NordVPN กับ Private Internet Access

การเจาะระบบศูนย์ข้อมูลในฟินแลนด์เมื่อปี 2018 เป็นการบุกรุกโดยบุคคลที่สาม ไม่ใช่การยึดโดยหน่วยงานบังคับใช้กฎหมาย — บันทึกไว้ภายใต้ P12_case_history เป็น kind=breach ไม่ใช่ P01_seizure_event บันทึกของ NordVPN เอง (nordvpn.com/blog/official-response-datacenter-breach/) และรายงานข่าวร่วมสมัยของ Bloomberg สอดคล้องกันว่าการเปิดเผยข้อมูลเกิดขึ้นหลังข้อกล่าวหาบน Twitter โดยนักวิจัยภายนอก ไม่ใช่จากความริเริ่มของ NordVPN เอง — จึงเป็น third_party_disclosed แทน self_disclosed_late

NordVPN และ Surfshark มีเจ้าของร่วมกันคือ Nord Security แต่ประกาศการควบรวมกิจการของทั้งสองบริษัทเองระบุว่าโครงสร้างพื้นฐานและแผนงานผลิตภัณฑ์แยกจากกัน จึงกำหนด M18 ให้แยกจากกันบนพื้นฐานดังกล่าว

M08_user_scale, P02_disclosure_history, P03_court_record และ P12_case_history ถูกอ่านทบทวนเทียบกับแหล่งข้อมูลเดิมและยังคงไม่เปลี่ยนแปลง; หน้ารายงานความโปร่งใสหลักยังไม่ระบุคดีใดนอกเหนือจากหมายเรียกในปี 2016-2017 ที่มีอยู่ในบันทึกแล้ว การอ่านทบทวนราคาจากหน้า buy-vpn-online เดิมพบว่าตัวเลขทั้งสองยังไม่เปลี่ยนแปลง: แบบรายเดือน $11.95, แผนหนึ่งปี $47.88 เรียกเก็บสำหรับปีแรกและต่ออายุอัตโนมัติที่ $47.88 เท่าเดิมโดยไม่มีส่วนต่างช่วงเริ่มต้น/ต่ออายุ สอดคล้องกับการกำหนดราคาอัตราคงที่ของ PIA ที่ระบุไว้ที่อื่นในรายการ

แหล่งข้อมูลมาจากหน้าเว็บและบล็อกของ privateinternetaccess.com เอง, PDF 'Independent Limited Assurance Report' ของ Deloitte ISAE 3000 (Revised) สองฉบับ (เมษายน 2024 และธันวาคม 2025 ซึ่งเปิดและอ่านโดยตรงทั้งคู่), เว็บไซต์ของ Kape Technologies เอง, รายงานที่อาศัยแหล่งข้อมูลจาก Isle of Man/Companies House เกี่ยวกับการนำ Kape เป็นบริษัทเอกชนโดย Unikmind Holdings ในปี 2023 (Teddy Sagi), และองค์การ GitHub อย่างเป็นทางการของ pia-foss สำหรับไคลเอนต์โอเพนซอร์ส

รายการคดี CourtListener สาธารณะของ United States v. McWaters (9:16-cr-80043, S.D. Fla.) ถูกเปิดดูแล้ว แต่ไม่ระบุหมายเรียก ผู้ให้บริการ VPN หรือผลคดี; บทความในเครือ (vpncompare.co.uk) ที่อธิบายหมายเรียกดังกล่าวโดยละเอียดถูกตัดออกในฐานะแหล่งข้อมูลต้องห้าม และการรายงานของ TorrentFreak เองตอบกลับ HTTP 403 ในทุกครั้งที่พยายามดึงข้อมูลในรอบนี้ รวมถึง curl ด้วย ขณะนี้ P03/P12 อาศัยคำประกาศจากผู้ให้บริการเองในรายงานความโปร่งใสของ PIA แทน

Wikipedia ถูกนำออกจาก V12 และใช้องค์การ GitHub เองแทน ไม่มีการใช้เว็บไซต์ในเครือหรือเว็บไซต์รวบรวมข้อมูล 'best VPN' เป็นแหล่งข้อมูลข้อเท็จจริงที่ใดในบันทึกนี้ แม้ว่าหลายแห่งจะปรากฏซ้ำ ๆ ในผลการค้นหาพร้อมตัวเลขที่ดูน่าเชื่อถือ (จำนวนเซิร์ฟเวอร์ จำนวนผู้ใช้ วันที่ตรวจสอบ) ซึ่งไม่สามารถตรวจสอบไขว้กับหน้าหลักได้ และถูกทิ้งแทนที่จะนำมาใช้

แคนารี และไตรมาสที่มาแทนที่ หน้าเดียวกันยกเลิก warrant canary (P07=removed) เพื่อใช้รายงานความโปร่งใสรายไตรมาส; ไตรมาสล่าสุดที่มีข้อมูลครบถ้วน (เม.ย.–มิ.ย. 2026) แสดงคำขอจากหน่วยงานรัฐ 85 รายการ และการเปิดเผยข้อมูล 0 รายการ ดังนั้น P08/P09 จึงเป็นของช่วงเวลาดังกล่าว ไม่ใช่ตัวเลขตลอดอายุการใช้งาน

อินเดีย และระบอบคำสั่งลับ P04=withdrew_physical คือการถอนตัวออกจากอินเดียในเดือนมิถุนายน 2022 P11=none_known อ้างอิงถ้อยแถลงบนหน้าดังกล่าวว่า NordVPN ไม่เคยได้รับจดหมายด้านความมั่นคงแห่งชาติหรือคำสั่งลับที่มีผลผูกพัน และอ้างอิงการไม่มีระบอบดังกล่าวในปานามา

ระดับความเชื่อมั่นที่ไม่มีใครตรวจสอบได้ NordVPN อธิบายงานของ Deloitte Lithuania ว่าเป็นงานให้ความเชื่อมั่น reasonable ภายใต้ ISAE 3000 (Revised) ซึ่งจะเป็นรูปแบบที่เข้มแข็งกว่า; รายงานของ PIA ซึ่งสามารถอ่านได้ ระบุข้อสรุปให้ความเชื่อมั่นแบบจำกัด

เหตุใดจึงไม่ให้เครดิตกับรูปแบบที่แข็งแกร่งกว่า ขณะนี้แบบจำลองกำหนดราคาให้กับความแตกต่างนั้นแล้ว และบันทึกนี้ไม่ได้รับประโยชน์จากความแตกต่างดังกล่าว: V15_assurance_strength ไม่ทราบ เพราะคำกล่าวเกี่ยวกับระดับดังกล่าวมีเพียงของ NordVPN เอง และเป็นเรื่องเกี่ยวกับรายงานที่ไม่มีบุคคลภายนอก Nord Account เปิดอ่านได้ เอกสารที่อยู่หลังกระบวนการเข้าสู่ระบบไม่ถือเป็นหลักฐานที่นี่ไม่ว่าระดับใด ดังนั้นการตรวจสอบนี้จึงได้รับเครดิตตามบรรทัดฐานของตลาด แทนที่จะเป็นระดับที่กล่าวว่าไปถึงแล้ว

รายงานที่อยู่หลังกระบวนการเข้าสู่ระบบ ตัวรายงานเองอ่านได้เฉพาะหลังจากเข้าสู่ระบบ Nord Account แล้ว ดังนั้นไม่มีบุคคลภายนอกความสัมพันธ์ดังกล่าวตรวจสอบขอบเขตของรายงาน และฟิลด์การตรวจสอบทุกฟิลด์ที่นี่จึงอาศัยบทสรุปของ NordVPN เองแทนที่จะอาศัยเอกสาร ด้วยเหตุนี้ ไม่ใช่ข้อค้นพบที่เป็นผลเสียต่อบริการ บันทึกนี้จึงเป็นบันทึกที่มีหลักฐานน้อยที่สุดในแค็ตตาล็อก

ฟิลด์เจ้าของ M11_owner_jurisdiction และ X04_owner_group_history ไม่ทราบ: nordvpn.com และ nordsecurity.com ระบุว่า Nord Security เป็นเจ้าของ แต่ไม่มีแห่งใดระบุเขตอำนาจศาลของ Nord Security เองในการจดทะเบียนจัดตั้ง หรือประวัติก่อนหน้าของกลุ่ม แหล่งข่าวรองเชื่อมโยงนิติบุคคลโฮลดิงชื่อ 'Cyberspace' กับเนเธอร์แลนด์จากการควบรวมกิจการในปี 2022 แต่ไม่ได้รับการยืนยันเทียบกับหน้า Nord Security หรือ NordVPN หลักภายในเวลาที่มี

สิ่งที่ไม่สามารถอ่านได้เลย ไม่สามารถอ่านข้อความฉบับเต็มของรายงาน Deloitte ปี 2025 ได้เลย (มีการจำกัดด้วยการเข้าสู่ระบบ) ดังนั้นจึงไม่มีการบันทึกข้อค้นพบด้านการเก็บข้อมูลนอกเหนือจากคำกล่าวอ้างของนโยบายเองใน C01_linkable_retention

ตารางเซิร์ฟเวอร์ที่เปิดไม่ได้ C09b_mandate_hosting ไม่ทราบ: ตารางเซิร์ฟเวอร์แบบแยกตามประเทศที่ใช้งานอยู่แสดงสถานะทางกายภาพ/เสมือนเฉพาะภูมิภาคอเมริกาในสถานะแอคคอร์เดียนที่การตรวจสอบนี้แสดงผลได้ ส่วนหัวข้อยุโรป เอเชียแปซิฟิก และแอฟริกา/ตะวันออกกลาง (ซึ่งรวมประเทศที่มีข้อบังคับหลายประเทศที่ fleet ให้บริการ เช่น AE, IN, TR, VN, IQ, KZ ตาม servers API) โหลดฝั่งไคลเอนต์เมื่อคลิก และไม่ได้ถูกขยาย

ปล่อยให้ไม่ทราบแทนที่จะอ้างเอง C04-C07, U06 (หลักฐานการเซ็นเซอร์), U11, V12-V14, X06, X07, X10 และ X11 ไม่ได้รับการยืนยันโดยอิสระเทียบกับเอกสารหลัก และปล่อยให้ไม่ทราบแทนที่จะอ้างเองจากการรายงานของแหล่งข้อมูลรอง

เปิดข้อสงสัยหนึ่งประการไว้ และไม่นำมาคิดคะแนน ยังคงมีข้อสงสัยหนึ่งประการเกี่ยวกับ X12 โดยไม่นำมาคิดคะแนน: แบบฟอร์มความปลอดภัยของข้อมูล Play สำหรับ com.nordvpn.android ระบุ Installed apps ไว้ภายใต้ analytics บน Android ขณะที่ประกาศความเป็นส่วนตัวของ NordVPN กล่าวถึง installed applications เพียงแห่งเดียว — การสแกนช่องโหว่ของมัลแวร์ — และจำกัดขอบเขตการประมวลผลชื่อและเวอร์ชันของแอปพลิเคชันไว้ที่ Windows

เหตุใดยังคงอ่านได้ว่าเป็นรายการที่ตรงกัน มีการเปิดเผยหมวดหมู่นี้ ไม่ใช่การไม่มีหมวดหมู่ดังกล่าว และ R28 ไม่ได้ทำข้อค้นพบจากความแตกต่างด้านขอบเขตของแพลตฟอร์ม ดังนั้นค่าจึงอ่านได้ว่า matches_policy แต่จุดประสงค์บน Android ไม่ใช่สิ่งที่ประกาศดังกล่าวอธิบายไว้ และมีเพียง NordVPN เท่านั้นที่บอกได้ว่าข้อความใดในสองส่วนนี้เขียนผิด

สิ่งที่รายงานไม่ได้ตรวจสอบ รายงานครอบคลุมเฉพาะโครงสร้างพื้นฐาน C07a_app_sdk และ C12_device_identifier เป็นข้อเท็จจริงฝั่งแอปที่รายงานไม่เคยตรวจสอบ ขณะนี้จึงอ้างอิงนโยบายความเป็นส่วนตัวแทน ซึ่งอธิบายการวิเคราะห์ข้อมูลสำหรับผู้เยี่ยมชมเว็บไซต์และรายงานการวินิจฉัยแบบเลือกเข้าร่วมซึ่งมีแพลตฟอร์มและเวอร์ชันแอปอยู่ด้วย การอ่านข้อมูลใดข้อมูลหนึ่งให้เป็นคำแถลงเกี่ยวกับ SDK ที่คอมไพล์รวมอยู่ในแอป คือจุดเชื่อมโยงที่อ่อนที่สุดในบันทึกนี้ และไคลเอ็นต์โอเพนซอร์สคือจุดที่เรื่องนี้จะได้รับการยืนยันจริง

หมายเรียกในปี 2016 อาศัยคำกล่าวของ PIA เอง ไม่ใช่เอกสารศาล รายละเอียดเพียงแห่งเดียวของคดี McWaters (S.D. Fla., 9:16-cr-80043) อยู่บนเว็บไซต์ในเครือที่บันทึกนี้ไม่สามารถใช้อ้างอิงได้; รายการคดีของ CourtListener สำหรับคดีดังกล่าวไม่ระบุหมายเรียก ผู้ให้บริการ หรือผลคดี P03_court_record และ P12_case_history ขณะนี้อาศัยข้อความในรายงานความโปร่งใสของ PIA เองที่ระบุว่า PIA ถูกออกหมายเรียกในปี 2016-2017 และไม่ได้ส่งมอบสิ่งใด — เป็นคำประกาศจากผู้ให้บริการเองระดับ B ไม่ใช่บันทึกศาลที่ตรวจยืนยันแล้ว