ExpressVPN vs Windscribe

2021年9月、ExpressVPNの最高情報責任者であるDaniel Gerickeについて、UAEの「Project Raven」ハッキング作戦での過去の2016〜2018年の役割をめぐる、米国司法省とDaniel GerickeのDeferred Prosecution Agreementが公開された。主要なDPA文書自体はExpressVPNの名前を一度も挙げていない（この文書が対象とするのは彼のそれ以前のUAEでの雇用だけである） — ExpressVPNとの関連は、ExpressVPN自身および報道機関の声明によるものである。ExpressVPNはGerickeの雇用を継続し、その判断を公に擁護した。

C12はストアのカテゴリではなく、プロバイダー自身の記述におけるresettable_ad_idである。プライバシーポリシーのマーケティング段落には、Installation IDとXV User IDが常に収集され、広告識別子（IDFAまたはAndroid Advertising ID）は明示的な同意に続いて収集され、そのすべてがAppsFlyerに送られると記載されている。Play data-safetyフォームも、広告またはマーケティング目的のDeviceまたはその他のIDを独立して明記している。

同意ゲートと、ここで他のどのプロバイダーも提供していない軽減策――AppsFlyerに送られるトラフィックを専用のExpressVPN IPプール経由でルーティングし、アトリビューションがIPによって相関付けられないようにする仕組み――は実在し、ここに記録されている。下限が価格を付けるのは、どれだけ適切に説明されているかではなく、保持可能な内容だからである。

U07_protocolsには選択肢全体が含まれている。Lightway UDPおよびTCPはvendor_openとして、WireGuard、OpenVPN UDP/TCP、IKEv2と並んでいる。LightwayはExpressVPN独自のプロトコルであり、そのソースは独立レビュー（Cure53、2021年および2024年）を受けた状態で公開されている。これはvendor_openが存在する理由となる区別である。proprietaryは、トランスポートが弱いかどうかを判定できないことに対して価格を付けるが、ここでは判定できる。

PPTPは、プロバイダー自身のプロトコルページによればExpressVPNアプリで廃止されており、L2TPとSSTPはそこで説明されているものの、提供されていない。

カナリアと、ブロックの残り。 ExpressVPNの令状カナリアは見つからず、これを否定する一次声明もなかったため、P07は不明のままである。P02/P03=none_knownは透明性レポートのシリーズとプライバシーポリシーの訴訟に関する立場に基づいている。P11=none_knownは、すべての要求がBVIの裁判所を通るという同ポリシーの記載に基づいている。P04=withdrew_physicalは2022年6月のインドからの撤退である。

公開されないもの。 加入者数（M08）とサーバー総数（U03）は公開されていない。サーバーハードウェアの所有形態（C08：所有かリースか）と、アプリレベルのデバイス識別子（C12）は、確認したどのページからも確認済みとはできなかった。

113か国という主張に対する106か国。 U02_server_countriesは、ExpressVPN独自のサイトマップにある105か国のランディングページに、中国（稼働中の/vpn-serverページで「Available - Virtual Locations」を確認済みだが、専用ランディングページはない）を加えたものを反映している — コードは合計106件で、サイト独自のマーケティング上の主張「113 Countries」と対比される。稼働中のサーバー所在地ページはプロトコル別の非常に大きな表で、網羅的には解析されていないため、106と113の差は解消せずに報告されている。

2つのカテゴリーの間にある監査所見。 V11_audit_findingsはnone_linkableでもaggregates_onlyでもなく、session_metadataとして記録されている。2025年のKPMGレポートは、接続ごとの構造化された記録（国、ISP、日付、プロトコル、データ量、安定したソルト付きハッシュの仮名）を説明しており、純粋な集計を超える一方、IPと正確な時刻を欠いている — このフィールドの4つの中間カテゴリーにとって、実際に曖昧なケースである。

今回の確認では未確認。 ExpressVPNのカバレッジがアフィリエイトサイト外にも存在するか（X08）、そのアフィリエイト報酬ティア（X10）、そしてオーナー運営のレビュー媒体が所有関係を明示しているか（X11）は、今回の確認では確認されていない。

P2P、確認を試みたが不在。 U12a_p2p_allowedは、他とは異なる理由で不明のままである。確認を試みたが、公開されていない。サイトマップ（578件のページおよびサポートURL）にも利用規約にも、P2P、BitTorrent、ファイル共有への言及は一切なく、一方で、記録対象となった他のすべてのプロバイダーは独自の文書で立場を示している。サポート記事または利用規約の条項があれば解消するが、利用できると述べるレビューサイトでは解消しない。

一度も読まれなかったリスト。 提供された国のリストは一度も読まれなかったため、使いやすさの国スコアも義務との共通部分も計算できない――Windscribe は物理／仮想の区別を公開しており、リストが読まれれば、ここで C09b に回答できる。ユーザー規模も確認されておらず、そのため露出帯は本来あるべきより少ない根拠に基づいている。

3つの出来事が現在どこを出典としているか。 AIN.UA は2021年6月24日に押収されたウクライナのサーバーを今も掲載しており、Windscribe 自身のブログは2025年4月11日に棄却されたギリシャの事例を掲載している。オランダの押収と押収フィールド自体は、最初に報じたアフィリエイト報酬を受けた報道ではなく、現在は Windscribe 自身のノーログページを出典としている。自社による自社の押収についての説明は一次資料であり、他者による1件の説明ではない。ウクライナの出来事の日付は、記事自体ではなく押収そのものの日付である。