IVPN và NordVPN

Cuộc kiểm toán chưa được công bố. Cuộc kiểm toán Cure53 thường niên lần thứ tám được lên lịch vào tháng 7 năm 2026 và chưa có báo cáo nào cho năm 2025 hoặc 2026 được công bố, đó là lý do ngày của báo cáo mới nhất là tháng 4 năm 2024.

Sự cố tháng 8 năm 2026. Vào tháng 8 năm 2026, một kẻ tấn công đã khai thác một lỗ hổng trong BTCPay Server tự lưu trữ, trước khi lỗ hổng này được công khai, và lấy đi các khoản tiền vận hành Lightning của chính IVPN. IVPN tự nguyện công bố thông tin này bốn ngày sau đó và giới hạn phạm vi ở máy đó: các gateway VPN không bị ảnh hưởng, không hồ sơ khách hàng nào bị truy cập, không tiền của khách hàng nào bị mất.

Vì sao việc này không tốn phí. Mô hình không tính phí cho việc này, đó chính là điểm cốt lõi — một nhà vận hành công bố như vậy kịp thời đang hành xử theo cách mà lĩnh vực này được định hướng để ghi nhận, và mục ghi này có mặt để người đọc biết sự việc đã xảy ra chứ không phải để thay đổi một con số.

Phạm vi của các cuộc đánh giá. Cuộc kiểm thử xâm nhập ứng dụng (iOS, Android, Electron, daemon) được thực hiện vào tháng 3 năm 2022 và cuộc đánh giá gateway/hệ điều hành máy chủ vào tháng 2 năm 2023; không cuộc nào kiểm tra chính tuyên bố không lưu nhật ký, như báo cáo năm 2023 nêu rõ, vì vậy việc lưu giữ dữ liệu chỉ dựa vào tuyên bố trong chính sách quyền riêng tư.

Báo cáo mới nhất không phải là báo cáo liên quan. Đợt kiểm toán tháng 4 năm 2024, là đợt thứ sáu của Cure53 với IVPN, đã kiểm thử trang web tài khoản khách hàng, API và dịch vụ lưu trữ; trang phạm vi của chính đợt này nêu rõ ứng dụng máy khách và máy chủ VPN nằm ngoài phạm vi, nên đợt này không mở rộng bằng chứng về ứng dụng hay cổng kết nối, và V03_audit_subject ghi nhận unknown cho đợt này thay vì tiếp tục ghi nhận điểm đó. Đợt kiểm toán thứ bảy, về các dịch vụ email và DNS mới, chỉ được thông báo là sẽ diễn ra vào tháng 5 năm 2025; chưa có báo cáo nào được công bố.

Những gì trang chính chưa bao giờ xác lập. Chỉ dùng RAM được ghi nhận là một phần vì IVPN mô tả đây là quá trình chuyển đổi với các đợt triển khai thử nghiệm đang được thực hiện, và chưa thông báo hoàn tất. Quyền sở hữu phần cứng máy chủ (thuê hay sở hữu), việc sửa đổi lưu lượng tại điểm thoát và khu vực pháp lý cá nhân của chủ sở hữu hưởng lợi đều chưa xác lập: không có trang IVPN chính nào nêu bất kỳ điều nào trong ba điều này, cũng không nêu quy mô cơ sở người dùng.

Ba trường được cơ sở kiến thức trả lời, chứ không phải các trang được đọc khi điền lần đầu. Việc phân bổ IP được chia sẻ theo thiết kế — "crowding" dồn người dùng vào cùng một địa chỉ để hạn chế khả năng quy kết. P2P được cho phép ở mọi nơi, nhưng IVPN đề nghị khách hàng tránh các điểm thoát tại Hoa Kỳ, với lý do áp lực DMCA từ nhà cung cấp thượng nguồn. Dịch vụ phát trực tuyến không có bảo đảm, dù công ty nói rằng nhiều khách hàng vẫn truy cập được dịch vụ này.

Canary, và quý thay thế nó. Chính trang đó đã ngừng sử dụng warrant canary (P07=removed) để chuyển sang các báo cáo minh bạch theo quý; quý gần nhất đã hoàn tất (tháng 4–6 năm 2026) cho thấy 85 yêu cầu của chính phủ và 0 lần tiết lộ, vì vậy P08/P09 là của giai đoạn đó, không phải con số trong toàn bộ hồ sơ.

Ấn Độ, và chế độ lệnh bí mật. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022. P11=none_known dựa trên tuyên bố trên trang rằng NordVPN chưa nhận được thư National Security hoặc lệnh bí mật nào có tính ràng buộc, cùng với việc Panama không có chế độ như vậy.

Một mức đảm bảo không ai có thể kiểm tra. NordVPN mô tả hợp đồng của Deloitte Lithuania là một hợp đồng đảm bảo hợp lý theo ISAE 3000 (Revised), vốn sẽ là hình thức mạnh hơn; báo cáo của PIA, có thể đọc được, nêu kết luận đảm bảo hạn chế.

Vì sao dạng mạnh hơn không được tính điểm. Mô hình hiện tính đến chênh lệch đó, còn hồ sơ này không được hưởng lợi từ điều đó: V15_assurance_strength không xác định vì tuyên bố duy nhất về cấp độ là tuyên bố của NordVPN, về một báo cáo mà không ai bên ngoài Nord Account có thể mở. Một tài liệu yêu cầu đăng nhập không được xem là bằng chứng ở bất kỳ cấp độ nào tại đây, nên cuộc kiểm toán được tính ở mức thông lệ thị trường thay vì ở cấp độ được cho là đã đạt được.

Một báo cáo yêu cầu đăng nhập. Bản thân báo cáo chỉ có thể đọc được sau khi đăng nhập vào Nord Account, nên không ai bên ngoài mối quan hệ đó đã kiểm tra phạm vi của báo cáo, và mọi trường kiểm toán ở đây đều dựa trên bản tóm tắt của chính NordVPN thay vì dựa trên tài liệu. Điều đó, chứ không phải một phát hiện bất lợi cho dịch vụ, là lý do hồ sơ này sơ sài nhất trong danh mục.

Các trường về chủ sở hữu.

Vụ xâm nhập trung tâm dữ liệu tại Phần Lan năm 2018 là một vụ xâm nhập do bên thứ ba thực hiện, không phải vụ cơ quan thực thi pháp luật thu giữ — được ghi dưới P12_case_history với kind=breach, không phải P01_seizure_event. Bản tường thuật của chính NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) và bài đưa tin đương thời của Bloomberg thống nhất rằng việc công bố xảy ra sau các cáo buộc trên Twitter của các nhà nghiên cứu bên ngoài, không phải do NordVPN chủ động — do đó là third_party_disclosed thay vì self_disclosed_late.

NordVPN và Surfshark có cùng một chủ sở hữu cấp trên (Nord Security), nhưng thông báo sáp nhập của chính hai công ty nêu rõ cơ sở hạ tầng và lộ trình sản phẩm riêng biệt; trên cơ sở đó, M18 được đặt là tách biệt.