NordVPN vs Surfshark

Naruszenie centrum danych w Finlandii z 2018 roku było włamaniem strony trzeciej, a nie przejęciem przez organy ścigania — zapisano je w P12_case_history jako kind=breach, a nie P01_seizure_event. Własna relacja NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) i ówczesne relacje Bloomberga są zgodne co do tego, że ujawnienie nastąpiło po zarzutach na Twitterze ze strony zewnętrznych badaczy, a nie z inicjatywy NordVPN — stąd third_party_disclosed zamiast self_disclosed_late.

NordVPN i Surfshark mają wspólną grupę właścicielską (Nord Security), ale własny komunikat obu spółek o połączeniu stwierdza, że mają odrębną infrastrukturę i mapy rozwoju produktów; na tej podstawie M18 ustawiono jako odrębne.

Ten rekord był wcześniej odczytywany dwukrotnie — connection_timestamps w V11 na podstawie sformułowania z audytu, source_ip w C01 na podstawie sformułowania z polityki — i oceniono go według gorszej z tych dwóch wartości, przez co piętnastominutowy bufor kosztował więcej niż całkowite pominięcie tej informacji: puste C01 ma rynkowy priory 0,550, a source_ip wynosi 0,750.

R29 wyznacza teraz granicę: stan usunięty w zadeklarowanym oknie powiązanym z końcem sesji to połączenie, a nie jego rekord, więc oba pola mają w tym samym zdaniu wartość connection_timestamps. Nadal uwzględniane jest to, co przetrwa sesję — data ostatniego logowania w sekcji 2.3.1 polityki oraz znaczniki czasu połączeń wskazane przez audytora.

Surfshark i NordVPN mają wspólnego właściciela nadrzędnego (Nord Security, od 2022 r.), ale własna strona Surfshark o firmie stwierdza, że marki połączyły się „przy niezależnym działaniu”, z oddzielną infrastrukturą — na tej podstawie M18 ustawiono jako oddzielne, zgodnie z rekordem nordvpn.com.

U12a ma wartość częściowe, a nie tak, w osobnej kolumnie P2P tabeli serwerów: 88 ze 100 wymienionych krajów ma tę informację, a dwanaście jej nie ma (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Kolumna jest rysowana po stronie klienta, więc odczytano ją z wyrenderowanej tabeli, a nie ze statycznego HTML, w którym każdy wiersz zawiera każdą etykietę.

Raport przejrzystości pod adresem /transparency-report — dokąd /warrant-canary teraz przekierowuje — zawiera kwartał kwiecień–czerwiec 2026 w formie tabeli: 374 719 powiadomień DMCA, 33 zapytania od instytucji rządowych, 1 nakaz, 0 listów bezpieczeństwa narodowego i 0 tajnych nakazów. P08 uwzględnia 34 żądania prawne i pomija powiadomienia DMCA: są to skargi dotyczące praw autorskich do ruchu, a nie żądania danych użytkownika.

Ta sama strona stwierdza, że Surfshark wycofuje swój kanarek nakazów na rzecz raportowania kwartalnego, dlatego P07 ustawiono jako usunięte, a nie jako brak — kanarek istniał i został celowo wycofany.

U07_protocols ma wartość proprietary dla Dausos na podstawie własnego określenia Surfshark — strona protokołu nazywa Dausos „własnościowym protokołem Surfshark” i nie publikuje jego źródła — a ta pojedyncza wartość ustala C13_weakest_protocol oraz wynikające z niej obciążenie higieny. IKEv2 pozostaje, ponieważ Surfshark nadal je dokumentuje, choć na jego własnym blogu odnotowano usunięcie go z aplikacji Windows; Shadowsocks zniknął z indeksu pomocy i nie jest wymieniany.

Kanarek nakazowy i kwartał, który go zastąpił. Ta sama strona wycofała kanarka nakazowego (P07=removed) na rzecz kwartalnych raportów przejrzystości; ostatni pełny kwartał (kwiecień–czerwiec 2026 r.) wykazuje 85 zapytań rządowych i 0 ujawnień, więc P08/P09 dotyczą tego okresu, a nie danych z całego okresu.

Indie i reżim tajnych nakazów. P04=withdrew_physical oznacza wycofanie z Indii w czerwcu 2022 r. P11=none_known opiera się na stwierdzeniu na stronie, że NordVPN nie otrzymał żadnych wiążących listów dotyczących bezpieczeństwa narodowego ani nakazów tajności, oraz na braku takiego reżimu w Panamie.

Poziom pewności, którego nikt nie może sprawdzić. NordVPN opisuje zlecenie dla Deloitte Lithuania jako zlecenie dające rozsądną pewność zgodnie z ISAE 3000 (Revised), co stanowiłoby silniejszą formę; raport PIA, który można przeczytać, stwierdza wniosek dotyczący ograniczonej pewności.

Dlaczego silniejsza forma nie została zaliczona. Model uwzględnia teraz tę różnicę w wycenie, a ten rekord nie korzysta z tego: V15_assurance_strength jest nieznane, ponieważ jedyne stwierdzenie dotyczące poziomu pochodzi od NordVPN i dotyczy raportu, którego nikt spoza Nord Account nie może otworzyć. Dokument dostępny dopiero po zalogowaniu nie jest tu dowodem na żadnym poziomie, dlatego zlecenie zaliczono według normy rynkowej, a nie według poziomu, który miał zostać osiągnięty.

Raport dostępny dopiero po zalogowaniu. Sam raport można odczytać dopiero po zalogowaniu się do Nord Account, więc nikt spoza tej relacji nie sprawdził jego zakresu, a każde pole audytu opiera się tutaj na własnym podsumowaniu NordVPN, a nie na dokumencie. To, a nie ustalenie przeciwko usłudze, sprawia, że ten rekord jest najsłabiej udokumentowany w katalogu.

Pola właściciela. M11_owner_jurisdiction i X04_owner_group_history są nieznane: nordvpn.com i nordsecurity.com wskazują Nord Security jako właściciela, ale żadna z tych stron nie podaje własnej jurysdykcji rejestracji Nord Security ani wcześniejszej historii grupy; wtórne publikacje prasowe wiążą podmiot holdingowy „Cyberspace” z Niderlandami od czasu fuzji w 2022 roku, ale w dostępnym czasie nie potwierdzono tego na podstawie pierwotnej strony Nord Security ani NordVPN.

Czego w ogóle nie można było odczytać. Pełnego tekstu raportu Deloitte z 2025 roku w ogóle nie można odczytać (jest dostępny dopiero po zalogowaniu), dlatego nie odnotowano żadnego ustalenia dotyczącego retencji poza własną deklaracją polityki w C01_linkable_retention.

Tabela serwerów, która się nie otwierała. C09b_mandate_hosting jest nieznane: bieżąca tabela serwerów według krajów pokazuje status fizyczny/wirtualny tylko dla regionu obu Ameryk w stanie akordeonu, który ten audyt mógł wyrenderować; sekcje Europy, Azji i Pacyfiku oraz Afryki/Bliskiego Wschodu (obejmujące kilka krajów z obowiązkiem retencyjnym obsługiwanych przez flotę, np. AE, IN, TR, VN, IQ, KZ według API serwerów) ładują się po stronie klienta po kliknięciu i nie zostały rozwinięte.

Pozostawione jako nieznane, a nie uznane za deklarowane. C04-C07, U06 (dowód cenzury), U11, V12-V14, X06, X07, X10 i X11 nie zostały niezależnie potwierdzone na podstawie pierwotnego dokumentu i pozostawiono je jako nieznane, zamiast uznawać je za deklarowane na podstawie wtórnych materiałów.

Jedna wątpliwość pozostawiona otwarta i nieobciążająca wyniku. Jedna wątpliwość dotycząca X12 pozostaje otwarta i nie obciąża wyniku: formularz bezpieczeństwa danych Play dla com.nordvpn.android deklaruje Zainstalowane aplikacje w ramach analityki na Androidzie, podczas gdy polityka prywatności NordVPN wspomina o zainstalowanych aplikacjach tylko w jednym miejscu — przy skanowaniu podatności pod kątem złośliwego oprogramowania — i ogranicza przetwarzanie nazw oraz wersji aplikacji do Windows.

Dlaczego nadal odczytuje się to jako zgodność. Kategoria jest ujawniona, a nie nieobecna, zaś R28 nie wyciąga ustalenia z różnicy zakresu platform, dlatego wartość odczytuje się jako matches_policy; jednak cel na Androidzie nie jest tym, który opisuje polityka, i tylko NordVPN może stwierdzić, która z tych dwóch informacji jest zapisana błędnie.

Indie i reżim tajnych nakazów. P04_mandate_response=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r., ponownie potwierdzone na własnym blogu Surfshark (surfshark.com/blog/surfshark-servers-certin-india), po tym jak wcześniejsza weryfikacja wykazała, że strona /trust-center nie zawierała już tej informacji. P11=judicial_only opiera się na raporcie przejrzystości, w którym liczby dotyczące nakazu sądowego Amsterdam District Court z kwietnia 2026 r. oraz National-Security-letter i gag-order wynoszą zero.

Znaleziono dwa raporty, być może nie wszystkie. Znaleziono opublikowane tylko dwa raporty Deloitte dotyczące braku logów (grudzień 2022 r., czerwiec 2025 r.); mogą istnieć inne, niepodlinkowane z robots.txt, których ten audyt nie wyszukiwał innymi sposobami.