CactusVPN vs Mullvad VPN

CactusVPN

レコード全体について。

Securitumの業務（2026年4月20日～5月7日、9人日、ホワイトボックス）では、CactusVPNが掲載する約25か国のサーバー国のうち4か国にある本番サーバー4台と、VPNクライアントの接続動作を調査した。これにはテストに使用したLinuxアプリも含まれるが、これはダウンロードページが現在掲載しているプラットフォームには含まれていない――掲載製品ではなく、手動／レガシーのクライアントアクセスと思われる。

このレポートは、ISAE 3000またはSOC 2の業務ではなく、Securitumによる特注のセキュリティ評価である。そのため、V07／V15には保証ティアを推測せず、その事実を記録する。

料金には更新料金の保証が付いている。年間プラン（$70/yr）と2年プラン（$95/2yr）は、どちらも「生涯にわたって」同じ固定価格で更新されると記載されており、このカタログのプロバイダーの中では珍しい。これは生涯利用の一括料金スキームではない（X07=no）。

Mullvad VPN

レコード全体について。

2023年4月の捜索令状は、このレコードにおける単独の項目として最も強力なものです。警察はオフィスに立ち入り、何も持ち出さずに去りました。これは書類ではなく実務のエビデンスであり、監査よりもはるかに長く古びません。料金はすべての期間で一律5 EUR／月です。U04_price_monthlyには5.80（Mullvadが自身のページで示すUSD相当額）が記載され、U04b_price_yearlyは69.60で、その料金での満額1年分です。

CactusVPN

このレコードでまだ未解決の点。

法域。 about-usページは、CactusVPNが「モルドバで小さな会社として始まった」と述べているが、これは会社の説明であり、登録に関する声明ではない。また、Terms of Serviceには準拠法も設立国も一切記載されていない。Securitumのレポートは依頼人を「Cactus VPN LLC」とだけ記載し、法域を付していない。レジストリ記録または明示的な法域条項が見つかるまで、M06とそこから導出されるフィールドは不明のままとなる。

義務のあるホスティング。 公開サーバーリストにある25か国すべてに、このカタログ独自の表ではデータ保持義務が付されているため、ここでのC09bは狭い問いではない。しかし、サーバー所在地ページは、どの所在地についても物理的な出口ポイントと仮想の出口ポイントを区別しておらず、今回のセッションでは国ごとのホスティング事実は確認されなかった。

アプリレベルの識別子とストアの申告。 今回のセッションではPlay StoreのデータセーフティフォームもAppleのプライバシーラベルも確認しておらず、C07a、C12、X12は不明のままとなる。また、Securitum監査のホワイトボックス範囲はサーバー側の設定とDNS／トラフィック処理を対象としており、モバイルクライアントや拡張機能クライアントが独自にアプリストアまたは分析SDKへ送信する内容は対象としていなかった。

透明性とカナリア。 サイト上で /transparency、/transparency-report、/warrant-canary、/canary のいずれのパスも解決せず、サイトマップにもそのようなページは見つからなかった。これは調査によって見つかった不在であり、根拠のある「なし」ではないため、両フィールドは「なし」とせず不明のままとなる。

Mullvad VPN

このレコードでまだ未解決の点。

監査の頻度。 Mullvadはアプリリポジトリで監査インデックスを公開しており、頻度について正確に記している。そのインデックスには、メインアプリの監査は2年ごとに実施され、その間に追加分があると明記されている。そのため、定期性は年次シリーズではなく、固定間隔なしの反復として記録されている。年次の頻度を自己申告する者はいない。

2つのレポート、1つの日付。 2つの別々の業務が2026年2月17日を共有しており、レコードは両方を記載している。1つは、userspace WireGuard実装であるGotaTunに対するAssuredのコードレビュー（critical、high、mediumの問題はなく、lowが2件、注記が9件）。もう1つはAndroidアプリに対するLeviathanのMobile App Profile評価で、コンプライアンスレポートは評価日を2026年2月17日、保証レベルをAL2としている。1つの日付、2つのレポート、矛盾なし。

件数が8となる理由。 監査件数が8なのは、GotaTunのレビューがアプリリポジトリ独自のリストの外にあるためである。それらに先立ち、5つすべてのプラットフォームを対象とした30人日のX41 D-Secレビューでは、6件の脆弱性が見つかった。内訳はhighが3件、mediumが2件、lowが1件で、criticalはなかった。