CactusVPN vs CyberGhost VPN

CactusVPN

针对整条记录。

Securitum 项目于2026年4月20日至5月7日进行，共九人日，采用白盒方式，检查了 CactusVPN 所列约25个服务器国家中的四个国家的四台生产服务器，以及VPN客户端的连接行为（包括用于测试的 Linux 应用；该应用不在下载页面当前列出的平台之中——显然是手动/旧版客户端访问，而不是已列出的产品）。

该报告是 Securitum 定制的安全评估，而不是 ISAE 3000 或 SOC 2 项目，因此 V07/V15 记录的是这一事实，而不是猜测某个鉴证等级。

价格包含续费费率保证：年付（$70/年）和 2 年付（$95/2年）套餐均声明将“终身”按相同的锁定价格续费；这在本名录的服务商中并不常见，并且不属于一次性终身付费方案（X07=no）。

CyberGhost VPN

针对整条记录。

Deloitte发布的第三份无日志鉴证报告（三份报告中唯一一份以可完整下载的PDF形式发布，而不是要求登录或向Deloitte发邮件申请后才能获取的报告）是一次有限鉴证，属于经修订的ISAE 3000业务，日期截至2025年10月31日，并于2025年12月19日签署；该报告以抽样方式审查CyberGhost对其自身无日志控制措施的描述，而非整个服务器群，其结论是否定式鉴证（“我们没有注意到任何事项”），而不是确认没有日志的正面结论。

隐私政策的非个人数据列表在网站式措辞下列出了Google Advertising ID和陀螺仪传感器数据，而实际上只有移动应用才能读取这些数据。

CactusVPN

此记录目前仍未解决的事项。

管辖地。关于我们页面称 CactusVPN“始于摩尔多瓦的一家小公司”，但这是公司叙述，而非注册声明；《服务条款》完全没有规定适用法律或注册国家；Securitum 报告仅将客户列为“Cactus VPN LLC”，未附带任何管辖地。在找到注册记录或明确的管辖地条款之前，M06及由其派生的字段仍为未知。

义务托管。已公开的服务器列表中的全部25个国家，在本名录自身的表格中都带有数据留存义务，因此 C09b 在这里并不是一个狭义问题；但服务器位置页面没有区分任何位置的实体出口点与虚拟出口点，本次也未确认任何按国家划分的托管事实。

应用级标识符和商店声明。C07a、C12和X12仍为未知：本次未查阅 Play Store 数据安全表单或 Apple 隐私标签；Securitum 审计的白盒范围涵盖服务器端配置和 DNS/流量处理，但不涵盖移动客户端或扩展客户端自身向应用商店或分析 SDK 传输的内容。

透明度和金丝雀。网站上没有/transparency、/transparency-report、/warrant-canary或/canary路径可访问，网站地图中也没有出现此类页面；这是通过查找发现的缺失，而不是有出处支持的“无”，因此两个字段都仍为未知，而不是标记为无。

CyberGhost VPN

此记录目前仍未解决的事项。

所有者集团历史。 Kape Technologies 自 2017 年 3 月起作为 CyberGhost 的母公司，其历史可追溯至 Crossrider；Crossrider 是一个广告注入 SDK 平台，在 2016 年转向 VPN 之前，其服务曾被广告软件和恶意软件分发者广泛滥用。没有记录显示这段历史与 CyberGhost 自身的行为存在谎言或声明空白，但正是这份不利记录使该服务商被编入名录，而不是依据中性的选择规则收录。

规模和覆盖范围没有文件记录。 除了“数百万客户”之外，无法从服务商自己的页面找到 CyberGhost 特有的用户数量来源，因此 M08_user_scale 保持未知；同时也不存在可用于对照 U04b_price_yearly 定价的标准 12 个月方案——CyberGhost 仅销售 1 个月、6 个月和 26 个月期限。

客户端和构建透明度未予审查。 未找到官方 CyberGhost 源代码仓库、可复现构建证明或独立的应用程序渗透测试（Cure53 的公开索引中没有 CyberGhost 或 Kape 的条目），因此 V12、V13 和 V14 保持未知，而不是作出任何一方的判定。

一项有争议的泄露主张无法独立解决。 2024 年 9 月的一份第三方报告声称 CyberGhost 账户凭据遭到泄露；CyberGhost 自己的回应否认服务端遭到入侵，并将这些凭据归因于用户端恶意软件，但本次无法阅读该报告原文，因此 X09_incident_handling 保持未知，而不是采纳任何一方的说法。

CyberGhost自己的两个页面对其街道地址说法不一：网站法律声明列出的是70-72 Dionisie Lupu街，隐私政策列出的是68 Polonă街，两者都位于同一个布加勒斯特区，且都是当前页面，并非其中一个是存档遗留页面。两者均未被认定为比另一方更具权威性，这一差异留待未来更新时解决，而不是在此处臆测。