CyberGhost VPN vs Mullvad VPN

CyberGhost VPN

針對整筆紀錄。

Deloitte 第三份無記錄稽核確信報告（三份已公開報告中唯一一份以可完整下載的 PDF 發布，而非要求登入或向 Deloitte 提出電子郵件申請後才能取得）是有限度確信，屬於 ISAE 3000 (Revised) 委任，日期截至 31 October 2025，並於 19 December 2025 簽署；該報告以抽樣方式檢視 CyberGhost 對其自身無記錄控制措施的描述，而非整個伺服器群組，其結論是消極確信（「未有任何事項引起我們注意」），而非正面確認沒有記錄。

隱私權政策的非個人資料清單在網站式措辭下列出 Google Advertising ID 和陀螺儀感測器資料，而實際上只有行動應用程式能夠讀取這些資料。

Mullvad VPN

針對整筆紀錄。

2023 年 4 月的搜索票是這份紀錄中最有力的單一項目：警方到場辦公室，最後一無所獲，這是實務證據而非紙面資料，其老化速度遠比稽核慢。所有方案的定價都是每月固定 5 EUR；U04_price_monthly 的數值為 5.80（Mullvad 在其自有頁面上列出的 USD 等值）；U04b_price_yearly 為 69.60，即按該費率計算的全年價格。

CyberGhost VPN

此紀錄目前仍未解決的事項。

所有者集團歷史。 Kape Technologies 自 2017 年 3 月起為 CyberGhost 的母公司，其歷史可追溯至 Crossrider；Crossrider 是一個廣告注入 SDK 平台，在 2016 年轉向 VPN 之前，其服務曾遭廣泛濫用於散布廣告軟體與惡意軟體。沒有已記錄的謊言或聲明空白將這段歷史與 CyberGhost 自身的行為連結起來，但這份不利紀錄正是本業者被編入名錄的原因，而不是依中立的選擇規則列入。

規模與觸及範圍未有文件記載。 除了「數百萬名客戶」之外，無法從業者自有頁面取得 CyberGhost 特定的使用者數量，因此 M08_user_scale 維持未知；而且不存在可用於與 U04b_price_yearly 比價的明確 12 個月方案——CyberGhost 僅銷售 1 個月、6 個月及 26 個月的方案。

用戶端與建置透明度未經查驗。 找不到 CyberGhost 的官方原始碼儲存庫、可重現建置證明或獨立的應用程式滲透測試（Cure53 的公開索引中沒有 CyberGhost 或 Kape 的項目），因此 V12、V13 及 V14 維持未知，而不是作出任何一方的判定。

有爭議的資料外洩聲稱無法獨立解決。 2024 年 9 月的一份第三方報告聲稱 CyberGhost 帳號憑證遭外洩；CyberGhost 自身的回應否認服務端遭入侵，並將憑證歸因於使用者端惡意軟體，但本次無法讀取原始報告，因此 X09_incident_handling 維持未知，而不採取任何一方的說法。

CyberGhost 自己的兩個頁面對其街道地址說法不一致：法律聲明列出 70-72 Dionisie Lupu street，隱私權政策列出 68 Polonă street，兩者都位於同一個布加勒斯特區，且都是目前的頁面，而非其中一個是封存後遺留的頁面。兩者都未被視為比另一者更具權威性，這項差異留待未來更新時解決，而非在此自行猜測。

Mullvad VPN

此紀錄目前仍未解決的事項。

稽核週期。 Mullvad 在應用程式儲存庫中公開稽核索引，而該索引如實說明了週期：索引明確表示主要應用程式稽核每兩年進行一次，其間另有額外稽核；因此，規律性被紀錄為重複但沒有固定間隔，而不是年度系列——沒有人自稱有年度週期。

兩份報告，同一日期。 兩項個別委託共用 2026-02-17，紀錄也列出兩者：Assured 對 GotaTun（使用者空間的 WireGuard 實作）進行的程式碼審查（無嚴重、高或中等問題；兩個低嚴重性問題及九項備註），以及 Leviathan 對 Android 應用程式進行的 Mobile App Profile 評估，其合規報告將 February 17, 2026 列為評估日期，並將 AL2 列為保證等級。同一日期、兩份報告，沒有矛盾。

為何數量是八。 稽核數量為八，是因為 GotaTun 審查不在應用程式儲存庫自己的清單中。在這些之前，一項歷時 30 人日、涵蓋全部五個平台的 X41 D-Sec 審查發現六個漏洞——三個高、兩個中等、一個低，沒有嚴重漏洞。

沒有任何委託涵蓋的內容。 這些委託沒有任何一項涵蓋伺服器群：每一項檢查的都是應用程式或通道通訊協定，因此伺服器群涵蓋範圍被紀錄為不適用，而不是樣本。基礎架構方面的無日誌聲明因此僅以 2023 年 4 月的搜查令為依據——瑞典警方為取得客戶資料而來，卻未帶走任何資料——而不是依據任何稽核。

可重現建置，僅限 Android。 可重現建置僅限 Android，自版本 2025.2 起提供，因此該欄位維持部分狀態；桌面版與 iOS 建置無法逐位元驗證。Turkey 是提供清單中唯一的義務國家，而其背後的主機代管尚未確認。

沒有任何關於要求的公開資料。 紀錄中的任何內容都不是依據業者公開的、關於其收到的要求的資料：沒有透明度報告，也沒有金絲雀通知，因此 2023 年 4 月的查扣是該項唯一依據。Kill-switch 涵蓋範圍與 P2P 政策尚未確認；最新稽核是通訊協定程式碼審查，而不是無日誌委託，因此 V11 未作說明，留存主要依據聲明。