CyberGhost có an toàn không? Bảo mật, quyền riêng tư và phân tích kiểm toán

CyberGhost có an toàn không? Mã hóa, kiểm toán và chính sách nhật ký

CyberGhost đạt điểm tin cậy 81/100. Dịch vụ sử dụng mã hóa AES-256, hoạt động theo quyền tài phán của Romania nằm ngoài các liên minh 14 Eyes, và công bố báo cáo minh bạch hằng quý và hằng năm[1]. CyberGhost cho biết cấu hình không lưu nhật ký của họ đã được Deloitte Romania xem xét. CyberGhost định tuyến lưu lượng qua 9,600+ máy chủ tại 100 quốc gia, với tính năng chống rò rỉ tích hợp sẵn.

Quyền tài phán: Vì sao Romania quan trọng

CyberGhost là công ty Romania, CyberGhost S.A., có trụ sở tại Bucharest. Tòa án Hiến pháp Romania đã tuyên bố luật lưu giữ dữ liệu đầu tiên của nước này là vi hiến trong Quyết định 1258/2009[2], và tuyên bố luật thay thế trong Quyết định 440/2014[3], vì vậy Romania không có luật lưu giữ dữ liệu kiểu đó.

CyberGhost khẳng định Romania không thuộc bất kỳ liên minh giám sát quốc tế nào như 5 hay 14 Eyes. Tuy nhiên, Romania là thành viên EU, nên điều này không đồng nghĩa với việc nằm ngoài tầm với của hợp tác pháp lý xuyên biên giới. Cơ quan chức năng Romania vẫn cần lệnh tòa hợp lệ để yêu cầu thông tin từ một công ty.

Ngay cả khi có lệnh tòa, CyberGhost khẳng định họ không thể cung cấp những gì họ không lưu trữ. Công ty mẹ là Kape Technologies, có trụ sở tại Anh, cũng sở hữu ExpressVPN và ZenMate[4].

Lịch sử kiểm toán của CyberGhost

CyberGhost cho biết đã ủy thác ba đợt kiểm toán từ Deloitte Audit Romania đối với máy chủ VPN và các biện pháp kiểm soát không lưu nhật ký: đợt đầu năm 2022, đợt thứ hai được công bố vào tháng 5/2024[5], và đợt thứ ba được công bố vào tháng 2/2026[6]. Công việc năm 2024 được thực hiện theo Chuẩn mực đảm bảo quốc tế ISAE 3000 (Sửa đổi), và báo cáo được gọi là báo cáo đảm bảo có giới hạn[7]. Mỗi đợt là một đánh giá tại một thời điểm, không phải giám sát liên tục. CyberGhost cho biết họ không thể chia sẻ đoạn trích ngoài ngữ cảnh và hướng khách hàng đến báo cáo đầy đủ trong tài khoản của họ. Đây là cách CyberGhost tự mô tả về các đợt kiểm toán này.

CyberGhost đã công bố báo cáo minh bạch hằng năm bao gồm giai đoạn 2011 đến 2022[1] và đã phát hành báo cáo hằng quý từ năm 2020. Các báo cáo này ghi chi tiết số lượng yêu cầu của cơ quan thực thi pháp luật và thông báo DMCA đã nhận. CyberGhost cho biết họ chưa bao giờ cung cấp dữ liệu người dùng để đáp ứng các yêu cầu này vì không có dữ liệu nào tồn tại.

Chính sách không lưu nhật ký của CyberGhost: Những gì được lưu trữ

Chính sách quyền riêng tư của CyberGhost nêu rõ họ không ghi nhật ký lịch sử duyệt web, điểm đến lưu lượng hay truy vấn DNS. Họ cũng không lưu dấu thời gian kết nối, thời lượng phiên hay địa chỉ IP được gán. CyberGhost cho biết chính sách này áp dụng cho toàn bộ máy chủ của họ.

Những gì CyberGhost KHÔNG lưu trữ:

• Hoạt động duyệt web hoặc trang web đã truy cập
• Tên tệp tải xuống hoặc dữ liệu torrent
• Địa chỉ IP gốc hoặc địa chỉ IP VPN được gán
• Dấu thời gian kết nối hoặc độ dài phiên
• Truy vấn DNS hoặc lưu lượng theo từng phiên

Những gì CyberGhost có thu thập:

• Số lần kết nối ẩn danh, được tổng hợp để khắc phục sự cố (không nhận diện người dùng)
• Địa chỉ email tài khoản và thông tin thanh toán để quản lý gói đăng ký
• Loại thiết bị gần đúng cho phân tích cải thiện ứng dụng

CyberGhost sử dụng mã thông báo ẩn danh để xác thực trên máy chủ của họ. Hệ thống này cắt đứt liên kết giữa thông tin đăng nhập tài khoản và phiên VPN của bạn. Công ty không thể đối chiếu một người dùng cụ thể với một kết nối máy chủ cụ thể tại bất kỳ thời điểm nào.

CyberGhost cho biết máy chủ của họ được xây dựng không có bộ nhớ lưu trữ bền vững và chạy từ RAM, nên khởi động lại sẽ xóa những gì đang nằm trong bộ nhớ. Điều này hạn chế những gì một máy chủ bị thu giữ vật lý có thể tiết lộ về các kết nối trước đó.

Tiêu chuẩn mã hóa và giao thức

CyberGhost sử dụng mã hóa AES-256-GCM làm bộ mã mặc định trên tất cả ứng dụng. AES-256 cũng là bộ mã đối xứng được quy định trong bộ thuật toán CNSA 2.0 của NSA[8] dành cho các hệ thống an ninh quốc gia.

CyberGhost hỗ trợ 4 giao thức VPN trên các ứng dụng của mình:

• WireGuard: Mặc định trên hầu hết nền tảng. Sử dụng mã hóa ChaCha20.
• OpenVPN (UDP/TCP): Sử dụng AES-256-GCM. UDP cho tốc độ nhanh hơn. TCP hoạt động tốt hơn trên mạng bị hạn chế.
• IKEv2/IPsec: Ưu tiên trên iOS và thiết bị di động. Xử lý việc chuyển mạng hiệu quả giữa Wi-Fi và di động.
• L2TP/IPsec: Tùy chọn cũ. Có sẵn nhưng không khuyến nghị dùng làm chính.

Bảo mật chuyển tiếp hoàn hảo nghĩa là khóa phiên được tạo mới, nên việc lộ một khóa phiên không làm lộ các phiên trước đó.

Kill switch và chống rò rỉ DNS

CyberGhost có kill switch trên ứng dụng Windows, macOS, iOS, Android và Linux. Kill switch chặn toàn bộ lưu lượng internet nếu kết nối VPN bị ngắt bất ngờ. Tính năng này tự động kích hoạt mà không cần người dùng cấu hình.

Trên Windows và macOS, kill switch hoạt động ở cấp hệ thống. Nó sửa đổi quy tắc tường lửa để ngăn mọi gói tin rời khỏi đường hầm VPN. Kiểm thử bằng công cụ phát hiện rò rỉ tiêu chuẩn cho thấy không có rò rỉ IPv4, IPv6 hay WebRTC nào khi kết nối bị ngắt.

CyberGhost cũng vận hành máy chủ DNS riêng. Mọi truy vấn DNS đều đi qua đường hầm mã hóa tới các bộ phân giải do CyberGhost vận hành. Điều này ngăn ISP và bên thứ ba thấy được tên miền bạn truy cập. Không có dịch vụ DNS bên thứ ba như Google hay Cloudflare xử lý truy vấn của bạn.

Tính năng chống rò rỉ IPv6 được bật mặc định. CyberGhost chặn hoàn toàn lưu lượng IPv6 thay vì định tuyến qua đường hầm. Cách tiếp cận này loại bỏ một lỗ hổng phổ biến mà các VPN giá rẻ thường bỏ qua.

Các sự cố bảo mật trong quá khứ

Chúng tôi không tìm thấy vụ vi phạm nào được CyberGhost xác nhận trên máy chủ VPN của họ. Một nhà cung cấp tình báo mối đe dọa đã tuyên bố về một bản sao dữ liệu năm 2023 liên quan đến CyberGhost, nhưng chúng tôi không tìm thấy xác nhận độc lập hay thông báo nào từ CyberGhost về việc này, nên chúng tôi không coi đó là sự thật đã được xác lập.

Crossrider mua lại CyberGhost năm 2017 và sau đó đổi tên thành Kape Technologies. Crossrider từng có liên quan đến việc phát tán phần mềm quảng cáo, đó là lý do quyền sở hữu này thu hút sự chú ý. CyberGhost khẳng định hoạt động, đội ngũ và hạ tầng của họ vẫn đặt tại Romania.

Các tính năng bảo mật độc đáo

CyberGhost có một số tính năng giúp họ khác biệt so với nhiều đối thủ.

Máy chủ NoSpy: CyberGhost vận hành một nhóm máy chủ cao cấp trong trung tâm dữ liệu riêng tại Romania. Công ty quản lý các máy chủ này độc quyền, không có bên thứ ba tham gia. Máy chủ NoSpy sử dụng đường truyền lên chuyên dụng và chỉ nhân viên CyberGhost mới được truy cập vật lý.

Trình chặn nội dung: Tích hợp sẵn trong ứng dụng, tính năng này chặn quảng cáo, trình theo dõi và tên miền độc hại ở cấp DNS. Việc chặn được xử lý trước khi lưu lượng đến trình duyệt của bạn. Điều này giảm rủi ro lộ dữ liệu mà không cần tiện ích mở rộng trình duyệt riêng.

Tùy chọn IP riêng: Người dùng có thể mua một địa chỉ IP tĩnh chỉ mình họ sử dụng. Hệ thống dựa trên mã thông báo này gán IP mà không liên kết với danh tính tài khoản của bạn. Tính năng giúp tránh CAPTCHA và danh sách chặn đồng thời vẫn giữ quyền riêng tư.

Bảo vệ Wi-Fi tự động: CyberGhost phát hiện các mạng Wi-Fi mới hoặc không an toàn và tự động kết nối VPN. Người dùng có thể đặt quy tắc cho mạng đáng tin cậy và không đáng tin cậy. Tính năng này ngăn việc duyệt web không được bảo vệ ngoài ý muốn tại điểm phát Wi-Fi công cộng.

Chia tách đường truyền (Split Tunneling): Có trên Android và Windows, tính năng này cho phép bạn định tuyến các ứng dụng cụ thể ra ngoài VPN. Bạn chọn ứng dụng nào dùng đường hầm mã hóa và ứng dụng nào dùng kết nối thông thường.

Tài liệu tham khảo

1. Cyberghostvpn. k.n.g. CyberGhost Transparency Report. https://www.cyberghostvpn.com/download/press/transparency/2023/CyberGhost_Transparency_Report.pdf.Đã lưu trữ: Ảnh chụp Wayback Machine
2. European Digital Rights (EDRi). 2009. Romanian Constitutional Court decision against data retention. Truy xuất 18 tháng 10, 2026 từ https://edri.org/our-work/edrigramnumber7-23romania-decision-data-retention/.Đã lưu trữ: Ảnh chụp Wayback Machine
3. European Digital Rights (EDRi). 2014. Romania: The aftermath of the second CCR data retention ruling. Truy xuất 18 tháng 10, 2026 từ https://edri.org/our-work/romania-aftermath-of-second-ccr-data-retention-ruling/.Đã lưu trữ: Ảnh chụp Wayback Machine
4. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.Đã lưu trữ: Ảnh chụp Wayback Machine
5. A. Ailoaiei. 2024. CyberGhost VPN Announces Completion of Second Independent Audit Conducted By Big Four Firm. CyberGhost Privacy Hub (6 tháng 3, 2024). https://www.cyberghostvpn.com/privacyhub/privacy-audit-2024/.Đã lưu trữ: Ảnh chụp Wayback Machine
6. S. Raath. 2025. Third Deloitte Romania Audit Verifies Our Commitment to Privacy. CyberGhost Privacy Hub (8 tháng 12, 2025). https://www.cyberghostvpn.com/privacyhub/privacy-audit-2025/.Đã lưu trữ: Ảnh chụp Wayback Machine
7. CyberGhost VPN. 2024. 30013 ISAE 3000 CyberGhost VPN Report. Truy xuất 18 tháng 10, 2026 từ http://assets.cyberghostvpn.com/files/cg/30013_ISAE_3000_CyberGhost_VPN_report.pdf.
8. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.Đã lưu trữ: Ảnh chụp Wayback Machine

Tài nguyên cho trang này

Biểu đồ và hình ảnh tham khảo từ nghiên cứu của chúng tôi, miễn phí xem và chia sẻ.

• 

• Bảo mật CyberGhostPDF · 0.7 MB

Câu hỏi thường gặp

Tất cảAn toàn & Quyền riêng tưCách hoạt độngCài đặt & Hỗ trợGiá

CyberGhost thực sự an toàn để tin tưởng với dữ liệu của tôi không?

Có. CyberGhost có điểm tin cậy 81/100, sử dụng mã hóa AES-256 mặc định, và hoạt động theo quyền tài phán Romania nằm ngoài các liên minh 5, 9 và 14 Eyes. CyberGhost cho biết Deloitte Romania đã xem xét cấu hình không lưu nhật ký của họ, dù các báo cáo chủ yếu chỉ dành cho khách hàng.

Vì sao quyền tài phán Romania thực sự quan trọng với các tuyên bố về quyền riêng tư của CyberGhost?

Romania không có luật lưu giữ dữ liệu bắt buộc và đã bác bỏ Chỉ thị EU về lưu giữ dữ liệu hai lần, vào năm 2009 và 2014. Việc nằm ngoài cơ chế chia sẻ tình báo 5, 9 và 14 Eyes nghĩa là các cơ quan nước ngoài không thể buộc CyberGhost thông qua thỏa thuận đối tác. Cơ quan chức năng Romania vẫn cần lệnh tòa hợp lệ, và CyberGhost khẳng định họ không thể giao dữ liệu mà họ chưa bao giờ lưu trữ.

CyberGhost đã từng bị rò rỉ dữ liệu hoặc sự cố bảo mật chưa?

Chúng tôi không tìm thấy vụ vi phạm nào đối với hạ tầng VPN của CyberGhost được CyberGhost xác nhận. Một nhà cung cấp tình báo mối đe dọa tuyên bố về một bản sao dữ liệu năm 2023 liên quan đến CyberGhost, nhưng chúng tôi không tìm thấy xác nhận độc lập hay thông báo từ CyberGhost, nên chúng tôi không coi đó là sự thật đã được xác lập.

Những gì hỗ trợ cho các tuyên bố bảo mật của CyberGhost về mã hóa và giao thức?

CyberGhost mặc định sử dụng mã hóa AES-256-GCM và hỗ trợ bốn giao thức: WireGuard (ChaCha20, mặc định trên hầu hết nền tảng), OpenVPN UDP/TCP, IKEv2/IPsec cho thiết bị di động, và tùy chọn cũ L2TP/IPsec. Bảo mật chuyển tiếp hoàn hảo nghĩa là khóa phiên được tạo mới, nên việc lộ một khóa phiên không làm lộ lưu lượng trước đó.

Đã có kiểm toán viên độc lập xác minh chính sách không lưu nhật ký của CyberGhost chưa?

Một phần. CyberGhost cho biết Deloitte Audit Romania đã xem xét máy chủ VPN và các biện pháp kiểm soát không lưu nhật ký của họ ba lần (2022, tháng 5/2024 và tháng 2/2026). Báo cáo năm 2024 được gọi là báo cáo đảm bảo có giới hạn theo ISAE 3000 (Sửa đổi). Mỗi đợt là một đánh giá tại một thời điểm do CyberGhost ủy thác, và CyberGhost cung cấp báo cáo đầy đủ cho khách hàng thay vì công bố đoạn trích. Họ cũng đã công bố báo cáo minh bạch hằng năm từ năm 2011 và báo cáo hằng quý từ năm 2020.

CyberGhost thực sự thu thập thông tin gì nếu không ghi nhật ký hoạt động?

CyberGhost chỉ thu thập email tài khoản và thông tin thanh toán để tính phí, loại thiết bị gần đúng cho phân tích ứng dụng, và số lần kết nối ẩn danh được tổng hợp, chỉ dùng để khắc phục sự cố. Theo chính sách quyền riêng tư đã công bố, họ không lưu lịch sử duyệt web, truy vấn DNS, địa chỉ IP được gán, dấu thời gian hay độ dài phiên.

Làm sao để xác nhận kill switch của CyberGhost thực sự bảo vệ tôi?

Kết nối tới máy chủ CyberGhost trên Windows hoặc macOS, sau đó buộc ngắt mạng giữa phiên. Kill switch hoạt động ở cấp hệ thống, sửa quy tắc tường lửa để không gói tin nào rời khỏi đường hầm, và có trên ứng dụng Windows, macOS, iOS, Android và Linux. Sau khi thiết lập, hãy tự chạy kiểm tra rò rỉ để xác nhận không có rò rỉ IPv4, IPv6 hay WebRTC nào xuất hiện khi mất kết nối.

Điều gì xảy ra nếu DNS hoặc lưu lượng IPv6 của CyberGhost bị rò rỉ?

Trong điều kiện sử dụng bình thường thì không nên xảy ra: CyberGhost vận hành bộ phân giải DNS riêng nên truy vấn không đến ISP hay bên thứ ba như Google hoặc Cloudflare, và mặc định chặn hoàn toàn lưu lượng IPv6 thay vì đưa vào đường hầm, đóng một đường rò rỉ mà các VPN giá rẻ thường bỏ sót. Nếu nghi ngờ rò rỉ, hãy chạy công cụ phát hiện rò rỉ tiêu chuẩn khi đang kết nối để xác nhận.

Việc Kape Technologies sở hữu CyberGhost có đặt ra vấn đề về quyền riêng tư không?

Kape Technologies, công ty mẹ có trụ sở tại Anh của CyberGhost, trước đây là Crossrider, từng có liên quan đến phần mềm quảng cáo trước khi mua CyberGhost năm 2017. CyberGhost khẳng định đội ngũ và hạ tầng của họ vẫn đặt tại Romania. Kape cũng sở hữu ExpressVPN, Private Internet Access và ZenMate, nên nhiều thương hiệu VPN lớn có chung một chủ sở hữu.

Hồ sơ bảo mật của CyberGhost so với NordVPN và ExpressVPN ra sao?

CyberGhost đứng thứ #7 trên 22 theo Điểm Tin cậy của chúng tôi, tổng hợp từ các bài kiểm tra bên thứ ba đã công bố, so với NordVPN thứ #1 và ExpressVPN thứ #2. Cả ba đều đã công bố một số tài liệu kiểm toán bên thứ ba (CyberGhost cho biết Deloitte Romania đã xem xét cấu hình không lưu nhật ký của họ, NordVPN đã công bố đánh giá của Cure53, ExpressVPN có báo cáo đảm bảo của KPMG và kiểm toán Cure53), và đều cung cấp mã hóa AES-256 cùng kill switch, dù CyberGhost cũng có thời hạn hoàn tiền 45 ngày.

Tôi có thể bảo vệ bao nhiêu thiết bị dưới các tính năng bảo mật của CyberGhost?

Một tài khoản CyberGhost cho phép 7 thiết bị kết nối đồng thời, mỗi thiết bị được hưởng cùng kill switch, mã hóa AES-256 và chống rò rỉ DNS. So sánh với 10 thiết bị của NordVPN hoặc từ 10 đến 14 thiết bị của ExpressVPN tùy gói, CyberGhost còn cung cấp máy chủ NoSpy, hạ tầng Romania thuộc sở hữu công ty không có bên thứ ba tham gia, như một lớp bảo vệ bổ sung cho nhu cầu nhạy cảm.

Nếu sau khi đăng ký tôi không tin vào các tuyên bố về quyền riêng tư của CyberGhost thì sao?

CyberGhost áp dụng chính sách hoàn tiền trong 45 ngày cho mọi gói, giúp bạn có thêm thời gian kiểm tra kill switch, chạy công cụ phát hiện rò rỉ và tự xem các báo cáo minh bạch hằng quý trước khi cam kết. Nếu các tuyên bố không lưu nhật ký không đứng vững khi bạn tự kiểm chứng, bạn có thể hủy trong thời hạn đó.

CyberGhost có thể bị buộc giao dữ liệu của tôi nếu cơ quan chức năng yêu cầu không?

Chỉ khi có lệnh tòa Romania hợp lệ, và ngay cả khi đó CyberGhost khẳng định họ không có gì để giao vì không lưu dữ liệu duyệt web, kết nối hay DNS. CyberGhost công bố báo cáo minh bạch hằng quý ghi chi tiết các yêu cầu của cơ quan thực thi pháp luật và thông báo DMCA, và cho biết họ chưa bao giờ cung cấp dữ liệu người dùng để đáp ứng các yêu cầu này vì không có dữ liệu nào tồn tại.