CactusVPN vs OVPN

CactusVPN

レコード全体について。

Securitumの業務（2026年4月20日～5月7日、9人日、ホワイトボックス）では、CactusVPNが掲載する約25か国のサーバー国のうち4か国にある本番サーバー4台と、VPNクライアントの接続動作を調査した。これにはテストに使用したLinuxアプリも含まれるが、これはダウンロードページが現在掲載しているプラットフォームには含まれていない――掲載製品ではなく、手動／レガシーのクライアントアクセスと思われる。

このレポートは、ISAE 3000またはSOC 2の業務ではなく、Securitumによる特注のセキュリティ評価である。そのため、V07／V15には保証ティアを推測せず、その事実を記録する。

料金には更新料金の保証が付いている。年間プラン（$70/yr）と2年プラン（$95/2yr）は、どちらも「生涯にわたって」同じ固定価格で更新されると記載されており、このカタログのプロバイダーの中では珍しい。これは生涯利用の一括料金スキームではない（X07=no）。

CactusVPN

このレコードでまだ未解決の点。

法域。 about-usページは、CactusVPNが「モルドバで小さな会社として始まった」と述べているが、これは会社の説明であり、登録に関する声明ではない。また、Terms of Serviceには準拠法も設立国も一切記載されていない。Securitumのレポートは依頼人を「Cactus VPN LLC」とだけ記載し、法域を付していない。レジストリ記録または明示的な法域条項が見つかるまで、M06とそこから導出されるフィールドは不明のままとなる。

義務のあるホスティング。 公開サーバーリストにある25か国すべてに、このカタログ独自の表ではデータ保持義務が付されているため、ここでのC09bは狭い問いではない。しかし、サーバー所在地ページは、どの所在地についても物理的な出口ポイントと仮想の出口ポイントを区別しておらず、今回のセッションでは国ごとのホスティング事実は確認されなかった。

アプリレベルの識別子とストアの申告。 今回のセッションではPlay StoreのデータセーフティフォームもAppleのプライバシーラベルも確認しておらず、C07a、C12、X12は不明のままとなる。また、Securitum監査のホワイトボックス範囲はサーバー側の設定とDNS／トラフィック処理を対象としており、モバイルクライアントや拡張機能クライアントが独自にアプリストアまたは分析SDKへ送信する内容は対象としていなかった。

透明性とカナリア。 サイト上で /transparency、/transparency-report、/warrant-canary、/canary のいずれのパスも解決せず、サイトマップにもそのようなページは見つからなかった。これは調査によって見つかった不在であり、根拠のある「なし」ではないため、両フィールドは「なし」とせず不明のままとなる。

OVPN

このレコードでまだ未解決の点。

独立監査なし。 OVPN 自身のシステムについて、第三者によるセキュリティ、インフラ、またはノーログ監査は、サイト、報道、ヘルプ文書のいずれにも見つかりませんでした。ノーログの主張に対する最も近い敵対的テストは2020年のスウェーデンの裁判手続ですが、これは監査ではなく、現在の WireGuard/OpenVPN スタックについて詳細に述べるものでもありません。

オーナーグループの沿革は OVPN の買収に先行する。 このレコードに含める根拠となった不利な判定（X04）は、Pango の前身企業である AnchorFree に対する2017年の苦情です。これは Hotspot Shield の広告ネットワークへのデータ共有をめぐるもので、Pango が OVPN を買収する6年前にあたります。この件が FTC によって裁定されることはなく、OVPN 自身のインフラとポリシーはこのレコード内で別途文書化されています。

企業構造は2つの法人に分かれている。 OVPN の現在の利用規約とプライバシー通知では、契約当事者として OVPN Inc.（Redwood City, California）を挙げています。一方、OVPN 自身のヘルプセンターでは、運営者として OVPN Integritet AB（Sweden、org. no. 556999-4469）を挙げています。両社は同じ最終オーナーである Pango の傘下にあると説明されています。特定のユーザーについて、どの法人がインフラを保有し、法的責任を負うのかは、これ以上解決されていません。