ExpressVPN và IVPN

Báo cáo minh bạch. P05/P06/P08/P09 hiện dựa trên báo cáo minh bạch hai lần mỗi năm của ExpressVPN (tháng 7–12 năm 2025: 155 yêu cầu từ chính phủ/cơ quan thực thi pháp luật, 0 lần tiết lộ, 3 lệnh được liệt kê riêng) được truy cập qua Trust Center — lần rà soát trước đã bỏ sót cả hai.

Canary, và phần còn lại của khối. Không tìm thấy canary về lệnh khám xét nào của ExpressVPN và không có tuyên bố nguồn sơ cấp nào phủ nhận việc có canary, nên P07 vẫn không xác định. P02/P03=none_known dựa trên chuỗi báo cáo minh bạch và lập trường về kiện tụng trong chính sách quyền riêng tư; P11=none_known dựa trên tuyên bố của chính sách rằng mọi yêu cầu đều đi qua các tòa án BVI. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022.

Những gì không bao giờ được công bố. Số lượng thuê bao (M08) và tổng số máy chủ (U03) không được công bố. Không thể xác lập quyền sở hữu phần cứng máy chủ (C08: sở hữu hay thuê) và mã nhận dạng thiết bị ở cấp ứng dụng (C12) từ bất kỳ trang nào đã kiểm tra.

106 quốc gia so với tuyên bố 113. U02_server_countries phản ánh 105 trang đích theo quốc gia trong sitemap riêng của ExpressVPN cộng với China (được xác nhận là 'Available - Virtual Locations' trên trang /vpn-server đang hoạt động nhưng không có trang đích riêng) — tổng cộng 106 mã, so với tuyên bố tiếp thị riêng của trang là '113 Countries'; trang vị trí máy chủ đang hoạt động là một bảng rất lớn theo từng giao thức chưa được phân tích toàn diện, nên khoảng cách giữa 106 và 113 được báo cáo chứ chưa được giải quyết.

Một phát hiện kiểm toán nằm giữa hai loại. V11_audit_findings được ghi nhận là session_metadata thay vì none_linkable hoặc aggregates_only: báo cáo KPMG năm 2025 mô tả một bản ghi có cấu trúc cho từng kết nối (quốc gia, ISP, ngày, giao thức, dung lượng dữ liệu, một bí danh băm có muối ổn định), nhiều hơn một dữ liệu tổng hợp thuần túy nhưng không có IP và thời gian chính xác — một trường hợp thực sự mơ hồ đối với bốn loại ở giữa của trường này.

Chưa kiểm tra trong đợt này. Việc phạm vi phủ sóng của ExpressVPN có tồn tại bên ngoài các trang affiliate hay không (X08), bậc chi trả affiliate của họ (X10), và liệu các phương tiện truyền thông đánh giá do chủ sở hữu vận hành có nêu mối liên hệ sở hữu hay không (X11) chưa được kiểm tra trong đợt này.

P2P, đã tìm nhưng không có. U12a_p2p_allowed vẫn chưa xác định vì một lý do khác với phần còn lại: đã tìm nhưng không được công bố. Cả sitemap (578 URL trang và hỗ trợ) lẫn điều khoản dịch vụ đều không đề cập P2P, BitTorrent hoặc chia sẻ tệp ở bất kỳ đâu, trong khi mọi nhà cung cấp khác trong danh mục đều nêu lập trường của mình trong tài liệu riêng. Một bài viết hỗ trợ hoặc một điều khoản trong hợp đồng sẽ giải quyết được điều này; một trang đánh giá nói rằng dịch vụ hoạt động sẽ không giải quyết được.

Cuộc kiểm toán chưa được công bố. Cuộc kiểm toán Cure53 thường niên lần thứ tám được lên lịch vào tháng 7 năm 2026 và chưa có báo cáo nào cho năm 2025 hoặc 2026 được công bố, đó là lý do ngày của báo cáo mới nhất là tháng 4 năm 2024.

Sự cố tháng 8 năm 2026. Vào tháng 8 năm 2026, một kẻ tấn công đã khai thác một lỗ hổng trong BTCPay Server tự lưu trữ, trước khi lỗ hổng này được công khai, và lấy đi các khoản tiền vận hành Lightning của chính IVPN. IVPN tự nguyện công bố thông tin này bốn ngày sau đó và giới hạn phạm vi ở máy đó: các gateway VPN không bị ảnh hưởng, không hồ sơ khách hàng nào bị truy cập, không tiền của khách hàng nào bị mất.

Vì sao việc này không tốn phí. Mô hình không tính phí cho việc này, đó chính là điểm cốt lõi — một nhà vận hành công bố như vậy kịp thời đang hành xử theo cách mà lĩnh vực này được định hướng để ghi nhận, và mục ghi này có mặt để người đọc biết sự việc đã xảy ra chứ không phải để thay đổi một con số.

Phạm vi của các cuộc đánh giá. Cuộc kiểm thử xâm nhập ứng dụng (iOS, Android, Electron, daemon) được thực hiện vào tháng 3 năm 2022 và cuộc đánh giá gateway/hệ điều hành máy chủ vào tháng 2 năm 2023; không cuộc nào kiểm tra chính tuyên bố không lưu nhật ký, như báo cáo năm 2023 nêu rõ, vì vậy việc lưu giữ dữ liệu chỉ dựa vào tuyên bố trong chính sách quyền riêng tư.

Báo cáo mới nhất không phải là báo cáo liên quan. Đợt kiểm toán tháng 4 năm 2024, là đợt thứ sáu của Cure53 với IVPN, đã kiểm thử trang web tài khoản khách hàng, API và dịch vụ lưu trữ; trang phạm vi của chính đợt này nêu rõ ứng dụng máy khách và máy chủ VPN nằm ngoài phạm vi, nên đợt này không mở rộng bằng chứng về ứng dụng hay cổng kết nối, và V03_audit_subject ghi nhận unknown cho đợt này thay vì tiếp tục ghi nhận điểm đó. Đợt kiểm toán thứ bảy, về các dịch vụ email và DNS mới, chỉ được thông báo là sẽ diễn ra vào tháng 5 năm 2025; chưa có báo cáo nào được công bố.

Năm 2017, nhà chức trách Thổ Nhĩ Kỳ đã thu giữ một máy chủ ExpressVPN trong cuộc điều tra vụ ám sát Đại sứ Nga Andrei Karlov và không tìm thấy nhật ký có thể sử dụng (TorrentFreak, trang này có thông báo tài trợ cho ExpressVPN — được ghi nhận, không bị loại, vì các sự kiện có thể kiểm chứng từ bên ngoài và trang tuyên bố riêng của ExpressVPN từ đó đã trả về HTTP 410 mà không có bản chụp Wayback Machine).

Vào tháng 9 năm 2021, Deferred Prosecution Agreement của DOJ với Daniel Gericke, Chief Information Officer của ExpressVPN, liên quan đến vai trò trước đây của ông trong giai đoạn 2016-2018 trong hoạt động tấn công 'Project Raven' của UAE đã được công khai; bản DPA chính không bao giờ nêu tên ExpressVPN (chỉ đề cập việc làm trước đó của ông tại UAE) — mối liên hệ với ExpressVPN đến từ các tuyên bố của chính ExpressVPN và báo chí. ExpressVPN vẫn giữ Gericke làm nhân viên và công bố một lời biện hộ công khai cho quyết định đó.

C12 là resettable_ad_id dựa trên phần trình bày của chính nhà cung cấp thay vì dựa trên một danh mục của cửa hàng. Đoạn về tiếp thị trong chính sách quyền riêng tư nêu rằng một Installation ID và một XV User ID luôn được thu thập, còn các mã nhận dạng quảng cáo — IDFA hoặc Android Advertising ID — được thu thập sau khi có sự đồng ý rõ ràng; toàn bộ dữ liệu này được chuyển tới AppsFlyer; biểu mẫu an toàn dữ liệu của Play độc lập công bố Device hoặc other IDs cho quảng cáo hoặc tiếp thị.

Cổng đồng ý và một biện pháp giảm thiểu mà không nhà cung cấp nào khác ở đây cung cấp — lưu lượng gửi tới AppsFlyer được định tuyến qua một nhóm IP ExpressVPN chuyên dụng để hoạt động phân bổ không thể tương quan bằng IP — là có thật và được ghi nhận ở đây, vì ngưỡng chỉ tính đến những gì có thể được lưu giữ, không phải mức độ giải thích tốt đến đâu.

U07_protocols bao quát toàn bộ trình chọn: Lightway UDP và TCP dưới dạng vendor_open, cùng với WireGuard, OpenVPN UDP/TCP và IKEv2. Lightway là giao thức riêng của ExpressVPN và mã nguồn của nó đã được công bố, kèm theo đánh giá độc lập (Cure53, 2021 và 2024); đó là sự khác biệt mà vendor_open tồn tại để thể hiện — proprietary đánh giá sự bất khả thi của việc biết một phương thức truyền tải có yếu hay không, còn ở đây thì có thể biết được.

PPTP đã được nhà cung cấp cho ngừng sử dụng trên các ứng dụng ExpressVPN, theo chính trang giao thức của nhà cung cấp; L2TP và SSTP cũng được giải thích ở đó nhưng không được cung cấp.