CyberGhost VPN vs IVPN

A transparência do cliente e das compilações não foi examinada. Não foi possível encontrar nenhum repositório oficial de código-fonte da CyberGhost, atestado de compilação reproduzível ou teste de penetração independente da aplicação (o índice público da Cure53 não tem nenhuma entrada para CyberGhost ou Kape), deixando V12, V13 e V14 desconhecidos em vez de constituírem uma conclusão num ou noutro sentido.

Não foi possível resolver de forma independente uma alegação contestada de violação. Um relatório de terceiros de setembro de 2024 alegou a divulgação de credenciais de contas da CyberGhost; a própria resposta da CyberGhost nega um comprometimento do lado do serviço e atribui as credenciais a malware do lado do utilizador, mas não foi possível ler o relatório subjacente nesta sessão, pelo que X09_incident_handling permanece desconhecido em vez de aceitar a versão de qualquer das partes.

Duas páginas do próprio CyberGhost discordam quanto à sua morada: o aviso legal indica a rua Dionisie Lupu, 70-72, e a política de privacidade indica a rua Polonă, 68, ambas no mesmo distrito de Bucareste e ambas páginas atuais, em vez de uma ser um vestígio arquivado. Nenhuma foi tratada como tendo autoridade sobre a outra, e a discrepância fica para ser resolvida numa atualização futura, em vez de ser resolvida por suposição aqui.

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.