IVPN vs Private Internet Access

O incidente de agosto de 2026. Em agosto de 2026, um atacante explorou uma vulnerabilidade no BTCPay Server auto-hospedado, antes de esta se tornar pública, e apoderou-se dos fundos operacionais próprios da IVPN em Lightning. A IVPN publicou o relato quatro dias depois, sem que ninguém lho solicitasse, e limitou-o a essa máquina: os gateways VPN não estiveram envolvidos, não foram alcançados registos de clientes e não se perdeu dinheiro de clientes.

Porque não custa nada. O modelo não cobra nada por isto, que é precisamente o objetivo — um operador que o afirma prontamente está a agir da forma que o campo pretende recompensar, e a ficha está aqui para que o leitor saiba que aconteceu, e não para alterar um número.

O que os trabalhos abrangeram. O pentest das aplicações (iOS, Android, Electron, o daemon) é de março de 2022 e a análise do gateway/sistema operativo do servidor é de fevereiro de 2023; nenhum dos dois testou a própria alegação de não retenção, como o relatório de 2023 afirma explicitamente, pelo que a retenção assenta apenas na declaração da política de privacidade.

O relatório mais recente não é o relevante. A auditoria de abril de 2024, a sexta da Cure53 com a IVPN, testou o site da conta de cliente, a API e o alojamento; a própria página de âmbito indica que as aplicações cliente e os servidores VPN estavam fora do âmbito, pelo que não amplia a prova relativa à aplicação nem ao gateway, e V03_audit_subject aparece como unknown para ela, em vez de transportar esse crédito. A sétima auditoria, sobre os novos serviços de email e DNS, foi apenas anunciada para maio de 2025; não foi publicado nenhum relatório relativo a ela.

O que o site principal nunca comprova. Apenas RAM é registado como parcial porque a IVPN o descreve como uma transição com implementações de teste em curso e não anunciou a sua conclusão. A titularidade do hardware dos servidores (arrendado vs próprio), a alteração do tráfego na saída e a jurisdição pessoal do proprietário beneficiário não estão comprovadas: nenhuma página principal da IVPN declara qualquer uma das três, nem a dimensão da base de utilizadores.

Três campos a que a base de conhecimento responde, e não as páginas lidas no primeiro preenchimento. A atribuição de IP é partilhada por conceção — o "crowding" concentra utilizadores num único endereço para dificultar a atribuição. O P2P é permitido em todo o lado, mas a IVPN pede aos clientes que evitem saídas nos EUA, citando a pressão a montante da DMCA. O streaming não tem qualquer garantia, embora a empresa diga que muitos clientes conseguem aceder-lhe.

O que não examinou. O relatório abrange apenas a infraestrutura. C07a_app_sdk e C12_device_identifier são factos do lado da aplicação que nunca examinou; agora citam a política de privacidade, que descreve análises para visitantes do site e relatórios de diagnóstico opt-in que incluem a plataforma e a versão da aplicação. Interpretar qualquer um deles como uma afirmação sobre SDK compilados na aplicação é o elo mais fraco desta ficha, e é nos clientes de código aberto que isso seria efetivamente esclarecido.

A intimação de 2016 baseia-se na própria palavra da PIA, não no processo judicial. O único relato detalhado do caso McWaters (S.D. Fla., 9:16-cr-80043) encontra-se num site afiliado que esta ficha não pode citar; o processo desse caso no CourtListener não identifica nenhuma intimação, nenhum fornecedor e nenhum resultado. P03_court_record e P12_case_history baseiam-se agora na declaração do próprio relatório de transparência da PIA de que recebeu uma intimação em 2016-2017 e não produziu nada — uma autodeclaração de nível B, não um registo judicial verificado.

M08_user_scale, P02_disclosure_history, P03_court_record e P12_case_history foram relidos com base nas mesmas fontes e permanecem inalterados; a página principal do relatório de transparência continua sem identificar nenhum caso além das intimações de 2016-2017 já registadas. A releitura dos preços na mesma página buy-vpn-online constatou que os dois valores permanecem inalterados: mês a mês, $11,95; plano de um ano, $47,88 cobrados pelo primeiro ano e renovado automaticamente pelo mesmo valor de $47,88, sem diferença entre o preço inicial e o de renovação, em consonância com os preços fixos da PIA indicados noutra parte do catálogo.

Com base nas próprias páginas e no blogue de privateinternetaccess.com, nos dois PDFs 'Independent Limited Assurance Report' da Deloitte ISAE 3000 (Revised) (abril de 2024 e dezembro de 2025, ambos abertos e lidos diretamente), no próprio site da Kape Technologies, nos relatórios provenientes da Isle of Man/Companies House sobre a aquisição para privatização da Kape em 2023 pela Unikmind Holdings (Teddy Sagi), e na organização oficial do GitHub pia-foss para os clientes de código aberto.

O processo público no CourtListener de United States v. McWaters (9:16-cr-80043, S.D. Fla.) foi consultado, mas não identifica nenhuma intimação, fornecedor de VPN ou resultado; o artigo afiliado (vpncompare.co.uk) que descreve essa intimação em detalhe foi descartado como fonte proibida, e a cobertura do próprio TorrentFreak devolveu HTTP 403 em todas as tentativas de consulta nesta execução, incluindo curl. P03/P12 baseiam-se agora na autodeclaração da PIA no relatório de transparência.