Tracker incydentów

IVPN 08.2026

Napastnik wykorzystał lukę w samodzielnie hostowanym BTCPay Server i wykradł środki operacyjne firmy (0,6168 BTC). Żadne dane klientów ani infrastruktura VPN nie zostały naruszone; płatności Lightning były niedostępne 7-10.08.2026.

Mullvad 05.2026

Badacz z tmctmt.com wykazal, ze serwisy moga korelowac aktywnosc uzytkownika przelaczajacego serwery Mullvad: przy tym samym wewnetrznym adresie tunelu exit IP wypada w proporcjonalnie podobnym miejscu puli kazdego serwera. Nie ujawnia tozsamosci; Mullvad zalecil ponowne logowanie przy zmianie serwera i wdrozyl nowy sposob przydzialu exit IP.

ExpressVPN 06.2025

Ruch TCP na porcie 3389 omijał tunel VPN, ujawniając prawdziwy adres IP, przyczyną był kod debugowania pozostawiony w wydaniach produkcyjnych. Naprawione w wersji 12.101.0.45; dotyczyło głównie użytkowników RDP.

IVPN 02.2025

IVPN ujawnil, ze aplikacja iOS podczas rotacji kluczy WireGuard na chwile wypuszczala ruch DNS poza tunel (asynchroniczne setTunnelNetworkSettings bez flagi reasserting). Blad naprawiono w aktualizacji, uzytkownikow poproszono o pilna aktualizacje.

ExpressVPN 02.2024

W wersjach 12.23.1-12.72.0 przy włączonym split tunnelingu część zapytań DNS trafiała do serwerów DNS dostawcy internetu, ujawniając odwiedzane domeny. Dotyczyło ok. 1% użytkowników Windows; funkcję tymczasowo wyłączono, poprawkę zweryfikował Nettitude.

PrivadoVPN 09.2023

Serwis monitoringu dark webu InsecureWeb odnotował włamanie, w którym wyciekło ok. 1,98 KB danych z aplikacji czatu. Skala minimalna, incydent nie dotyczył infrastruktury VPN ani danych o ruchu; firma nie potwierdziła publicznie zdarzenia.

VyprVPN 09.2023

Grupa Ninja Defenders przez lukę w aplikacji czatu na stronie uzyskała dostęp do bazy z adresami e-mail użytkowników. Incydent dotyczył infrastruktury webowej, nie serwerów VPN; firma nie potwierdziła publicznie zdarzenia.

Windscribe 06.2023

Po nadużyciu serwera Windscribe do włamania greckie organy oskarżyły bezpośrednio prezesa Yegora Saka. W kwietniu 2025 sąd umorzył sprawę z braku dowodów, co potwierdziło skuteczność polityki braku logów.

Mullvad 04.2023

Policja weszła do biura w Göteborgu z nakazem przeszukania, zamierzając zabezpieczyć dane klientów. Po wykazaniu, że firma zgodnie z polityką no-logs nie przechowuje żadnych danych użytkowników, policja opuściła biuro nie zabierając niczego. Praktyczne potwierdzenie polityki braku logów.

CyberGhost 02.2023

Klient dla Windows przed wersją 8.3.10.10015 zawierał lukę w usłudze RPC: spreparowany payload JSON pozwalał na wstrzyknięcie poleceń i przejęcie kontroli nad systemem. Dotyczyła potencjalnie ok. 3 mln użytkowników; załatana 24.02.2023.

VyprVPN 01.2023

VyprVPN został po cichu przejęty od szwajcarskiego Golden Frog przez teksańską spółkę Certida LLC, bez publicznego ogłoszenia. Jurysdykcja zmieniła się na USA (Five Eyes), a polityka no-logs nie została ponownie zaudytowana po zmianie właściciela.

Surfshark 04.2022

Badanie AppEsteem wykazało, że aplikacja Surfshark instalowała w systemie zaufany certyfikat głównego urzędu certyfikacji, co potencjalnie zwiększało powierzchnię ataku. Surfshark tłumaczył to wymogami protokołu IKEv2 i zapowiedział jego wycofywanie. Nie odnotowano wycieku danych ani nadużyć.

ExpressVPN 09.2021

CIO ExpressVPN okazał się jednym z byłych agentów budujących narzędzia inwigilacyjne dla rządu ZEA w ramach Project Raven; w ugodzie z DOJ zapłacił 335 tys. USD. ExpressVPN wiedział o jego przeszłości i publicznie go bronił, co wywołało krytykę.

Proton VPN 09.2021

Proton na mocy nakazu szwajcarskiego sądu przekazał adres IP aktywisty korzystającego z poczty Proton Mail. Incydent nie dotyczył Proton VPN, szwajcarskie prawo nie pozwala nakładać na usługi VPN obowiązku logowania. Odnotowany dla pełności obrazu.

Windscribe 06.2021

Ukraińskie władze przejęły dwa serwery, na których dyskach znajdował się niezaszyfrowany certyfikat serwera OpenVPN z kluczem prywatnym, potencjalnie umożliwiający podszycie się pod serwer Windscribe. Firma ujawniła incydent i do 20.07.2021 wdrożyła krótkotrwałe certyfikaty oraz architekturę z kluczami wyłącznie w RAM.

NordVPN 11.2019

Około 2000 par login-hasło użytkowników NordVPN krążyło w sieci w wyniku wykorzystania haseł wykradzionych z innych serwisów. Nie było to włamanie do systemów NordVPN, ale dotknęło osoby używające tych samych haseł w wielu usługach.

Proton VPN 09.2018

Cisco Talos wykryło lukę w kliencie 1.5.1 dla Windows pozwalającą lokalnemu użytkownikowi wykonać kod z uprawnieniami systemowymi. Błąd dotyczył aplikacji, nie serwerów; naprawiony przed publicznym ujawnieniem, brak dowodów na wykorzystanie.

PureVPN 09.2018

Hasła zapisywane były jawnym tekstem w pliku dostępnym dla wszystkich użytkowników lokalnych, a hasło ostatnio zalogowanego użytkownika dało się odczytać przez GUI. Podatność załatano w wersji 6.1.0 (czerwiec 2018).

CyberGhost 06.2018

Włamanie do zewnętrznego narzędzia ankietowego objęło ok. 120 adresów e-mail i 14 nazw użytkowników CyberGhost; nie wyciekły hasła ani dane o ruchu VPN.

NordVPN 03.2018

Atakujący uzyskał dostęp do pojedynczego serwera VPN w Finlandii przez narzędzie zdalnego zarządzania centrum danych i wykradł m.in. wygasły klucz TLS. Brak dowodów na wyciek danych użytkowników. Incydent ujawniono dopiero w październiku 2019 r., po czym firma przeszła m.in. na serwery RAM-only.

Hotspot Shield 01.2018

Lokalny serwer aplikacji Windows pozwalał nieuwierzytelnionemu atakującemu odczytać m.in. rzeczywisty adres IP użytkownika; atak dało się rozszerzyć techniką DNS rebinding. Łatka wyszła po publicznym ujawnieniu, 7.02.2018.

PureVPN 10.2017

PureVPN, deklarując politykę 'zero logów', przekazał FBI dane pozwalające powiązać konto z adresami IP podejrzanego o cyberstalking. Sprawa ujawniła, że firma przechowywała logi połączeń wbrew deklaracjom marketingowym i stała się głównym argumentem krytyków, przyczyniła się do późniejszych audytów no-logs.

Hotspot Shield 08.2017

Center for Democracy & Technology zarzuciło AnchorFree obiecywanie anonimowości przy jednoczesnym gromadzeniu i udostępnianiu danych oraz przekierowywaniu ruchu do domen partnerskich. Skarga opierała się m.in. na badaniu CSIRO, które wykryło w darmowej aplikacji kod reklamowo-śledzący.

CyberGhost 03.2017

CyberGhost kupiła firma Crossrider, której platforma była wcześniej wykorzystywana do dystrybucji adware i browser hijackerów. Nie był to incydent techniczny, ale zmiana właściciela na podmiot z adware'ową przeszłością do dziś budzi zastrzeżenia dotyczące zaufania.

Private Internet Access 07.2016

Rosyjskie władze przejęły część rosyjskich serwerów PIA po wejściu w życie ustawy o retencji danych. Serwery nie przechowywały logów, więc żadne dane użytkowników nie zostały ujawnione. PIA natychmiast zakończyło działalność w Rosji.