NordVPN và Opera VPN

Vụ xâm nhập trung tâm dữ liệu tại Phần Lan năm 2018 là một vụ xâm nhập do bên thứ ba thực hiện, không phải vụ cơ quan thực thi pháp luật thu giữ — được ghi dưới P12_case_history với kind=breach, không phải P01_seizure_event. Bản tường thuật của chính NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) và bài đưa tin đương thời của Bloomberg thống nhất rằng việc công bố xảy ra sau các cáo buộc trên Twitter của các nhà nghiên cứu bên ngoài, không phải do NordVPN chủ động — do đó là third_party_disclosed thay vì self_disclosed_late.

NordVPN và Surfshark có cùng một chủ sở hữu cấp trên (Nord Security), nhưng thông báo sáp nhập của chính hai công ty nêu rõ cơ sở hạ tầng và lộ trình sản phẩm riêng biệt; trên cơ sở đó, M18 được đặt là tách biệt.

Danh tính của bên thứ ba đó đã thay đổi: thông báo kiểm toán năm 2024 nói rằng máy chủ VPN Pro được "cung cấp với sự hợp tác của Nord", còn bài giải thích năm 2026 nói VPN Pro "được trang bị giao thức Lightway thế hệ mới", vốn là giao thức của ExpressVPN. Không tài liệu nào nói thỏa thuận đã thay đổi.

X02 là phát hiện then chốt, và cả hai tài liệu làm căn cứ cho nó đều là của chính Opera. Thông báo năm 2024 trích dẫn ý kiến của Deloitte rằng "cấu hình của các hệ thống CNTT và việc quản lý các hoạt động CNTT hỗ trợ đã được thiết kế và triển khai phù hợp, xét trên mọi khía cạnh trọng yếu, dựa trên các tiêu chí được mô tả trong Management Assertion của Opera, tính đến ngày 10 tháng 8 năm 2024", đồng thời quy câu "Không có chức năng ghi nhật ký dữ liệu nào được tích hợp trong dịch vụ VPN, và hoàn toàn không có dữ liệu nào được thu thập" cho chính Management Assertion của Opera.

Bài đăng năm 2026 kể lại cùng cuộc kiểm tra theo hướng Deloitte đã thực hiện phát hiện này: "chúng tôi đã cho đội ngũ của Deloitte quyền truy cập đầy đủ vào VPN và cơ sở hạ tầng máy chủ của mình, và họ đã có thể xác minh tuyên bố của chúng tôi ... Trên thực tế, ngay từ đầu VPN thậm chí còn không được tích hợp chức năng ghi nhật ký dữ liệu." Bài đăng đó nâng cấp một khoảng thời gian mà bài đăng năm 2024 ghi là từ ngày 18 tháng 6 đến ngày 10 tháng 8 năm 2024 thành "quyền truy cập đầy đủ".

Opera đang mô tả tuyên bố của chính mình như kết luận của kiểm toán viên. Đó là lý do khối VERIFY được tách như vậy. V01 là yes_verified dựa trên một báo cáo thực sự đã được mở — bản tóm tắt quản lý do chính Cure53 công bố về cuộc đánh giá tháng 3 năm 2022 — chứ không dựa trên thông báo của Deloitte.

Bản thân báo cáo của Deloitte không được công bố ở bất kỳ đâu, nên V02 là press_only, và mọi trường là phát hiện của báo cáo đó thay vì sự thật về cuộc kiểm toán đều vẫn là không xác định: phạm vi bao phủ đội máy chủ (V04), tiêu chuẩn đảm bảo (V07), báo cáo nêu dữ liệu nào được lưu giữ (V11) và mức độ mạnh của ý kiến (V15).

Các sự kiện về cuộc kiểm toán — công ty, loại hình, ngày tháng, những gì được liệt kê là đã kiểm thử — được lấy từ thông báo. Một nhà cung cấp đã được chứng minh là từng mô tả lại cuộc kiểm toán này thì không phải là nguồn cho nội dung kết luận của cuộc kiểm toán. C01 là none_linkable vì đó là tuyên bố trong tuyên bố về quyền riêng tư; V11 là phát hiện, và không có phát hiện nào để đọc.

Báo cáo của Cure53 là có thật và là lý do V14 là yes_verified: bảy kiểm thử viên, hai mươi bốn ngày công, kiểm thử white-box trên bốn gói công việc bao phủ các ứng dụng VPN, cấu hình và hạ tầng máy chủ, cùng giao thức Opera Mini được sử dụng để cung cấp cấu hình VPN. Có mười bốn vấn đề liên quan đến bảo mật, trong đó tám vấn đề là lỗ hổng thực sự, năm vấn đề được xếp mức độ nghiêm trọng cao và không có vấn đề nào nghiêm trọng.

Tính đến tháng 3 năm 2022, chín vấn đề đã được khắc phục và các bản sửa đã được xác minh, một vấn đề được khắc phục một phần, ba vấn đề được chấp nhận rủi ro, một vấn đề là cảnh báo nhầm và một vấn đề vẫn đang được xử lý. Bài viết trên blog của Opera nói rằng bảy mục liên quan trực tiếp đến VPN của trình duyệt đã "được giải quyết sau đó", và bảng này xác nhận điều đó — phần còn lại nằm trong gói công việc Opera Mini, không nằm trong chính VPN.

Quyền sở hữu được công bố đầy đủ và kết thúc tại một quốc gia có nghĩa vụ pháp lý, đó là lý do X03 và C11 chỉ theo hai hướng ngược nhau mà không mâu thuẫn.

Bên kiểm soát dữ liệu được nêu trong chính tuyên bố về quyền riêng tư của Opera là Opera Norway AS, một công ty Na Uy, và báo cáo minh bạch được nộp dưới tên đó.

Công ty holding là Opera Limited, một công ty miễn trừ được thành lập tại Quần đảo Cayman vào tháng 3 năm 2018, không có hoạt động thực chất của riêng mình. Form 20-F cho năm 2025 nêu Hong Kong Kunlun Tech Holding Limited là cổ đông chính với tỷ lệ 68,0%, một công ty con của Kunlun Tech Co., Ltd. được thành lập tại PRC, và nêu rằng Kunlun "là công ty mẹ tối cao của Opera và chịu sự kiểm soát của chủ tịch điều hành của Opera".

Vì vậy M06 là NO và C10 là no, trong khi M11 là CN và C11 là yes.

C12 là khoảng trống rõ nhất giữa tuyên bố của VPN và ứng dụng chứa nó. Phần VPN trong tuyên bố về quyền riêng tư tuyên bố không ghi nhật ký; một phần khác của cùng tài liệu nói rằng khi một ứng dụng Opera được cài đặt, "một ID cài đặt ngẫu nhiên được tạo. Chúng tôi thu thập mã định danh này, cũng như Machine ID, thông số phần cứng (mẫu máy, ngày phát hành, v.v.), hệ điều hành, cấu hình môi trường và dữ liệu sử dụng tính năng", được lưu giữ tối đa ba năm.

Machine ID được tạo ra từ phần cứng, vì vậy mã định danh mà nhà cung cấp nắm giữ là persistent_hardware_id chứ không phải mã ngẫu nhiên theo phạm vi ứng dụng, bất kể đường hầm có ghi nhật ký gì hay không.

X12 đối chiếu hai tài liệu do Opera tự nộp. Biểu mẫu an toàn dữ liệu của Play cho com.opera.browser tuyên bố thu thập Ứng dụng đã cài đặt cho mục đích Phân tích, còn tuyên bố về quyền riêng tư hoàn toàn không đề cập đến việc thu thập các ứng dụng được cài đặt trên thiết bị. Ứng dụng đã cài đặt là hành vi, không phải mã định danh, do đó là undisclosed_behaviour.

Biểu mẫu này cũng tuyên bố chia sẻ Device or other IDs với các công ty khác cho mục đích quảng cáo, khiến C07a ở mức ads. C07b dựa trên một cơ sở hẹp hơn và được đánh dấu B vì điều đó: máy chủ bên thứ ba duy nhất trong mã đánh dấu được phân phối cho trang sản phẩm là Google Tag Manager, còn những gì container đó tải lúc chạy không được liệt kê.

U02 là không xác định do thiết kế của sản phẩm, không phải do việc tìm kiếm không thành công: VPN miễn phí cung cấp ba khu vực — Opera gọi chúng là châu Mỹ, châu Á và châu Âu — và không bao giờ nêu một quốc gia. C09 và C09b bắt nguồn từ đó và không thể được xác lập khi tình trạng này còn tồn tại.

X05 là ads_supported trong bài giải thích của chính Opera, trong đó quảng cáo được liệt kê đầu tiên trong ba dòng doanh thu và mô tả Opera Ads thu thập ID người dùng được tạo ngẫu nhiên, thành phố hoặc quốc gia và các nhóm khái quát về những trang web đã truy cập, được lưu giữ tối đa một năm; cùng với U05 = unlimited_free, đây chính xác là trường hợp mà R15 được tạo ra để đánh dấu.

X06 là tuyên bố trong bài đăng năm 2026 rằng AES-256 "sẽ khiến một hacker, ngay cả với máy tính nhanh nhất, mất hơn một tỷ năm để bẻ khóa". X09 là self_disclosed_prompt trong hai bài đăng năm 2026, trong đó Opera công bố các lỗ hổng mà các nhà nghiên cứu bên ngoài đã báo cáo cho họ, cùng với phân tích và phiên bản đã sửa — đây là các lỗ hổng của trình duyệt chứ không phải sự cố VPN, và không có sự cố VPN nào được biết đến.

C05 là not_sold. VPN miễn phí hoàn toàn không có bước thanh toán nào — không đăng ký, không tài khoản — vì vậy không có gì để thanh toán một cách ẩn danh hay theo cách khác.

Hồ sơ này ban đầu được ghi là none, cách này được hiểu là “chỉ cung cấp các phương thức thanh toán đã xác định” và trong trường hợp này là sai, vì từ vựng khi đó không có mã cho một dịch vụ không thu tiền; unknown sẽ khẳng định rằng việc tìm kiếm đã thất bại, điều này cũng sai, và giữa hai cách hiểu sai, cách bất lợi cho nhà cung cấp đã được ghi nhận. Mã này hiện đã tồn tại và có mức giá bằng không, đó là câu trả lời trung thực: khi không có thanh toán thì không có danh tính thanh toán nào để bị rò rỉ.

Canary, và quý thay thế nó. Chính trang đó đã ngừng sử dụng warrant canary (P07=removed) để chuyển sang các báo cáo minh bạch theo quý; quý gần nhất đã hoàn tất (tháng 4–6 năm 2026) cho thấy 85 yêu cầu của chính phủ và 0 lần tiết lộ, vì vậy P08/P09 là của giai đoạn đó, không phải con số trong toàn bộ hồ sơ.

Ấn Độ, và chế độ lệnh bí mật. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022. P11=none_known dựa trên tuyên bố trên trang rằng NordVPN chưa nhận được thư National Security hoặc lệnh bí mật nào có tính ràng buộc, cùng với việc Panama không có chế độ như vậy.

Một mức đảm bảo không ai có thể kiểm tra. NordVPN mô tả hợp đồng của Deloitte Lithuania là một hợp đồng đảm bảo hợp lý theo ISAE 3000 (Revised), vốn sẽ là hình thức mạnh hơn; báo cáo của PIA, có thể đọc được, nêu kết luận đảm bảo hạn chế.

Vì sao dạng mạnh hơn không được tính điểm. Mô hình hiện tính đến chênh lệch đó, còn hồ sơ này không được hưởng lợi từ điều đó: V15_assurance_strength không xác định vì tuyên bố duy nhất về cấp độ là tuyên bố của NordVPN, về một báo cáo mà không ai bên ngoài Nord Account có thể mở. Một tài liệu yêu cầu đăng nhập không được xem là bằng chứng ở bất kỳ cấp độ nào tại đây, nên cuộc kiểm toán được tính ở mức thông lệ thị trường thay vì ở cấp độ được cho là đã đạt được.

Một báo cáo yêu cầu đăng nhập. Bản thân báo cáo chỉ có thể đọc được sau khi đăng nhập vào Nord Account, nên không ai bên ngoài mối quan hệ đó đã kiểm tra phạm vi của báo cáo, và mọi trường kiểm toán ở đây đều dựa trên bản tóm tắt của chính NordVPN thay vì dựa trên tài liệu. Điều đó, chứ không phải một phát hiện bất lợi cho dịch vụ, là lý do hồ sơ này sơ sài nhất trong danh mục.