CactusVPN vs hide.me

CactusVPN

レコード全体について。

Securitumの業務（2026年4月20日～5月7日、9人日、ホワイトボックス）では、CactusVPNが掲載する約25か国のサーバー国のうち4か国にある本番サーバー4台と、VPNクライアントの接続動作を調査した。これにはテストに使用したLinuxアプリも含まれるが、これはダウンロードページが現在掲載しているプラットフォームには含まれていない――掲載製品ではなく、手動／レガシーのクライアントアクセスと思われる。

このレポートは、ISAE 3000またはSOC 2の業務ではなく、Securitumによる特注のセキュリティ評価である。そのため、V07／V15には保証ティアを推測せず、その事実を記録する。

料金には更新料金の保証が付いている。年間プラン（$70/yr）と2年プラン（$95/2yr）は、どちらも「生涯にわたって」同じ固定価格で更新されると記載されており、このカタログのプロバイダーの中では珍しい。これは生涯利用の一括料金スキームではない（X07=no）。

hide.me

レコード全体について。

料金には通常の12か月プランがない。年間プランに最も近いものは13か月期間（12か月＋ボーナス1か月）で、54.99 USDが請求される。スキーマの初回期間ルールに従い、この注記とともにU04bに記録されている。26か月期間（24＋ボーナス2か月）も69.99 USDで存在するが、このフィールドが求める年間プランではない。C05_payment_anonymousには同じページ上のVisa/Mastercard/Amex/PayPalも記載されているが、匿名性に近いのはCoinpaymentsの暗号資産オプションだけである。

C07b_site_trackersは、第三者ドメインではなくhide.me独自のドメイン（data-api https://hide.me/api/event）から提供される、自ホスト／プロキシ経由のPlausible形式の分析スクリプトである。独立した分析プロダクトであり、ファーストパーティのログではないため、analyticsとしてコード化されている。

U07_protocolsの更新（2026年9月14日）では、WireGuard、IKEv2、SSTP、OpenVPNと並んでSoftEtherがプロトコルリストに追加されていることが確認された。SoftEtherは第三者のオープンソースソフトウェア（hide.me独自のプロトコルではない）であり、公開されレビュー可能な実装を備えるため、proprietaryではなくvendor_openとしてコード化されている。

CactusVPN

このレコードでまだ未解決の点。

法域。 about-usページは、CactusVPNが「モルドバで小さな会社として始まった」と述べているが、これは会社の説明であり、登録に関する声明ではない。また、Terms of Serviceには準拠法も設立国も一切記載されていない。Securitumのレポートは依頼人を「Cactus VPN LLC」とだけ記載し、法域を付していない。レジストリ記録または明示的な法域条項が見つかるまで、M06とそこから導出されるフィールドは不明のままとなる。

義務のあるホスティング。 公開サーバーリストにある25か国すべてに、このカタログ独自の表ではデータ保持義務が付されているため、ここでのC09bは狭い問いではない。しかし、サーバー所在地ページは、どの所在地についても物理的な出口ポイントと仮想の出口ポイントを区別しておらず、今回のセッションでは国ごとのホスティング事実は確認されなかった。

アプリレベルの識別子とストアの申告。 今回のセッションではPlay StoreのデータセーフティフォームもAppleのプライバシーラベルも確認しておらず、C07a、C12、X12は不明のままとなる。また、Securitum監査のホワイトボックス範囲はサーバー側の設定とDNS／トラフィック処理を対象としており、モバイルクライアントや拡張機能クライアントが独自にアプリストアまたは分析SDKへ送信する内容は対象としていなかった。

透明性とカナリア。 サイト上で /transparency、/transparency-report、/warrant-canary、/canary のいずれのパスも解決せず、サイトマップにもそのようなページは見つからなかった。これは調査によって見つかった不在であり、根拠のある「なし」ではないため、両フィールドは「なし」とせず不明のままとなる。

hide.me

このレコードでまだ未解決の点。

最終的な実質的所有者。 eVenture Ltd.は、所在地（Malaysia、LL09685）と街路住所を伴って名称と登録が確認できるが、プロバイダー自身の文書のどこにも個人の所有者または親会社構造は開示されていない。M09、M11およびオーナー法域チャンネルは不明のままである。

差押えと裁判記録の履歴。 透明性レポートは、2013年以降の毎年、法執行機関から受けた要請について、引き渡すものがなかったと記載しており、これはP02_disclosure_historyを裏付ける。しかし、単独の日付付き差押えまたは裁判所命令が、それ自体の記録とともに文書化されたものはない。そのため、P01_seizure_eventとP03_court_recordは、P12のイベントがあれば得られる有利なnone_known/unable_to_produceではなく、不明のままである。

義務対象国でのホスティング。 hide.meは、このカタログの義務対象国テーブルが示す3か国（AE、TR、VN）に出口ロケーションを提供しているが、3つの国別ページのいずれにも、そこにあるハードウェアが物理的か仮想的かは記載されていない。そのため、C09b_mandate_hostingは不明である。

回避とストリーミングに関する主張。 料金ページは区別のない「Streaming Support」を宣伝しており、サイトには測定済みの回避エビデンスがない。そのため、U06_censorship_circumvention、U12a_p2p_allowed、U12b_streaming_worksは、宣伝文句に基づくのではなく、不明のままである。