O Mullvad é Seguro? Análise de Segurança, Privacidade e Auditorias
O Mullvad é seguro? Resultados de auditorias independentes, protocolos de criptografia, análise de jurisdição, teste de kill switch e verificação da política de zero logs.
VPNs Mais Seguras
O Mullvad é Seguro? Uma Avaliação Direta
O Mullvad obtém 86/100 no nosso índice de confiança. Opera sob jurisdição sueca, cobra uma taxa fixa de €5/mês sem necessidade de contas e aplica uma política de zero logs verificada. Auditorias independentes realizadas pela Cure53 e pela Assured AB confirmaram vulnerabilidades mínimas. O Mullvad não armazena registos de conexão, dados de tráfego ou informações pessoalmente identificáveis nos seus 700+ servidores em 50+ países.
Jurisdição Sueca e Solicitações Legais de Dados
A Suécia faz parte da aliança de partilha de inteligência dos 14 Olhos. Isso pode soar alarmante à primeira vista. Na prática, o quadro jurídico conta uma história mais matizada para fornecedores de VPN.
A lei sueca não obriga as empresas de VPN a reter dados de utilizadores. O Mullvad não tem qualquer obrigação de retenção de dados ao abrigo das atuais regulamentações suecas de telecomunicações. Isso significa que as autoridades podem emitir solicitações, mas o Mullvad não tem nada armazenado para entregar.
Em abril de 2023, a polícia sueca entrou fisicamente no escritório do Mullvad em Gotemburgo com um mandado de busca. Os agentes pretendiam apreender computadores com dados de clientes. Os funcionários do Mullvad explicaram que não existiam dados de clientes em nenhuma das máquinas, e a polícia saiu de mãos vazias. Esse teste no mundo real provou que a política de zero logs se mantém sob pressão legal.
Histórico de Auditorias Independentes
O Mullvad concluiu múltiplas auditorias de segurança por terceiros. Cada auditoria examinou diferentes partes da infraestrutura e das aplicações cliente.
Auditoria da Cure53 (2020)
A Cure53, uma empresa de testes de penetração sediada em Berlim, auditou as aplicações do Mullvad VPN em 2020. A equipa identificou 7 vulnerabilidades no total: 2 classificadas com severidade média e 5 com severidade baixa. O Mullvad corrigiu todos os 7 problemas antes de publicar o relatório completo da auditoria publicamente no seu site.
Auditoria da Assured AB (2023)
A Assured AB realizou uma auditoria de infraestrutura aos servidores e sistemas internos do Mullvad em 2023. A avaliação abrangeu configurações de servidores, implementação de criptografia e procedimentos de tratamento de dados. Os resultados confirmaram que a infraestrutura do Mullvad correspondia às suas declarações públicas de zero logs. Nenhuma vulnerabilidade crítica foi descoberta durante este trabalho.
Auditoria de Aplicações da Cure53 (2023)
A Cure53 regressou para uma segunda ronda em 2023, focando-se no código atualizado das aplicações. Este acompanhamento encontrou menos problemas do que a auditoria de 2020. O Mullvad resolveu todas as descobertas e voltou a publicar o relatório completo para revisão pública.
Publicar relatórios completos de auditoria é incomum na indústria de VPN. O Mullvad não redige as descobertas nem seleciona apenas os resultados favoráveis. Essa transparência acrescenta um peso significativo às suas afirmações de segurança.
Política de Logs: O Que o Mullvad Armazena e Não Armazena
Dados que o Mullvad Não Recolhe
O Mullvad não regista dados de tráfego, marcações de tempo de conexão, durações de sessão ou endereços IP. Não armazena consultas DNS, registos de uso de largura de banda ou atribuições de servidores VPN. A atividade da conta permanece completamente desvinculada do comportamento de navegação ou dos metadados de conexão.
Dados que o Mullvad Processa
O Mullvad processa o número total de conexões simultâneas por conta (limitado a 5). Este contador existe em tempo real e não é gravado em nenhum armazenamento persistente. No momento em que se desconecta, o contador decrementa. Nenhum registo histórico persiste.
O Mullvad também processa dados agregados de carga de servidor a curto prazo para otimização de desempenho. Estes dados não contêm qualquer informação identificável do utilizador e rodam automaticamente.
O Sistema de Conta
O Mullvad gera um número de conta aleatório de 16 dígitos. Não é necessário e-mail, nome ou senha. Pode pagar com dinheiro enviado num envelope, Bitcoin ou Monero. Este design elimina completamente as informações pessoalmente identificáveis do processo de registo.
Padrões de Criptografia e Protocolos
O Mullvad suporta dois protocolos: WireGuard e OpenVPN. Ambas as implementações utilizam padrões criptográficos robustos e bem avaliados.
Implementação WireGuard
O WireGuard utiliza ChaCha20 para criptografia simétrica, Curve25519 para troca de chaves e BLAKE2s para hashing. O Mullvad usa WireGuard por padrão em todas as plataformas. Os handshakes de conexão completam-se em menos de 100 milissegundos na maioria das redes.
Implementação OpenVPN
As conexões OpenVPN utilizam AES-256-GCM para criptografia do canal de dados. A troca de chaves depende de certificados RSA-4096 com autenticação SHA-512. O Mullvad configura o OpenVPN com tls-auth para prevenir fingerprinting e ataques DDoS ao túnel VPN.
Túneis Resistentes a Computação Quântica
O Mullvad adicionou troca de chaves pós-quântica aos túneis WireGuard em 2023. Esta funcionalidade combina o encapsulamento de chaves Classic McEliece e Kyber sobre a criptografia padrão do WireGuard. O Mullvad foi o primeiro VPN comercial a implementar esta funcionalidade em plataformas desktop.
Kill Switch e Proteção contra Fugas de DNS
Comportamento do Kill Switch
O kill switch do Mullvad ativa-se por padrão em todas as plataformas. Bloqueia todo o tráfego de internet quando o túnel VPN cai inesperadamente. A implementação opera ao nível do firewall, não ao nível da aplicação. Isso previne fugas mesmo que a aplicação do Mullvad falhe completamente.
No Linux, o Mullvad usa regras nftables para impor o bloqueio de tráfego. No Windows, modifica a Plataforma de Filtragem do Windows. No macOS, usa regras de filtro de pacotes. Cada implementação previne fugas IPv4 e IPv6 simultaneamente.
Proteção contra Fugas de DNS
O Mullvad encaminha todas as consultas DNS através dos seus próprios servidores DNS encriptados. A aplicação bloqueia pedidos DNS do sistema que tentam contornar o túnel. O Mullvad opera servidores DNS em cada localização de servidor VPN, resolvendo as consultas localmente sem reencaminhar para terceiros.
Os utilizadores também podem configurar DNS personalizado dentro da aplicação. Mesmo com DNS personalizado, as consultas continuam a viajar dentro do túnel encriptado. Testes de fuga independentes mostram consistentemente zero fugas de DNS, WebRTC ou IPv6 em todos os clientes Mullvad.
Incidentes de Segurança Anteriores
Busca Policial (Abril de 2023)
Seis agentes da Polícia Nacional Sueca entraram no escritório do Mullvad em Gotemburgo. Transportavam um mandado de busca de um tribunal de distrito a solicitar informações de clientes. O CEO do Mullvad explicou que a empresa não armazena dados de clientes. A polícia não apreendeu nenhum equipamento e saiu após a equipa jurídica do Mullvad contestar a aplicabilidade do mandado.
Nenhuma Violação de Dados Conhecida
Até ao último ciclo de auditoria, o Mullvad não reportou nenhuma violação de dados. Nenhum dado de utilizador apareceu em bases de dados vazadas. Nenhum ataque de credential stuffing se aplica porque o Mullvad não usa senhas nem endereços de e-mail. O sistema de número de conta de 16 dígitos limita substancialmente a superfície de ataque.
Divulgações de Vulnerabilidades
O Mullvad mantém uma abordagem ativa de bug bounty e publica avisos de segurança no seu blog. Todas as vulnerabilidades encontradas durante as auditorias receberam correções no prazo de semanas após a descoberta. A empresa não sofreu qualquer exploração de zero-day na sua infraestrutura de produção.
Funcionalidades de Segurança Únicas
DAITA (Defesa Contra Análise de Tráfego Guiada por IA)
O Mullvad desenvolveu o DAITA para combater ataques de análise de tráfego. Esta funcionalidade uniformiza o tamanho dos pacotes e injeta padrões de tráfego fictícios. Impede que adversários identifiquem quais os sites visitados pelos utilizadores com base em impressões digitais de tráfego.
DNS Encriptado Sobre HTTPS (DoH)
O Mullvad oferece um serviço público de DoH em dns.mullvad.net. Os utilizadores podem encriptar consultas DNS mesmo sem o VPN ativo. O serviço inclui perfis de DNS opcionais com bloqueio de anúncios e rastreadores.
Servidores Sem Disco em Modo RAM
O Mullvad opera toda a sua frota de servidores em modo apenas RAM. Não existem discos rígidos nos servidores. Cada reinicialização apaga todos os dados completamente. Esta arquitetura garante que as apreensões físicas de servidores não produzam qualquer informação utilizável.
Encaminhamento Multihop
Os utilizadores podem encaminhar o tráfego através de 2 servidores VPN separados em países diferentes. Isso acrescenta uma segunda camada de criptografia e separa o ponto de entrada do ponto de saída. O Multihop é configurável diretamente na aplicação sem configuração manual.
A Conclusão sobre a Segurança do Mullvad
O Mullvad merece a sua pontuação de confiança de 86/100 através da sua arquitetura, não de promessas. Servidores apenas em RAM, anonimato de conta, relatórios de auditoria publicados e o resultado verificado de uma busca policial distinguem-no. A taxa fixa de €5/mês sem períodos de teste ou descontos reflete uma empresa focada no serviço em vez do volume de subscritores. Para utilizadores que priorizam a verificação da privacidade em detrimento do número de funcionalidades, o Mullvad continua a ser uma das opções mais sólidas disponíveis nos seus 700+ servidores em 50+ países.
Perguntas Frequentes
O Mullvad é realmente seguro de usar?
Sim. O Mullvad obtém 86/100 no nosso índice de confiança, apoiado por uma política de zero logs verificada, servidores apenas em RAM que se apagam a cada reinicialização, e duas rondas de auditorias independentes. A Cure53 examinou as aplicações em 2020 e novamente em 2023, enquanto a Assured AB auditou a infraestrutura em 2023. Ambos os trabalhos não encontraram problemas críticos, e o Mullvad publicou os relatórios completos publicamente.
A jurisdição sueca do Mullvad expõe dados de utilizadores uma vez que a Suécia é membro dos 14 Olhos?
Não na prática. A lei sueca não impõe qualquer obrigação de retenção de dados aos fornecedores de VPN, portanto o Mullvad não tem nada para entregar mesmo se as autoridades o solicitarem. Isso manteve-se em abril de 2023 quando a polícia sueca entrou no escritório do Mullvad em Gotemburgo com um mandado de busca procurando registos de clientes e saiu sem apreender nada, já que tais dados não existiam.
O que aconteceu durante a busca da polícia sueca ao Mullvad em 2023?
Seis agentes da Polícia Nacional Sueca entraram no escritório do Mullvad em Gotemburgo em abril de 2023 transportando um mandado de um tribunal de distrito procurando informações de clientes. O CEO do Mullvad explicou que a empresa não retém dados de clientes por design. A polícia saiu sem apreender equipamento ou dados, um teste no mundo real da afirmação de zero logs sob pressão legal direta.
O que encontraram as auditorias da Cure53 ao Mullvad em 2020 e 2023?
A auditoria de 2020 da Cure53 às aplicações do Mullvad identificou 7 vulnerabilidades: 2 de severidade média e 5 de severidade baixa, todas corrigidas antes do relatório ser publicado. A Cure53 regressou em 2023 para auditar o código atualizado das aplicações e encontrou menos problemas do que na primeira ronda. O Mullvad abordou cada descoberta e publicou ambos os relatórios completos sem redações.
O que cobriu a auditoria da Assured AB em 2023?
A Assured AB auditou a infraestrutura de servidores e sistemas internos do Mullvad em 2023, revendo configurações de servidores, implementação de criptografia e procedimentos de tratamento de dados. A avaliação confirmou que a infraestrutura do Mullvad correspondia às suas afirmações públicas de zero logs, sem vulnerabilidades críticas descobertas. Combinado com duas auditorias de aplicações da Cure53, o Mullvad teve agora tanto as suas aplicações como a infraestrutura de backend verificadas de forma independente.
Como funciona realmente o sistema de conta anónima do Mullvad?
O Mullvad gera um número de conta aleatório de 16 dígitos em vez de exigir um e-mail, nome ou senha. Pode pagar com cartão, Bitcoin, Monero ou dinheiro enviado por correio num envelope. Este design remove completamente as informações pessoalmente identificáveis do processo de inscrição, o que faz parte da razão pela qual a sua política de zero logs se manteve durante a busca da polícia em 2023 ao seu escritório em Gotemburgo.
Que criptografia o Mullvad usa, e é resistente a computação quântica?
O Mullvad usa por padrão WireGuard, utilizando ChaCha20 para criptografia, Curve25519 para troca de chaves e BLAKE2s para hashing. A sua opção OpenVPN usa AES-256-GCM com certificados RSA-4096. Em 2023, o Mullvad adicionou troca de chaves pós-quântica colocando Classic McEliece e Kyber sobre a criptografia padrão do WireGuard, tornando-o o primeiro VPN comercial a enviar isto em plataformas desktop.
Que informações o Mullvad realmente recolhe sobre a minha conta?
Muito pouco. O Mullvad acompanha apenas o número de conexões simultâneas em tempo real, limitado a 5, que decrementa para zero no momento em que se desconecta e nunca é escrito em armazenamento persistente. Também processa dados agregados de carga de servidor a curto prazo sem informações identificáveis do utilizador. Tráfego, marcações de tempo, consultas DNS e endereços IP nunca são registados.
O kill switch do Mullvad bloqueia confiável fugas se a conexão cair?
Sim. O kill switch do Mullvad funciona ao nível do firewall em vez do nível de aplicação, portanto continua a bloquear tráfego mesmo que a aplicação em si falhe. Usa regras nftables no Linux, a Plataforma de Filtragem do Windows no Windows e regras de filtro de pacotes no macOS, prevenindo fugas IPv4 e IPv6 em cada implementação.
O Mullvad oferece um teste gratuito ou reembolso se não estiver satisfeito?
Não, o Mullvad funciona pay-as-you-go sem período de teste gratuito. Em vez de uma janela de reembolso padrão, os dias não utilizados no seu saldo de conta são reembolsáveis se decidir parar. Isto difere de ProtonVPN e NordVPN, que ambos apoiam planos pagos com uma garantia de devolução de dinheiro de 30 dias em vez de um modelo de reembolso pro-rata.
Quantos dispositivos posso executar numa única conta Mullvad?
Uma única conta Mullvad cobre 5 conexões simultâneas, menos do que os 10 do NordVPN e dentro do intervalo 1-10 que ProtonVPN oferece dependendo do nível de plano. O Mullvad não tem requisito de conta por dispositivo já que a inscrição usa apenas um número de 16 dígitos, portanto os dispositivos se conectam independentemente sem se vincular à identidade pessoal.
Como o preço fixo do Mullvad se compara ao ProtonVPN e NordVPN?
O Mullvad cobra uma única taxa fixa de €5/mês sem escalões de desconto de longo prazo, ao contrário de ProtonVPN (a partir de $2,49/mês no seu plano mais longo) e NordVPN (a partir de $3,49/mês). No desempenho, o Mullvad classifica-se #7 de 22 no nosso Speed Lab, atrás de NordVPN em #1 mas à frente de ProtonVPN em #12.
Posso aceder a Netflix ou Disney+ de forma fiável através do Mullvad?
Inconsistentemente. O Mullvad não constrói tecnologia dedicada para contornar bloqueios geo de streaming, portanto plataformas importantes como Netflix, Disney+ e Prime Video são frequentemente bloqueadas completamente. Suporta BBC iPlayer, 9Now e Channel 4, com resultados variando por servidor. Se o streaming confiável de plataformas principais é o mais importante, um fornecedor com infraestrutura dedicada de streaming é um melhor ajuste.
E se o Mullvad ficar bloqueado numa rede restritiva ou com firewall?
Mude para as definições de ofuscação e QUIC do Mullvad, construídas especificamente para disfarçar tráfego VPN e contornar bloqueio ao nível da rede. Encaminhamento Multihop, que envia tráfego através de dois servidores separados em países diferentes, também pode ajudar se um único ponto de saída estiver a ser filtrado. Teste estas definições antes de confiar na conexão num ambiente restritivo.