IVPN vs NordVPN

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.

O que o site principal nunca comprova. Apenas RAM é registado como parcial porque a IVPN o descreve como uma transição com implementações de teste em curso e não anunciou a sua conclusão. A titularidade do hardware dos servidores (arrendado vs próprio), a alteração do tráfego na saída e a jurisdição pessoal do proprietário beneficiário não estão comprovadas: nenhuma página principal da IVPN declara qualquer uma das três, nem a dimensão da base de utilizadores.

Três campos a que a base de conhecimento responde, e não as páginas lidas no primeiro preenchimento. A atribuição de IP é partilhada por conceção — o "crowding" concentra utilizadores num único endereço para dificultar a atribuição. O P2P é permitido em todo o lado, mas a IVPN pede aos clientes que evitem saídas nos EUA, citando a pressão a montante da DMCA. O streaming não tem qualquer garantia, embora a empresa diga que muitos clientes conseguem aceder-lhe.

O canário, e o trimestre que o substituiu. A mesma página retirou o canário de mandado (P07=removed) em favor de relatórios de transparência trimestrais; o último trimestre completo (abr.–jun. de 2026) mostra 85 pedidos governamentais e 0 divulgações, pelo que P08/P09 correspondem a esse período, e não ao valor de sempre.

A Índia e o regime de ordens secretas. P04=withdrew_physical corresponde à saída da Índia em junho de 2022. P11=none_known baseia-se na afirmação da página de que a NordVPN não recebeu cartas vinculativas de Segurança Nacional nem ordens de mordaça e na ausência de tal regime no Panamá.

Um nível de garantia que ninguém pode verificar. A NordVPN descreve o trabalho da Deloitte Lithuania como um trabalho de garantia razoável ao abrigo da ISAE 3000 (Revised), que seria a forma mais forte; o relatório da PIA, que pode ser consultado, declara uma conclusão de garantia limitada.

Por que a forma mais forte não é creditada. O modelo atribui agora um valor a essa diferença, e esta ficha não beneficia dela: V15_assurance_strength é desconhecido porque a única afirmação sobre o nível é da própria NordVPN, acerca de um relatório que ninguém fora de uma Nord Account pode abrir. Um documento protegido por início de sessão não é prova aqui a nenhum nível, pelo que a análise é creditada segundo a norma de mercado, e não segundo o nível que se diz ter alcançado.

Um relatório protegido por início de sessão. O próprio relatório só pode ser lido depois de iniciar sessão numa Nord Account, pelo que ninguém fora dessa relação verificou o seu âmbito, e todos os campos de auditoria aqui assentam no resumo que a própria NordVPN faz dele, e não no documento. Isso, e não uma conclusão contra o serviço, é a razão por que esta ficha é a mais incompleta do catálogo.

A violação do centro de dados na Finlândia em 2018 foi uma intrusão de terceiros, não uma apreensão por autoridades policiais — registada em P12_case_history como kind=breach, e não como P01_seizure_event. O próprio relato da NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e a cobertura contemporânea da Bloomberg concordam que a divulgação se seguiu a alegações no Twitter feitas por investigadores externos, e não a uma iniciativa da NordVPN — daí third_party_disclosed, em vez de self_disclosed_late.

A NordVPN e a Surfshark partilham um proprietário (Nord Security), mas o anúncio da fusão das próprias empresas afirma infraestruturas e roteiros de produtos separados; M18 é definido como separado com base nisso.