CyberGhost VPN vs IVPN

CyberGhost VPN

此记录目前仍未解决的事项。

所有者集团历史。 Kape Technologies 自 2017 年 3 月起作为 CyberGhost 的母公司，其历史可追溯至 Crossrider；Crossrider 是一个广告注入 SDK 平台，在 2016 年转向 VPN 之前，其服务曾被广告软件和恶意软件分发者广泛滥用。没有记录显示这段历史与 CyberGhost 自身的行为存在谎言或声明空白，但正是这份不利记录使该服务商被编入名录，而不是依据中性的选择规则收录。

规模和覆盖范围没有文件记录。 除了“数百万客户”之外，无法从服务商自己的页面找到 CyberGhost 特有的用户数量来源，因此 M08_user_scale 保持未知；同时也不存在可用于对照 U04b_price_yearly 定价的标准 12 个月方案——CyberGhost 仅销售 1 个月、6 个月和 26 个月期限。

客户端和构建透明度未予审查。 未找到官方 CyberGhost 源代码仓库、可复现构建证明或独立的应用程序渗透测试（Cure53 的公开索引中没有 CyberGhost 或 Kape 的条目），因此 V12、V13 和 V14 保持未知，而不是作出任何一方的判定。

一项有争议的泄露主张无法独立解决。 2024 年 9 月的一份第三方报告声称 CyberGhost 账户凭据遭到泄露；CyberGhost 自己的回应否认服务端遭到入侵，并将这些凭据归因于用户端恶意软件，但本次无法阅读该报告原文，因此 X09_incident_handling 保持未知，而不是采纳任何一方的说法。

CyberGhost自己的两个页面对其街道地址说法不一：网站法律声明列出的是70-72 Dionisie Lupu街，隐私政策列出的是68 Polonă街，两者都位于同一个布加勒斯特区，且都是当前页面，并非其中一个是存档遗留页面。两者均未被认定为比另一方更具权威性，这一差异留待未来更新时解决，而不是在此处臆测。

IVPN

此记录目前仍未解决的事项。

2019年进行的一次无日志审计。 IVPN对其不做什么的说明异常明确：其自己的文章称，最近一次且唯一一次无日志审计是 Cure53 于2019年3月进行的审计，并称其有意没有重复这种形式，因为这种认证说明的是某一天，而不是之后的日子。

目前这一自称的依据。 此后的每次审计都针对应用和服务，因此基础设施上的无日志自称依据的是2019年3月的审计项目和2023年2月的网关审查，而不是任何近期事项。

尚未公开的审计。 第八次年度 Cure53 审计安排在2026年7月进行，目前尚未公开2025年或2026年的报告，因此最新报告日期是2024年4月。

2026年8月的事件。 2026年8月，一名攻击者利用了自托管 BTCPay Server 中的一个漏洞，该漏洞当时尚未公开，并窃取了IVPN自己的 Lightning 运营资金。IVPN在四天后主动发布了事件说明，并明确范围仅限于该机器：VPN网关未受影响，未接触任何客户记录，也没有客户资金损失。

为何不收取任何费用。 该模式对此不收取任何费用，这正是重点——一个及时这样说明的运营方，其行为符合该领域应予奖励的方式；保留这一条目是为了让读者知道事件发生过，而不是为了改变某个数字。

这些审计项目涵盖的内容。 应用渗透测试（iOS、Android、Electron、守护进程）来自2022年3月，网关/服务器操作系统审查来自2023年2月；两者都未测试无日志自称本身，2023年的报告对此有明确说明，因此留存仅依据隐私政策中的声明。

CyberGhost VPN

针对整条记录。

Deloitte发布的第三份无日志鉴证报告（三份报告中唯一一份以可完整下载的PDF形式发布，而不是要求登录或向Deloitte发邮件申请后才能获取的报告）是一次有限鉴证，属于经修订的ISAE 3000业务，日期截至2025年10月31日，并于2025年12月19日签署；该报告以抽样方式审查CyberGhost对其自身无日志控制措施的描述，而非整个服务器群，其结论是否定式鉴证（“我们没有注意到任何事项”），而不是确认没有日志的正面结论。

隐私政策的非个人数据列表在网站式措辞下列出了Google Advertising ID和陀螺仪传感器数据，而实际上只有移动应用才能读取这些数据。

IVPN

针对整条记录。

首次填录于2026年8月26日。完全取自ivpn.net的官方页面、Cure53审计PDF和IVPN博客——未引用任何联盟营销网站或评测聚合网站。