NordVPN và Surfshark

Canary, và quý thay thế nó. Chính trang đó đã ngừng sử dụng warrant canary (P07=removed) để chuyển sang các báo cáo minh bạch theo quý; quý gần nhất đã hoàn tất (tháng 4–6 năm 2026) cho thấy 85 yêu cầu của chính phủ và 0 lần tiết lộ, vì vậy P08/P09 là của giai đoạn đó, không phải con số trong toàn bộ hồ sơ.

Ấn Độ, và chế độ lệnh bí mật. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022. P11=none_known dựa trên tuyên bố trên trang rằng NordVPN chưa nhận được thư National Security hoặc lệnh bí mật nào có tính ràng buộc, cùng với việc Panama không có chế độ như vậy.

Một mức đảm bảo không ai có thể kiểm tra. NordVPN mô tả hợp đồng của Deloitte Lithuania là một hợp đồng đảm bảo hợp lý theo ISAE 3000 (Revised), vốn sẽ là hình thức mạnh hơn; báo cáo của PIA, có thể đọc được, nêu kết luận đảm bảo hạn chế.

Vì sao dạng mạnh hơn không được tính điểm. Mô hình hiện tính đến chênh lệch đó, còn hồ sơ này không được hưởng lợi từ điều đó: V15_assurance_strength không xác định vì tuyên bố duy nhất về cấp độ là tuyên bố của NordVPN, về một báo cáo mà không ai bên ngoài Nord Account có thể mở. Một tài liệu yêu cầu đăng nhập không được xem là bằng chứng ở bất kỳ cấp độ nào tại đây, nên cuộc kiểm toán được tính ở mức thông lệ thị trường thay vì ở cấp độ được cho là đã đạt được.

Một báo cáo yêu cầu đăng nhập. Bản thân báo cáo chỉ có thể đọc được sau khi đăng nhập vào Nord Account, nên không ai bên ngoài mối quan hệ đó đã kiểm tra phạm vi của báo cáo, và mọi trường kiểm toán ở đây đều dựa trên bản tóm tắt của chính NordVPN thay vì dựa trên tài liệu. Điều đó, chứ không phải một phát hiện bất lợi cho dịch vụ, là lý do hồ sơ này sơ sài nhất trong danh mục.

Các trường về chủ sở hữu. M11_owner_jurisdiction và X04_owner_group_history không xác định: nordvpn.com và nordsecurity.com nêu Nord Security là chủ sở hữu nhưng không trường nào nêu khu vực pháp lý nơi Nord Security được thành lập hoặc bất kỳ lịch sử trước đây nào của nhóm; báo chí thứ cấp liên hệ một pháp nhân sở hữu “Cyberspace” với Hà Lan từ vụ sáp nhập năm 2022, nhưng điều đó chưa được xác nhận đối chiếu với trang gốc của Nord Security hoặc NordVPN trong thời gian có sẵn.

Điều hoàn toàn không thể đọc được. Toàn văn báo cáo Deloitte năm 2025 hoàn toàn không thể đọc được (bị giới hạn bởi yêu cầu đăng nhập), nên không ghi nhận kết luận nào về lưu giữ dữ liệu ngoài tuyên bố của chính chính sách tại C01_linkable_retention.

Bảng máy chủ không mở được. C09b_mandate_hosting không xác định: bảng máy chủ trực tiếp theo từng quốc gia chỉ hiển thị trạng thái vật lý/ảo cho khu vực Châu Mỹ trong trạng thái accordion mà cuộc kiểm toán này có thể hiển thị; các phần Châu Âu, Châu Á - Thái Bình Dương và Châu Phi/Trung Đông (bao gồm một số quốc gia có nghĩa vụ pháp lý mà mạng lưới phục vụ, như AE, IN, TR, VN, IQ, KZ theo API máy chủ) tải ở phía máy khách khi nhấp và chưa được mở rộng.

Để ở trạng thái không xác định thay vì tự khẳng định. C04-C07, U06 (bằng chứng về kiểm duyệt), U11, V12-V14, X06, X07, X10 và X11 chưa được xác nhận độc lập đối chiếu với tài liệu gốc và được để ở trạng thái không xác định thay vì được tự khẳng định từ thông tin thứ cấp.

Một nghi vấn được để ngỏ và không bị tính bất lợi. Một nghi vấn vẫn được để ngỏ về X12 mà không bị tính bất lợi: biểu mẫu an toàn dữ liệu của Play cho com.nordvpn.android khai báo Ứng dụng đã cài đặt trong mục phân tích trên Android, trong khi thông báo về quyền riêng tư của NordVPN chỉ đề cập đến các ứng dụng đã cài đặt tại một nơi — hoạt động quét lỗ hổng chống phần mềm độc hại — và giới hạn việc xử lý tên và phiên bản ứng dụng ở Windows.

Vì sao kết quả vẫn được đọc là khớp. Danh mục này được công bố thay vì vắng mặt, và R28 không đưa ra phát hiện dựa trên khác biệt về phạm vi nền tảng, nên giá trị được đọc là matches_policy; nhưng mục đích trên Android không phải là mục đích được thông báo mô tả, và chỉ NordVPN mới có thể nói nội dung nào trong hai nội dung đã được ghi sai.

Ấn Độ và chế độ lệnh bí mật. P04_mandate_response=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022, được khôi phục từ blog của chính Surfshark (surfshark.com/blog/surfshark-servers-certin-india) sau khi lần kiểm tra trước đó phát hiện trang /trust-center không còn nêu nội dung này. P11=judicial_only dựa trên báo cáo minh bạch, trong đó lệnh của Amsterdam District Court vào tháng 4 năm 2026 cùng các bộ đếm National-Security-letter và lệnh bí mật đều bằng 0.

Tìm thấy hai báo cáo, có thể chưa phải tất cả. Chỉ tìm thấy hai báo cáo không lưu nhật ký của Deloitte được công bố (tháng 12 năm 2022, tháng 6 năm 2025); có thể còn những báo cáo khác không được liên kết từ robots.txt mà cuộc kiểm toán này không tìm kiếm bằng phương thức khác.

Vụ xâm nhập trung tâm dữ liệu tại Phần Lan năm 2018 là một vụ xâm nhập do bên thứ ba thực hiện, không phải vụ cơ quan thực thi pháp luật thu giữ — được ghi dưới P12_case_history với kind=breach, không phải P01_seizure_event. Bản tường thuật của chính NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) và bài đưa tin đương thời của Bloomberg thống nhất rằng việc công bố xảy ra sau các cáo buộc trên Twitter của các nhà nghiên cứu bên ngoài, không phải do NordVPN chủ động — do đó là third_party_disclosed thay vì self_disclosed_late.

NordVPN và Surfshark có cùng một chủ sở hữu cấp trên (Nord Security), nhưng thông báo sáp nhập của chính hai công ty nêu rõ cơ sở hạ tầng và lộ trình sản phẩm riêng biệt; trên cơ sở đó, M18 được đặt là tách biệt.

Hồ sơ này trước đây đã được đọc hai lần — connection_timestamps trong V11 từ cách diễn đạt của kiểm toán, source_ip trong C01 từ cách diễn đạt của chính sách — và được chấm theo kết quả kém hơn trong hai kết quả đó, khiến bộ đệm 15 phút bị trừ nhiều hơn so với việc không ghi nhận gì: để trống C01 có mức trước của thị trường là 0.550 còn source_ip là 0.750.

R29 giờ đây vạch rõ ranh giới: trạng thái bị xóa trong một khoảng thời gian đã công bố gắn với thời điểm kết thúc phiên là kết nối, không phải hồ sơ về kết nối đó, nên cả hai trường đều ghi connection_timestamps trong cùng một câu. Điều vẫn được tính là những gì tồn tại sau phiên — ngày đăng nhập gần nhất trong mục 2.3.1 của chính sách và các dấu thời gian kết nối mà kiểm toán viên nêu.

Surfshark và NordVPN có cùng một công ty mẹ (Nord Security, từ năm 2022), nhưng trang about-us của Surfshark nêu rằng các thương hiệu đã sáp nhập 'trong khi hoạt động độc lập' với hạ tầng riêng — M18 được đặt là riêng biệt trên cơ sở đó, phù hợp với hồ sơ nordvpn.com.

U12a là một phần thay vì có trên chính cột P2P của bảng máy chủ: 88 trong số 100 quốc gia được liệt kê có mục này và 12 quốc gia không có (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Cột này được dựng ở phía máy khách, nên đã được đọc từ bảng đã hiển thị thay vì HTML tĩnh, nơi mọi hàng đều mang mọi nhãn.

Báo cáo minh bạch tại /transparency-report — là nơi /warrant-canary hiện chuyển hướng tới — trình bày quý tháng 4–tháng 6 năm 2026 dưới dạng bảng: 374,719 thông báo DMCA, 33 yêu cầu từ các cơ quan chính phủ, 1 lệnh khám xét, 0 thư an ninh quốc gia và 0 lệnh bí mật. P08 tính 34 yêu cầu pháp lý và loại các thông báo DMCA ra: đó là khiếu nại bản quyền về lưu lượng, không phải yêu cầu dữ liệu của người dùng.

Chính trang đó nêu rằng Surfshark đang loại bỏ tín hiệu cảnh báo lệnh khám xét để chuyển sang báo cáo theo quý, đó là lý do P07 bị loại bỏ thay vì để là không có — tín hiệu này đã tồn tại và được chủ động rút lại.

U07_protocols ghi proprietary cho Dausos dựa trên chính tuyên bố của Surfshark — trang giao thức gọi Dausos là "giao thức proprietary của Surfshark" và không công bố nguồn cho giao thức này — và giá trị duy nhất đó là yếu tố đặt C13_weakest_protocol cũng như khoản trừ về vệ sinh tiếp theo. IKEv2 được giữ lại vì Surfshark vẫn tài liệu hóa giao thức này, dù blog của chính họ ghi nhận việc loại bỏ nó khỏi ứng dụng Windows; Shadowsocks đã biến mất khỏi chỉ mục hỗ trợ và không được liệt kê.