CyberGhost VPN vs Mullvad VPN

CyberGhost VPN

針對整筆紀錄。

Deloitte 第三份無日誌保障報告（三份已公開報告中唯一一份以完整可下載 PDF 發布，而非設有登入限制或須向 Deloitte 提交電郵申請）屬於一項 有限度 保障、按 ISAE 3000（修訂版）進行的工作，日期截至 31 October 2025，並於 19 December 2025 簽署；報告按抽樣方式檢視 CyberGhost 對其自身不記錄控制措施的描述，而非整個伺服器群組，結論是負面保障（「我們沒有注意到任何事項」），而非正面確認沒有日誌。

私隱政策的非個人資料清單在網站式措辭下列出 Google Advertising ID 和陀螺儀感應器資料，而實際上只有流動應用程式能夠讀取這些資料。

Mullvad VPN

針對整筆紀錄。

2023年4月的搜查令是這份紀錄中最有力的單一項目：警方到過辦公室，但一無所獲；這是實務證據而非紙面資料，其隨時間失效的速度遠低於稽核。所有期限的定價均為每月 5 EUR 的固定價格；U04_price_monthly 為 5.80（Mullvad 在其頁面上列出的等值 USD）；U04b_price_yearly 為 69.60，即按該價格計算的全年費用。

CyberGhost VPN

此紀錄目前仍未解決的事項。

所有者集團歷史。 Kape Technologies 自 2017 年 3 月起成為 CyberGhost 的母公司，其歷史可追溯至 Crossrider；Crossrider 是一個廣告注入 SDK 平台，其服務在 2016 年轉向 VPN 之前，曾被廣泛濫用於廣告軟件及惡意軟件分發商。沒有已記錄的謊言或聲稱空白將這段歷史與 CyberGhost 自身的行為連繫起來，但這項不利紀錄正是此業者被收錄的原因，而不是按照中性選擇規則收錄。

規模及覆蓋範圍沒有文件記錄。 除了「millions of customers」之外，無法從業者自有頁面取得 CyberGhost 特有的用戶數目，因此 M08_user_scale 保留為未知；而且沒有可用作與 U04b_price_yearly 比較定價的清晰 12 個月方案——CyberGhost 只出售 1 個月、6 個月及 26 個月期限。

用戶端及建置透明度未經查核。 找不到任何官方 CyberGhost 原始碼儲存庫、可重現建置證明或獨立應用程式滲透測試（Cure53 的公開索引沒有 CyberGhost 或 Kape 的項目），因此 V12、V13 及 V14 保留為未知，而非得出任何方向的結論。

有爭議的外洩聲稱無法獨立釐清。 一份 2024 年 9 月的第三方報告聲稱 CyberGhost 帳戶憑證遭外洩；CyberGhost 自身的回應否認服務端遭入侵，並將憑證歸因於用戶端惡意軟件，但本次工作階段無法閱讀原始報告，因此 X09_incident_handling 保留為未知，而不採納任何一方的說法。

CyberGhost 的兩個自有頁面對其街道地址有分歧：版權資料列出 70-72 Dionisie Lupu street，私隱政策列出 68 Polonă street，兩者均位於同一個布加勒斯特區，而且都是現行頁面，並非其中一個是存檔遺留頁面。兩者均沒有被視為比另一者更具權威，這項差異留待日後更新時解決，而非在此臆測。

Mullvad VPN

此紀錄目前仍未解決的事項。

稽核週期。 Mullvad 在應用程式儲存庫發布稽核索引，而該索引如實說明週期：索引明確指出主要應用程式稽核每兩年進行一次，中間另有額外稽核；因此規律性被紀錄為重複但無固定間隔，而不是年度系列——沒有人聲稱有年度週期。

兩份報告，同一日期。 兩項獨立工作共用 2026-02-17，而紀錄列明兩者：Assured 對 GotaTun（使用者空間 WireGuard 實作）的程式碼審查（沒有嚴重、高或中等問題；有兩項低程度問題及九項備註），以及 Leviathan 對 Android 應用程式進行的 Mobile App Profile 評估，其合規報告將 2026 年 2 月 17 日列為評估日期，並將 AL2 列為保證級別。一個日期、兩份報告、沒有矛盾。

為何數目是八。 稽核數目是八，因為 GotaTun 審查不在應用程式儲存庫自己的清單內。在這些稽核之前，一項涵蓋全部五個平台、歷時 30 人日的 X41 D-Sec 審查發現六個漏洞——三個高程度、兩個中等、一個低程度，沒有嚴重漏洞。

沒有任何工作涵蓋的範圍。 這些工作沒有任何一項涵蓋伺服器群組：每一項檢視的都是應用程式或隧道通訊協定，因此伺服器群組覆蓋範圍被紀錄為不適用，而不是樣本。因此，基礎設施方面的無日誌聲稱依據的是 2023 年 4 月的搜查令——瑞典警方為取得客戶資料而來，最終空手而回——而不是任何稽核。

可重現建置，僅限 Android。 可重現建置僅限 Android，並由版本 2025.2 起提供，因此該欄位維持部分狀態；桌面及 iOS 建置無法逐位元驗證。提供的名單上只有土耳其是一個義務國家，而其背後的託管並未確認。

沒有任何關於要求的已公開內容。 紀錄中沒有任何內容是建基於業者就其收到的要求所發布的資料：沒有透明度報告，也沒有搜查令金絲雀，因此 2023 年 4 月的查扣單獨承擔這項依據。緊急停止開關覆蓋範圍及 P2P 政策尚未確認；最新稽核是通訊協定程式碼審查，而不是無日誌工作，因此 V11 沒有內容，留存依據聲明。