CyberGhost è sicuro? Analisi di sicurezza, privacy e audit
CyberGhost è sicuro? Risultati di audit indipendenti, protocolli di crittografia, analisi della giurisdizione, test del kill switch e verifica della politica no-logs.
VPN più sicuri
CyberGhost è sicuro? Crittografia, audit e policy di log spiegate
CyberGhost ottiene un punteggio di affidabilità di 85/100. Utilizza la crittografia AES-256, opera sotto la giurisdizione rumena al di fuori delle alleanze 14 Eyes, e pubblica rapporti sulla trasparenza trimestrali. Un audit indipendente di Deloitte nel 2022 ha confermato la sua politica no-logs. CyberGhost instrada il traffico attraverso oltre 11.500 server in 100 paesi con protezione integrata contro le perdite.
Giurisdizione: perché la Romania è importante
CyberGhost opera come CyberGhost S.R.L., con sede a Bucarest, Romania. La Romania non ha leggi obbligatorie di conservazione dei dati per i provider VPN. Il paese ha rifiutato la Direttiva UE sulla conservazione dei dati due volte, nel 2009 e nel 2014.
La Romania si trova al di fuori delle alleanze di intelligence-sharing 5 Eyes, 9 Eyes e 14 Eyes. Questo significa che le agenzie straniere non possono costringere CyberGhost a consegnare i dati degli utenti attraverso accordi di partnership. Le autorità rumene hanno bisogno di un ordine del tribunale valido per richiedere informazioni da qualsiasi azienda.
Anche con un ordine del tribunale, CyberGhost dichiara di non poter fornire ciò che non conserva. L’organizzazione madre dell’azienda è Kape Technologies, con sede nel Regno Unito. Tuttavia, l’elaborazione dei dati di CyberGhost rimane in Romania secondo la legge rumena. Kape possiede anche ExpressVPN, Private Internet Access e ZenMate.
Cronologia degli audit di CyberGhost
Deloitte Romania ha completato un audit indipendente dell’infrastruttura no-logs di CyberGhost nel 2022. Gli auditor hanno esaminato le configurazioni dei server, le policy interne e i processi di gestione dei dati su tutta la rete di CyberGhost. Deloitte ha confermato che la configurazione dei server corrispondeva alle affermazioni pubbliche di no-logs di CyberGhost.
Questo audit ha seguito il framework Type 1 SOC, valutando se i controlli esistevano e erano stati progettati correttamente. Deloitte non ha trovato prove che CyberGhost memorizzasse log di connessione, attività di navigazione o dati di traffico. Il rapporto di audit ha confermato che i server funzionavano in modalità solo RAM.
Prima di Deloitte, CyberGhost non aveva subito un audit formale di terze parti. L’azienda si affidava ai rapporti sulla trasparenza trimestrali a partire dal 2011 per dimostrare il suo impegno. Questi rapporti dettagliano il numero di richieste delle forze dell’ordine ricevute e come CyberGhost ha risposto a ciascuna.
CyberGhost pubblica questi rapporti sulla trasparenza sul suo sito web ogni 3 mesi. Ogni rapporto mostra che zero richieste di dati sono state soddisfatte perché non esistono dati identificabili. Un secondo audit di Deloitte rafforzerebbe la fiducia nel lungo termine, ma nessun seguito è stato annunciato pubblicamente.
Politica no-logs di CyberGhost: cosa viene conservato
La politica sulla privacy di CyberGhost dichiara esplicitamente che non registra la cronologia di navigazione, le destinazioni del traffico o le query DNS. Non conserva neanche i timestamp di connessione, la durata della sessione o gli indirizzi IP assegnati. La policy copre tutti gli oltre 11.500 server della sua rete.
Cosa CyberGhost NON conserva:
- Attività di navigazione o siti web visitati
- Nomi dei file scaricati o dati torrent
- Indirizzi IP originali o indirizzi IP VPN assegnati
- Timestamp di connessione o durata della sessione
- Query DNS o volume di traffico per sessione
Cosa CyberGhost raccoglie:
- Tentativi di connessione anonimi e aggregati per la risoluzione dei problemi (senza identificazione dell’utente)
- Indirizzo email dell’account e informazioni di pagamento per la gestione dell’abbonamento
- Tipo di dispositivo approssimativo per l’analisi del miglioramento dell’app
CyberGhost utilizza token anonimi per l’autenticazione sui suoi server. Questo sistema interrompe il collegamento tra le credenziali dell’account e la sessione VPN. L’azienda non può associare un utente specifico a una connessione server specifica in un dato momento.
I server solo RAM aggiungono un ulteriore livello di protezione. Questi server non scrivono nulla su dischi rigidi, e ogni riavvio cancella completamente tutti i dati della sessione. Il sequestro fisico di un server non fornisce alcuna informazione utilizzabile su connessioni passate.
Standard di crittografia e protocolli
CyberGhost utilizza la crittografia AES-256-GCM come cipher predefinita su tutte le applicazioni. Questo è lo stesso standard di crittografia che il governo degli Stati Uniti utilizza per le informazioni classificate. Rompere AES-256 richiederebbe una potenza di calcolo che non esiste oggi.
CyberGhost supporta 4 protocolli VPN nelle sue app:
- WireGuard: Predefinito sulla maggior parte delle piattaforme. Utilizza la crittografia ChaCha20. In media velocità dal 15-30% più veloce rispetto a OpenVPN.
- OpenVPN (UDP/TCP): Utilizza AES-256-GCM. UDP offre velocità più elevate. TCP funziona meglio su reti ristrette.
- IKEv2/IPsec: Preferito su iOS e dispositivi mobili. Gestisce efficientemente il cambio di rete tra Wi-Fi e cellulare.
- L2TP/IPsec: Opzione legacy. Disponibile ma non consigliata per l’uso principale.
Ogni protocollo implementa Perfect Forward Secrecy attraverso scambi di chiavi effimere. Questo significa che ogni sessione genera una chiave di crittografia unica. Compromettere una chiave di sessione non espone sessioni passate o future.
Kill switch e protezione dalle perdite DNS
CyberGhost include un kill switch su applicazioni Windows, macOS, iOS, Android e Linux. Il kill switch blocca tutto il traffico internet se la connessione VPN si interrompe inaspettatamente. Si attiva automaticamente senza richiedere alcuna configurazione dell’utente.
Su Windows e macOS, il kill switch funziona a livello di sistema. Modifica le regole del firewall per prevenire l’invio di pacchetti al di fuori del tunnel VPN. I test con strumenti standard di rilevamento delle perdite mostrano zero perdite IPv4, IPv6 o WebRTC durante i cali di connessione.
CyberGhost gestisce anche i propri server DNS privati. Ogni query DNS viene instradata attraverso tunnel crittografati ai resolver gestiti da CyberGhost. Questo impedisce ai provider Internet e a terze parti di vedere quali domini richiedi. Nessun servizio DNS di terze parti come Google o Cloudflare gestisce le tue query.
La protezione dalle perdite IPv6 è abilitata per impostazione predefinita. CyberGhost blocca completamente il traffico IPv6 piuttosto che instradarlo attraverso il tunnel. Questo approccio elimina una vulnerabilità comune che i VPN più economici spesso trascurano.
Incidenti di sicurezza passati
CyberGhost non ha subito una violazione confermata dei dati o un compromesso dei server fino all’inizio del 2025. Nessun dato utente è stato esposto attraverso vulnerabilità nell’infrastruttura di CyberGhost.
Nel 2016, sono sorte preoccupazioni quando Crossrider (successivamente rinominato Kape Technologies) ha acquisito CyberGhost. Crossrider aveva associazioni passate con la distribuzione di adware. CyberGhost ha affrontato la questione dichiarando che le sue operazioni, il team e l’infrastruttura rimanevano indipendenti in Romania. Kape si è da allora riposizionato completamente come azienda di privacy e sicurezza.
Nel 2019, è emerso un rapporto su una violazione dei dati in una piattaforma di assistenza clienti collegata a CyberGhost. CyberGhost ha chiarito che solo 120 indirizzi email e il contenuto dei ticket di supporto potevano essere potenzialmente interessati. Nessun dato di utilizzo VPN, password o informazioni di pagamento è stato esposto. L’incidente ha coinvolto uno strumento di supporto di terze parti, non i server VPN di CyberGhost.
CyberGhost ha risposto migrando i suoi sistemi di supporto e aumentando i requisiti di sicurezza per gli strumenti di terze parti. L’azienda ha aggiunto l’autenticazione a 2 fattori per i sistemi interni e ha rivisto tutte le relazioni con i fornitori.
Funzionalità di sicurezza uniche
CyberGhost offre diverse funzionalità che la distinguono dai competitor nella fascia di punteggio di fiducia 85.
Server NoSpy: CyberGhost gestisce un insieme di server premium nel suo data center in Romania. L’azienda gestisce questi server esclusivamente senza coinvolgimento di terze parti. I server NoSpy utilizzano uplink dedicati e sono accessibili fisicamente solo al personale di CyberGhost.
Content Blocker: Integrato nelle app, questa funzionalità blocca annunci, tracker e domini dannosi a livello DNS. Elabora il blocco prima che il traffico raggiunga il tuo browser. Questo riduce l’esposizione dei dati senza richiedere un’estensione del browser separata.
Opzione IP dedicato: Gli utenti possono acquistare un indirizzo IP statico che solo loro utilizzano. Questo sistema basato su token assegna l’IP senza collegarlo all’identità del tuo account. Aiuta a evitare CAPTCHA e blocklists mantenendo la privacy.
Protezione automatica Wi-Fi: CyberGhost rileva nuove reti Wi-Fi non protette e connette il VPN automaticamente. Gli utenti possono impostare regole per reti fidate e non fidate. Questa funzionalità previene la navigazione accidentale non protetta su hotspot pubblici.
Split Tunneling: Disponibile su Android e Windows, lo split tunneling ti consente di instradare app specifiche al di fuori del VPN. Scegli quali app utilizzano il tunnel crittografato e quali utilizzano la tua connessione normale.
Domande frequenti
CyberGhost è davvero sicuro per affidare i miei dati?
Sì. CyberGhost ha un punteggio di fiducia di 85/100, utilizza la crittografia AES-256 per impostazione predefinita e opera sotto la giurisdizione rumena al di fuori delle alleanze 5, 9 e 14 Eyes. Deloitte ha sottoposto a audit indipendente la sua infrastruttura no-logs nel 2022 secondo il framework Type 1 SOC, confermando che i server funzionano solo in RAM e non memorizzano alcun dato di navigazione, connessione o DNS.
Perché la giurisdizione rumena è effettivamente importante per le affermazioni sulla privacy di CyberGhost?
La Romania non ha una legge obbligatoria di conservazione dei dati e ha rifiutato la Direttiva UE sulla conservazione dei dati due volte, nel 2009 e nel 2014. Il fatto di stare al di fuori delle alleanze 5, 9 e 14 Eyes significa che le agenzie straniere non possono costringere CyberGhost attraverso accordi di partnership. Le autorità rumene hanno comunque bisogno di un ordine del tribunale valido, e CyberGhost dichiara di non poter consegnare dati che non ha mai conservato.
CyberGhost ha mai subito una violazione di dati o un incidente di sicurezza?
Nessuna violazione ha colpito l’infrastruttura VPN di CyberGhost fino all’inizio del 2025. Un incidente nel 2019 ha interessato una piattaforma di supporto ai clienti di terze parti, esponendo circa 120 indirizzi email e contenuti dei ticket, non dati di utilizzo VPN o password. CyberGhost ha risposto migrando i sistemi di supporto, aggiungendo l’autenticazione a due fattori internamente e revisionando tutte le relazioni con i fornitori in seguito.
Quale crittografia e quali protocolli sostengono le affermazioni sulla sicurezza di CyberGhost?
CyberGhost utilizza per impostazione predefinita la crittografia AES-256-GCM e supporta quattro protocolli: WireGuard (ChaCha20, il predefinito sulla maggior parte delle piattaforme), OpenVPN UDP/TCP, IKEv2/IPsec per dispositivi mobili e un’opzione legacy L2TP/IPsec. Ogni protocollo implementa Perfect Forward Secrecy attraverso scambi di chiavi effimere, generando una chiave unica per sessione, quindi compromettere una sessione non espone mai traffico passato o futuro.
Un auditor indipendente ha effettivamente verificato la politica no-logs di CyberGhost?
Sì. Deloitte Romania ha sottoposto a audit l’infrastruttura no-logs di CyberGhost nel 2022, esaminando le configurazioni dei server e la gestione dei dati secondo il framework Type 1 SOC, confermando il funzionamento dei server solo in RAM e l’assenza di log di connessione e navigazione memorizzati. Prima di ciò, CyberGhost si affidava unicamente ai rapporti sulla trasparenza trimestrali dal 2011. Nessun follow-up audit è stato annunciato pubblicamente dal 2022.
Quali informazioni raccoglie effettivamente CyberGhost se non registra l’attività?
CyberGhost raccoglie solo l’email del tuo account e i dettagli di pagamento per la fatturazione, un tipo di dispositivo approssimativo per l’analisi delle app e tentativi di connessione aggregati anonimi utilizzati esclusivamente per la risoluzione dei problemi. Non memorizza esplicitamente cronologia di navigazione, query DNS, indirizzi IP assegnati, timestamp o durata della sessione, secondo la sua politica sulla privacy pubblicata e l’audit Deloitte del 2022.
Come posso confermare che il kill switch di CyberGhost mi sta proteggendo effettivamente?
Collegati a un server CyberGhost su Windows o macOS, quindi forza la disconnessione della tua rete durante una sessione. Il kill switch funziona a livello di sistema, modificando le regole del firewall in modo che nessun pacchetto lasci al di fuori del tunnel, ed è disponibile su app Windows, macOS, iOS, Android e Linux. I test di rilevamento delle perdite mostrano zero perdite IPv4, IPv6 o WebRTC durante i cali di connessione.
Cosa accade se il traffico DNS o IPv6 di CyberGhost subisce una perdita?
Non dovrebbe in condizioni normali: CyberGhost gestisce i propri resolver DNS privati in modo che le query non raggiungono mai il tuo ISP o terze parti come Google o Cloudflare, e blocca completamente il traffico IPv6 per impostazione predefinita piuttosto che instradarlo, chiudendo un vettore di perdita che i VPN più economici spesso non considerano. Se sospetti una perdita, esegui uno strumento standard di rilevamento delle perdite mentre sei connesso per confermare.
La proprietà di CyberGhost da parte di Kape Technologies solleva dubbi sulla privacy?
Kape Technologies, la società madre britannica di CyberGhost, era precedentemente Crossrider, che aveva associazioni passate con adware prima dell’acquisizione di CyberGhost nel 2016. CyberGhost dichiara che il suo team, l’infrastruttura e l’elaborazione dei dati rimangono indipendenti e con sede in Romania secondo la legge rumena. Kape possiede anche ExpressVPN, Private Internet Access e ZenMate, e si è da allora riposizionato come azienda incentrata sulla privacy.
Come si confronta il profilo di sicurezza di CyberGhost con NordVPN e ExpressVPN?
CyberGhost si posiziona al #10 di 22 nel nostro Speed Lab, aggregato da lab indipendenti, rispetto a NordVPN al #1 e ExpressVPN all’#8. Tutti e tre hanno policy no-logs sottoposte a audit indipendente (Deloitte per CyberGhost, Cure53 per NordVPN, PwC e Cure53 per ExpressVPN) e offrono crittografia AES-256 con kill switch, anche se la finestra di rimborso di 45 giorni di CyberGhost supera le garanzie di 30 giorni di entrambi i provider.
Quanti dispositivi posso mantenere protetti con le funzionalità di sicurezza di CyberGhost?
Un singolo account CyberGhost copre 7 connessioni dispositivo simultanee, ognuna con lo stesso kill switch, crittografia AES-256 e protezione dalle perdite DNS. Sono meno dei 10 di NordVPN o dei 10-14 di ExpressVPN a seconda del piano, ma CyberGhost offre anche server NoSpy, infrastruttura rumena di proprietà aziendale senza coinvolgimento di terze parti, come ulteriore protezione per l’uso sensibile.
Cosa succede se non sono convinto dalle affermazioni sulla privacy di CyberGhost dopo la sottoscrizione?
CyberGhost supporta ogni piano con una garanzia di rimborso di 45 giorni, più lunga delle finestre di 30 giorni di NordVPN o ExpressVPN, offrendoti più tempo per testare il kill switch, eseguire strumenti di rilevamento delle perdite e revisionare tu stesso i rapporti sulla trasparenza trimestrali prima di impegnarti. Se le affermazioni no-logs sottoposte a audit non reggono al tuo scrutinio, puoi annullare entro quel periodo.
CyberGhost può essere obbligato a consegnare i miei dati se le autorità lo richiedono?
Solo con un ordine del tribunale rumeno valido, e anche allora CyberGhost dichiara di non avere nulla da consegnare poiché non memorizza alcun dato di navigazione, connessione o DNS. L’azienda pubblica rapporti sulla trasparenza ogni tre mesi dettagliando le richieste delle forze dell’ordine ricevute, e ogni rapporto fino ad oggi mostra zero richieste soddisfatte perché non esiste alcun dato identificabile da rilasciare.