CactusVPN vs CyberGhost VPN

CactusVPN

レコード全体について。

Securitumの業務（2026年4月20日～5月7日、9人日、ホワイトボックス）では、CactusVPNが掲載する約25か国のサーバー国のうち4か国にある本番サーバー4台と、VPNクライアントの接続動作を調査した。これにはテストに使用したLinuxアプリも含まれるが、これはダウンロードページが現在掲載しているプラットフォームには含まれていない――掲載製品ではなく、手動／レガシーのクライアントアクセスと思われる。

このレポートは、ISAE 3000またはSOC 2の業務ではなく、Securitumによる特注のセキュリティ評価である。そのため、V07／V15には保証ティアを推測せず、その事実を記録する。

料金には更新料金の保証が付いている。年間プラン（$70/yr）と2年プラン（$95/2yr）は、どちらも「生涯にわたって」同じ固定価格で更新されると記載されており、このカタログのプロバイダーの中では珍しい。これは生涯利用の一括料金スキームではない（X07=no）。

CyberGhost VPN

レコード全体について。

Deloitteによる3件目のノーログ保証報告書（3件のうち、ログインやDeloitteへのメール依頼を要求するのではなく、完全なダウンロード可能PDFとして公開された唯一のもの）は、限定的保証であり、2025年10月31日現在のISAE 3000（改訂版）業務として、2025年12月19日に署名されている。これは全サーバーフリートではなく、サンプルベースでCyberGhostによる自社のログ記録なしの管理策の説明を検証しており、その結論は肯定的な「ログがない」という判定ではなく、消極的保証（「当方の注意に入った事項はない」）である。

プライバシーポリシーの個人データ以外のリストには、ウェブサイト向けの表現の下でGoogle Advertising IDとジャイロセンサーのデータが記載されているが、実際に読み取れるのはモバイルアプリだけである。

CactusVPN

このレコードでまだ未解決の点。

法域。 about-usページは、CactusVPNが「モルドバで小さな会社として始まった」と述べているが、これは会社の説明であり、登録に関する声明ではない。また、Terms of Serviceには準拠法も設立国も一切記載されていない。Securitumのレポートは依頼人を「Cactus VPN LLC」とだけ記載し、法域を付していない。レジストリ記録または明示的な法域条項が見つかるまで、M06とそこから導出されるフィールドは不明のままとなる。

義務のあるホスティング。 公開サーバーリストにある25か国すべてに、このカタログ独自の表ではデータ保持義務が付されているため、ここでのC09bは狭い問いではない。しかし、サーバー所在地ページは、どの所在地についても物理的な出口ポイントと仮想の出口ポイントを区別しておらず、今回のセッションでは国ごとのホスティング事実は確認されなかった。

アプリレベルの識別子とストアの申告。 今回のセッションではPlay StoreのデータセーフティフォームもAppleのプライバシーラベルも確認しておらず、C07a、C12、X12は不明のままとなる。また、Securitum監査のホワイトボックス範囲はサーバー側の設定とDNS／トラフィック処理を対象としており、モバイルクライアントや拡張機能クライアントが独自にアプリストアまたは分析SDKへ送信する内容は対象としていなかった。

透明性とカナリア。 サイト上で /transparency、/transparency-report、/warrant-canary、/canary のいずれのパスも解決せず、サイトマップにもそのようなページは見つからなかった。これは調査によって見つかった不在であり、根拠のある「なし」ではないため、両フィールドは「なし」とせず不明のままとなる。

CyberGhost VPN

このレコードでまだ未解決の点。

オーナーグループの履歴。 2017年3月以来CyberGhostの親会社であるKape Technologiesは、VPNへの転換を行った2016年以前、アドウェアおよびマルウェアの配布者によってサービスが広く悪用されていた広告挿入SDKプラットフォーム、Crossriderにさかのぼる。この履歴をCyberGhost自身の行為に結び付ける記録された虚偽または主張の空白はないが、この不利な記録があるため、このプロバイダーは中立的な選定ルールによるのではなく、そもそも一覧に記載されている。

規模と到達範囲は文書化されていない。 プロバイダー自身のページから取得できたCyberGhost固有のユーザー数は「数百万人の顧客」を超えなかったため、M08_user_scaleは不明のままとした。また、CyberGhostは1か月、6か月、26か月の期間のみを販売しているため、U04b_price_yearlyと比較して価格を算出できる、整った12か月プランも存在しない。

クライアントとビルドの透明性は未調査。 CyberGhostの公式ソースコードリポジトリ、再現可能ビルドの証明、または単独のアプリケーションのペネトレーションテスト（Cure53の公開インデックスにはCyberGhostもKapeも掲載なし）は見つからず、V12、V13、V14はいずれの判定にもせず不明のままとした。