ExpressVPN vs NordVPN

W 2017 r. władze tureckie zajęły serwer ExpressVPN podczas śledztwa w sprawie zabójstwa rosyjskiego ambasadora Andrieja Karłowa i nie znalazły żadnych użytecznych logów (TorrentFreak, który zawiera informację o sponsorowaniu przez ExpressVPN — odnotowane, a nie wykluczone, ponieważ fakty można zewnętrznie sprawdzić, a własna strona z oświadczeniem ExpressVPN od tego czasu zwraca HTTP 410 i nie ma jej migawki w Wayback Machine).

We wrześniu 2021 r. upubliczniono zawartą przez DOJ umowę Deferred Prosecution Agreement z Danielem Gerickiem, dyrektorem ds. informacji w ExpressVPN, dotyczącą jego wcześniejszej roli w latach 2016–2018 w hakerskiej operacji „Project Raven” w ZEA; sam główny dokument DPA nigdy nie wymienia ExpressVPN (dotyczy wyłącznie jego wcześniejszego zatrudnienia w ZEA) — powiązanie z ExpressVPN wynika z własnych oświadczeń ExpressVPN i doniesień prasowych. ExpressVPN pozostawił Gerickego w zatrudnieniu i opublikował publiczną obronę tej decyzji.

C12 to resettable_ad_id na podstawie własnego opisu dostawcy, a nie kategorii sklepu. W akapicie dotyczącym marketingu w polityce prywatności stwierdzono, że Installation ID i XV User ID są zawsze zbierane, a identyfikatory reklamowe — IDFA lub Android Advertising ID — są przekazywane po uzyskaniu wyraźnej zgody; całość trafia do AppsFlyer. Formularz bezpieczeństwa danych w Google Play niezależnie deklaruje wykorzystywanie identyfikatorów urządzenia lub innych identyfikatorów do celów reklamowych lub marketingowych.

Mechanizm zgody oraz środek zaradczy, którego nie oferuje tu nikt inny — ruch kierowany do AppsFlyer przez dedykowaną pulę adresów IP ExpressVPN, dzięki czemu atrybucja nie może korelować na podstawie adresu IP — są rzeczywiste i zostały tu odnotowane, ponieważ dolna granica ocenia to, co można utrzymać, a nie to, jak dobrze zostało to wyjaśnione.

U07_protocols obejmuje cały selektor: Lightway UDP i TCP jako vendor_open, obok WireGuard, OpenVPN UDP/TCP i IKEv2. Lightway to własny protokół ExpressVPN, a jego kod źródłowy jest opublikowany i poparty niezależnym przeglądem (Cure53, 2021 i 2024), co stanowi rozróżnienie, dla którego istnieje vendor_open — proprietary wycenia niemożność ustalenia, czy transport jest słaby, a tutaj można to ustalić.

PPTP został wycofany z aplikacji ExpressVPN, co wynika z własnej strony dostawcy poświęconej protokołom, a L2TP i SSTP są tam wyjaśnione, lecz nie są oferowane.

Naruszenie centrum danych w Finlandii z 2018 roku było włamaniem strony trzeciej, a nie przejęciem przez organy ścigania — zapisano je w P12_case_history jako kind=breach, a nie P01_seizure_event. Własna relacja NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) i ówczesne relacje Bloomberga są zgodne co do tego, że ujawnienie nastąpiło po zarzutach na Twitterze ze strony zewnętrznych badaczy, a nie z inicjatywy NordVPN — stąd third_party_disclosed zamiast self_disclosed_late.

NordVPN i Surfshark mają wspólną grupę właścicielską (Nord Security), ale własny komunikat obu spółek o połączeniu stwierdza, że mają odrębną infrastrukturę i mapy rozwoju produktów; na tej podstawie M18 ustawiono jako odrębne.

Raport przejrzystości. P05/P06/P08/P09 opierają się teraz na półrocznym raporcie przejrzystości ExpressVPN (lip.–gru. 2025: 155 wniosków rządowych i organów ścigania, 0 ujawnień, 3 nakazy wymienione osobno), dostępnym przez Trust Center — wcześniejszy przebieg nie uwzględnił żadnego z tych dwóch elementów.

Canary i reszta bloku. Nie znaleziono canary dotyczącego nakazów ExpressVPN i nie znaleziono żadnego pierwotnego oświadczenia, które by mu zaprzeczało, więc P07 pozostaje nieznane. P02/P03=none_known opierają się na serii raportów przejrzystości i stanowisku dotyczącym postępowań sądowych zawartym w polityce prywatności; P11=none_known — na oświadczeniu w tej polityce, że wszystkie żądania przechodzą przez sądy BVI. P04=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r.

Co nigdy nie jest publikowane. Liczba subskrybentów (M08) i łączna liczba serwerów (U03) nie są publikowane. Nie udało się potwierdzić na podstawie żadnej sprawdzonej strony, kto jest właścicielem sprzętu serwerowego (C08: własny czy dzierżawiony) ani jakie są identyfikatory urządzeń na poziomie aplikacji (C12).

106 krajów wobec deklarowanych 113. U02_server_countries odzwierciedla 105 stron docelowych krajów w sitemapie ExpressVPN oraz Chiny (potwierdzone jako „Available - Virtual Locations” na aktywnej stronie /vpn-server, ale bez odrębnej strony docelowej) — łącznie 106 kodów wobec własnej deklaracji marketingowej serwisu „113 Countries”; aktywna strona lokalizacji serwerów to bardzo duża tabela według protokołów, której nie przeanalizowano wyczerpująco, więc luka między 106 a 113 jest zaraportowana, a nie wyjaśniona.