保持（C01）はプロバイダー自身のプライバシー通知だけに全面的に依拠しており、外部の第三者による確認を一度も受けていない。

透明性レポートもカナリアもない。 政府または法的要請に関する透明性レポートも、令状カナリアもairvpn.org上では見つけられなかった（P05、P07は不明）。このサイトは定期的な「mission」レポートを公開しているが、それらはNGOへの寄付を扱うものであり、法執行機関からの要請を扱うものではないため、P05の確認にはならない。

フォーラムスレッドが示すこと。 フォーラムスレッドでは、ユーザーがAirVPNに令状カナリアを繰り返し求めている一方、それが存在するとのスタッフからの確認はないことが示されている。これは示唆的ではあるが、一次的な否定ではないため、P07は「なし」ではなく不明のままである。

誰も公開していない件数。 したがって、要請件数とデータ引き渡し件数も不明であり（P08、P09）、総加入者数も開示されていない（M08は不明）。AirVPNが公開しているのは、同時接続中のユーザー数を示すライブカウンターだけであり、登録ユーザー数や加入者総数ではないため、ここでは沈黙や情報不足にも実質的な重みがある。

CactusVPN

このレコードでまだ未解決の点。

法域。 about-usページは、CactusVPNが「モルドバで小さな会社として始まった」と述べているが、これは会社の説明であり、登録に関する声明ではない。また、Terms of Serviceには準拠法も設立国も一切記載されていない。Securitumのレポートは依頼人を「Cactus VPN LLC」とだけ記載し、法域を付していない。レジストリ記録または明示的な法域条項が見つかるまで、M06とそこから導出されるフィールドは不明のままとなる。

義務のあるホスティング。 公開サーバーリストにある25か国すべてに、このカタログ独自の表ではデータ保持義務が付されているため、ここでのC09bは狭い問いではない。しかし、サーバー所在地ページは、どの所在地についても物理的な出口ポイントと仮想の出口ポイントを区別しておらず、今回のセッションでは国ごとのホスティング事実は確認されなかった。

アプリレベルの識別子とストアの申告。 今回のセッションではPlay StoreのデータセーフティフォームもAppleのプライバシーラベルも確認しておらず、C07a、C12、X12は不明のままとなる。また、Securitum監査のホワイトボックス範囲はサーバー側の設定とDNS／トラフィック処理を対象としており、モバイルクライアントや拡張機能クライアントが独自にアプリストアまたは分析SDKへ送信する内容は対象としていなかった。

透明性とカナリア。 サイト上で /transparency、/transparency-report、/warrant-canary、/canary のいずれのパスも解決せず、サイトマップにもそのようなページは見つからなかった。これは調査によって見つかった不在であり、根拠のある「なし」ではないため、両フィールドは「なし」とせず不明のままとなる。

AirVPN

レコード全体について。

AirVPNはイタリアのペルージャで登録された個人事業（"AirVPN di Paolo Brini"）であり、イタリアの居住者へのサービス提供を明示的に拒否している（すべてのページのフッターおよびTerms of Service §1に記載）—実際上の効果として、自国の法域は自国の居住顧客のログを保持するよう強制できないが、これはより広範なログ保持義務の免除を示すエビデンスではない。

AirVPNの価格はEURのみで表示される（airvpn.org/buy/）：月額7.00 EUR、年額49 EUR（月額4.08 EUR）で、更新時も定額。U04_price_monthly（8.11）は月額7.00 EUR、U04b_price_yearly（56.74）は年額49 EURの合計であり、いずれも1.158 EUR/USDでUSDに換算した—同じ日付のMullvad自身の価格ページで公開されているレートで、そこでは5 EURが5.79 USDと表示されている—したがって確からしさはCであり、レートの第2の出典となる。複数年プランでは月額2.75 EURまで下がる。

注目すべき実務上のデータポイント：United States v. Klyushin（D. Mass.、事件番号61629108、文書#183および#217）の公開された米国連邦裁判所の記録（CourtListener/RECAP経由で発見）には、2020年1月〜2月にAirVPNのサーバーのIPを監視するため、法執行機関のペンレジスターがAirVPNではなくホスティング会社（DediPath）に直接設置されたことが示されている。AirVPNのスタッフはフォーラム上で回答し、同社は盗聴について知らされておらず関与もしていなかったこと、また装置はAirVPN自身のシステムの外部に設置する必要があったことを確認した。

CactusVPN

レコード全体について。

Securitumの業務（2026年4月20日～5月7日、9人日、ホワイトボックス）では、CactusVPNが掲載する約25か国のサーバー国のうち4か国にある本番サーバー4台と、VPNクライアントの接続動作を調査した。これにはテストに使用したLinuxアプリも含まれるが、これはダウンロードページが現在掲載しているプラットフォームには含まれていない――掲載製品ではなく、手動／レガシーのクライアントアクセスと思われる。

このレポートは、ISAE 3000またはSOC 2の業務ではなく、Securitumによる特注のセキュリティ評価である。そのため、V07／V15には保証ティアを推測せず、その事実を記録する。

料金には更新料金の保証が付いている。年間プラン（$70/yr）と2年プラン（$95/2yr）は、どちらも「生涯にわたって」同じ固定価格で更新されると記載されており、このカタログのプロバイダーの中では珍しい。これは生涯利用の一括料金スキームではない（X07=no）。