CactusVPN vs CyberGhost VPN

CactusVPN

針對整筆紀錄。

Securitum 委託案（2026 年 4 月 20 日至 5 月 7 日、9 人日、白箱）檢查了 CactusVPN 所列約 25 個伺服器國家中的 4 個國家之 4 台正式環境伺服器，以及 VPN 用戶端的連線行為（包括用於測試的 Linux 應用程式；目前下載頁面列出的平台不包括該應用程式——顯然是手動／舊版用戶端存取，而非列出的產品）。

該報告是 Securitum 客製化的安全性評估，不是 ISAE 3000 或 SOC 2 委託案，因此 V07／V15 紀錄這一點，而不是猜測確信等級。

價格包含續訂費率保證：年繳（$70/yr）與 2 年期（$95/2yr）方案都明載「終身」以相同的鎖定價格續訂，這在本名錄的業者中並不常見，且不是終身一次付費方案（X07=no）。

CyberGhost VPN

針對整筆紀錄。

Deloitte 第三份無記錄稽核確信報告（三份已公開報告中唯一一份以可完整下載的 PDF 發布，而非要求登入或向 Deloitte 提出電子郵件申請後才能取得）是有限度確信，屬於 ISAE 3000 (Revised) 委任，日期截至 31 October 2025，並於 19 December 2025 簽署；該報告以抽樣方式檢視 CyberGhost 對其自身無記錄控制措施的描述，而非整個伺服器群組，其結論是消極確信（「未有任何事項引起我們注意」），而非正面確認沒有記錄。

隱私權政策的非個人資料清單在網站式措辭下列出 Google Advertising ID 和陀螺儀感測器資料，而實際上只有行動應用程式能夠讀取這些資料。

CactusVPN

此紀錄目前仍未解決的事項。

管轄地。 關於我們頁面稱 CactusVPN「起初是摩爾多瓦的一家小公司」，但那是公司敘事，不是註冊聲明；服務條款完全未載明準據法或公司註冊國家；Securitum 報告僅將客戶列為「Cactus VPN LLC」，未附上任何管轄地。M06 及由其衍生的欄位，在找到登記紀錄或明確的管轄地條款前，維持未知。

義務託管。 已公開的伺服器榜單中全部 25 個國家，在本名錄自身的表格中都帶有資料留存義務，因此 C09b 在此並非狹義問題；但伺服器位置頁面沒有針對任何位置區分實體出口點與虛擬出口點，而且本次工作階段未確認任何各國託管事實。

應用程式層級識別碼與商店聲明。 C07a、C12 與 X12 維持未知：本次工作階段未讀取 Play Store 資料安全性表單或 Apple 隱私標籤，而 Securitum 稽核的白箱範圍涵蓋伺服器端設定及 DNS／流量處理，不包括行動版或擴充功能用戶端自行傳送給應用程式商店或分析 SDK 的內容。

透明度與金絲雀。 網站上沒有任何 /transparency、/transparency-report、/warrant-canary 或 /canary 路徑可解析，網站地圖中也沒有出現這類頁面；這是透過查找發現的缺失，而不是有來源支持的「無」，因此兩個欄位維持未知，而非標記為無。

CyberGhost VPN

此紀錄目前仍未解決的事項。

所有者集團歷史。 Kape Technologies 自 2017 年 3 月起為 CyberGhost 的母公司，其歷史可追溯至 Crossrider；Crossrider 是一個廣告注入 SDK 平台，在 2016 年轉向 VPN 之前，其服務曾遭廣泛濫用於散布廣告軟體與惡意軟體。沒有已記錄的謊言或聲明空白將這段歷史與 CyberGhost 自身的行為連結起來，但這份不利紀錄正是本業者被編入名錄的原因，而不是依中立的選擇規則列入。

規模與觸及範圍未有文件記載。 除了「數百萬名客戶」之外，無法從業者自有頁面取得 CyberGhost 特定的使用者數量，因此 M08_user_scale 維持未知；而且不存在可用於與 U04b_price_yearly 比價的明確 12 個月方案——CyberGhost 僅銷售 1 個月、6 個月及 26 個月的方案。

用戶端與建置透明度未經查驗。 找不到 CyberGhost 的官方原始碼儲存庫、可重現建置證明或獨立的應用程式滲透測試（Cure53 的公開索引中沒有 CyberGhost 或 Kape 的項目），因此 V12、V13 及 V14 維持未知，而不是作出任何一方的判定。

有爭議的資料外洩聲稱無法獨立解決。 2024 年 9 月的一份第三方報告聲稱 CyberGhost 帳號憑證遭外洩；CyberGhost 自身的回應否認服務端遭入侵，並將憑證歸因於使用者端惡意軟體，但本次無法讀取原始報告，因此 X09_incident_handling 維持未知，而不採取任何一方的說法。

CyberGhost 自己的兩個頁面對其街道地址說法不一致：法律聲明列出 70-72 Dionisie Lupu street，隱私權政策列出 68 Polonă street，兩者都位於同一個布加勒斯特區，且都是目前的頁面，而非其中一個是封存後遺留的頁面。兩者都未被視為比另一者更具權威性，這項差異留待未來更新時解決，而非在此自行猜測。