ExpressVPN vs NordVPN

2021 年 9 月，DOJ 與 ExpressVPN 資訊總監 Daniel Gericke 就他過往於 2016 至 2018 年在阿聯酋「Project Raven」黑客行動中的角色所訂立的 Deferred Prosecution Agreement 公開；DPA 的主要文件本身從未點名 ExpressVPN（只涵蓋他較早期在阿聯酋的任職）——ExpressVPN 的關聯來自 ExpressVPN 自己的聲明及媒體聲明。ExpressVPN 讓 Gericke 繼續任職，並公開發表支持該決定的辯護。

C12 是業者自行撰寫的文字中的 resettable_ad_id，而不是商店分類。私隱政策的營銷段落表示，Installation ID 和 XV User ID 一律會被收集，而廣告識別碼——IDFA 或 Android Advertising ID——則在取得明確同意後收集，全部資料均會傳送至 AppsFlyer；Play 的資料安全表格則獨立聲明，裝置或其他 ID 會用於廣告或營銷。

同意閘門，以及這裏沒有其他業者提供的緩解措施——將前往 AppsFlyer 的流量經由專用 ExpressVPN IP 池路由，令歸因無法按 IP 進行關聯——都是真實存在的，並在此紀錄，因為分數下限按可被持有的資料定價，而不是按解釋得多好定價。

U07_protocols 涵蓋整個選擇器：Lightway UDP 和 TCP 作為 vendor_open，以及 WireGuard、OpenVPN UDP/TCP 和 IKEv2。Lightway 是 ExpressVPN 自有的通訊協定，其原始碼已公開，並有獨立審查作支持（Cure53，2021 年及 2024 年），這正是 vendor_open 存在的區別——proprietary 是按無法判斷傳輸是否薄弱的情況定價，而這裏則可以作出判斷。

ExpressVPN 的應用程式已根據業者自有的通訊協定頁面停用 PPTP，而該頁面有解釋 L2TP 和 SSTP，卻沒有提供它們。

從未公開的資料。 訂戶數量（M08）及伺服器總數（U03）均未有公開。從任何已查閱的頁面均無法確認伺服器硬件所有權（C08：擁有或租用）及應用程式層面的裝置識別碼（C12）。

106 個國家，對應自稱的 113 個。 U02_server_countries 反映 ExpressVPN 自己的 sitemap 中 105 個國家登陸頁面，加上中國（即時 /vpn-server 頁面已確認為「Available - Virtual Locations」，但沒有專屬登陸頁面）——合共 106 個代碼，對應該網站自己宣稱的「113 Countries」；即時伺服器位置頁面是一個非常大型、按通訊協定排列的表格，未有詳盡解析，因此 106 與 113 之間的空白會予以報告，而不作解決。

兩個類別之間的稽核發現。 V11_audit_findings 記錄為 session_metadata，而不是 none_linkable 或 aggregates_only：2025 年 KPMG 報告描述了一項按每次連線建立的結構化紀錄（國家、ISP、日期、通訊協定、資料量、穩定的加鹽雜湊假名），不只是純粹的彙總資料，但缺少 IP 和精確時間——對於此欄位的四個中間類別而言，這是確實含糊的個案。

本輪未有查核。 ExpressVPN 的覆蓋範圍是否存在於聯盟網站以外（X08）、其聯盟付款級別（X10），以及由所有者營運的評測媒體是否標示出所有權關係（X11），均未有在本輪查核。

P2P，已查找但不存在。 U12a_p2p_allowed 因與其餘項目不同的原因維持未知：曾予查找，但未有公開。sitemap（578 個頁面及支援 URL）和服務條款中任何地方均沒有提及 P2P、BitTorrent 或檔案分享，而每一個其他已編入目錄的業者都在自己的文件中說明其立場。支援文章或服務條款中的條文可以填補此空白；評測網站聲稱其運作正常則不能。

無人可以核查的保證程度。 NordVPN 將 Deloitte Lithuania 的委聘描述為根據 ISAE 3000 (Revised) 進行的 reasonable 保證委聘，這會是較強的形式；可供閱讀的 PIA 報告則載有有限保證結論。

為何較強形式不獲計入。 模型現在會為該差異定價，而本紀錄不會受惠於此：V15_assurance_strength 為未知，因為該級別唯一的說明來自 NordVPN 自身，所述報告又是 Nord Account 以外任何人都無法開啟的報告。在此，任何級別的登入後文件都不構成證據，因此該項工作按市場慣例計入，而不是按其據稱已達到的級別計入。

登入後才能查看的報告。 報告本身只有在登入 Nord Account 後才能閱讀，因此該關係以外無人核查過其範圍，而這裡每個稽核欄位所依據的都是 NordVPN 對報告的自身摘要，而非該文件。這一點，而不是任何針對該服務的調查結果，正是本紀錄成為名錄中資料最薄弱者的原因。

所有者欄位。 M11_owner_jurisdiction 和 X04_owner_group_history 均為未知：nordvpn.com 和 nordsecurity.com 將 Nord Security 列為所有者，但兩者均未說明 Nord Security 自身的註冊成立管轄地，或該集團過往的紀錄；二手媒體報道根據 2022 年合併將一個名為「Cyberspace」的控股實體與荷蘭關聯起來，但在可用時間內未能對照 Nord Security 或 NordVPN 的主要頁面確認。

完全無法讀取的內容。 2025 Deloitte 報告的全文完全無法讀取（受登入限制），因此除政策在 C01_linkable_retention 中的自稱外，沒有紀錄任何留存判定。

無法開啟的伺服器表。 C09b_mandate_hosting 為未知：在本次稽核能夠呈現的手風琴狀態中，按國家列出的即時伺服器表只顯示美洲地區的實體／虛擬狀態；歐洲、亞太及非洲／中東部分（包括該網絡服務的數個義務國家，例如根據伺服器 API 所示的 AE、IN、TR、VN、IQ、KZ）會在點擊後於用戶端載入，未有展開。

維持未知，而非作出自稱。 C04-C07、U06（審查證明）、U11、V12-V14、X06、X07、X10 及 X11 未有根據主要文件獨立確認，因此維持未知，而不是根據二手報道作出自稱。

留下一項疑問，但不予計入。 X12 留有一項疑問，但不予計入：com.nordvpn.android 的 Play 資料安全表格在 Android 的分析項下聲明 Installed apps，而 NordVPN 私隱通知只在一處提到已安裝的應用程式——反惡意軟件漏洞掃描——並將處理應用程式名稱及版本的範圍限定於 Windows。

為何仍顯示為符合。 該類別已予披露，而 R28 不會因平台範圍差異作出判定，因此該值顯示為 matches_policy；但 Android 的用途並非通知所描述的用途，而只有 NordVPN 能說明兩者之中哪一項寫錯。