NordVPN có an toàn không? Kiểm toán, mã hóa và đánh giá quyền riêng tư

NordVPN có an toàn không?

Có. NordVPN sử dụng mã hóa AES-256, hoạt động theo pháp lý thân thiện với quyền riêng tư của Panama, đã được Cure53 đánh giá các ứng dụng và máy chủ, và cho biết chính sách không ghi nhật ký của họ đã được Deloitte kiểm toán, dù không có báo cáo nào của đơn vị kiểm toán được công bố công khai. Một sự cố máy chủ riêng lẻ năm 2018 không làm lộ bất kỳ dữ liệu người dùng nào. NordVPN đã phản hồi bằng cách chuyển toàn bộ hạ tầng sang máy chủ chỉ chạy trên RAM, nâng cao đáng kể mức độ bảo mật.

Trang này đi sâu vào bảo mật. Về hiệu suất dịch vụ tổng thể và giá cả, xem đánh giá NordVPN của chúng tôi.

Sự cố máy chủ năm 2018: Thực sự đã xảy ra điều gì

Vào tháng 3 năm 2018, một bên không được phép đã truy cập một máy chủ NordVPN duy nhất tại Phần Lan. Theo tuyên bố của NordVPN với TechCrunch[1], kẻ tấn công đã khai thác một hệ thống quản lý từ xa không an toàn do nhà cung cấp trung tâm dữ liệu để lại, và NordVPN không hề biết nó tồn tại.

Kẻ tấn công đã chiếm quyền truy cập vào chính máy chủ đó. Chúng không lấy được thông tin đăng nhập người dùng, hoạt động duyệt web hay thông tin tài khoản. Máy chủ không lưu nhật ký hoạt động nào vì chính sách không ghi nhật ký của NordVPN có nghĩa là không tồn tại gì để đánh cắp.

NordVPN phát hiện vụ xâm nhập trong một đợt kiểm toán nội bộ và công bố công khai vào tháng 10 năm 2019. Sự chậm trễ này đã bị chỉ trích. Công ty thừa nhận thiếu sót và dùng đó làm động lực cho những thay đổi hạ tầng sâu rộng.

NordVPN đã phản hồi như thế nào

NordVPN chấm dứt ngay hợp đồng với trung tâm dữ liệu tại Phần Lan. Sau đó, công ty triển khai ba sáng kiến lớn:

Chuyển sang máy chủ chỉ dùng RAM. NordVPN đã chuyển toàn bộ mạng lưới sang máy chủ không đĩa (chỉ dùng RAM). Những máy chủ này không thể lưu trữ dữ liệu bền vững. Mỗi lần khởi động lại đều xóa sạch mọi thứ. Ngay cả khi máy chủ bị thu giữ vật lý cũng không thu được gì hữu ích.

Chương trình tiền thưởng cho lỗi bảo mật. NordVPN hợp tác với HackerOne để các nhà nghiên cứu bảo mật độc lập liên tục kiểm tra hệ thống. Các nhà nghiên cứu được thưởng khi phát hiện lỗ hổng trước kẻ tấn công.

Chương trình kiểm toán độc lập. NordVPN cho biết đã cam kết kiểm toán bảo mật định kỳ bởi bên thứ ba. Điều này tạo ra trách nhiệm giải trình bên ngoài liên tục thay vì chỉ là sự trấn an một lần.

Sự cố năm 2018 ảnh hưởng đến một máy chủ trong số hàng nghìn máy chủ. Không có dữ liệu người dùng nào bị rò rỉ. Nhưng NordVPN coi đây là lý do để xây dựng lại hạ tầng từ đầu. Cách phản ứng đó quan trọng hơn chính sự cố.

Lịch sử kiểm toán của NordVPN

Các tuyên bố về độ tin cậy mà không có xác minh thì chẳng có ý nghĩa gì. NordVPN đã công bố các đánh giá bảo mật của Cure53 và cho biết đã ủy thác các cuộc đánh giá đảm bảo không ghi nhật ký.

Các đánh giá bảo mật của Cure53

Công ty bảo mật có trụ sở tại Berlin Cure53 đã đánh giá NordVPN nhiều lần. Đợt rà soát tháng 7 đến tháng 8 năm 2022 đối với ứng dụng máy tính và di động cùng các tiện ích bổ sung (báo cáo ngày 22 tháng 2 năm 2023) đã phát hiện 22 vấn đề, trong đó 6 là lỗ hổng bảo mật, gồm 1 mức Nghiêm trọng (leo thang đặc quyền root trên Linux)[2]. Đợt rà soát tháng 9 đến tháng 10 năm 2022 đối với máy chủ và hạ tầng (báo cáo ngày 5 tháng 2 năm 2023) đã phát hiện 11 vấn đề và 1 lỗ hổng bảo mật, đồng thời kết luận nền tảng bảo mật của máy chủ tương đối ổn định[3]. Một đợt đánh giá của Cure53 đối với ứng dụng, tiện ích mở rộng trình duyệt và các tính năng, thực hiện từ tháng 6 đến tháng 8 năm 2024, đã phát hiện 31 vấn đề, trong đó 22 là lỗ hổng bảo mật, không có mức nghiêm trọng nào[4], theo bài đưa tin của TechRadar vào tháng 3 năm 2025.

Các cuộc đảm bảo không ghi nhật ký của NordVPN

NordVPN cho biết đã ủy thác sáu cuộc đảm bảo không ghi nhật ký kể từ năm 2018, lần gần nhất do Deloitte thực hiện vào cuối năm 2025, như TechRadar đã đưa tin[5]. Đây là các cuộc đánh giá do NordVPN ủy thác, và chúng tôi không tìm thấy báo cáo của đơn vị kiểm toán nào được công bố công khai, vì vậy hãy coi đây là lời kể của chính NordVPN.

Kết luận: hạ tầng máy chủ của NordVPN vận hành phù hợp với chính sách không ghi nhật ký. Công ty không lưu dấu thời gian kết nối, thời lượng phiên, địa chỉ IP, dữ liệu duyệt web hay mức sử dụng băng thông.

Minh bạch liên tục

NordVPN cho biết công bố các báo cáo minh bạch định kỳ về yêu cầu dữ liệu từ chính phủ. Chúng tôi không thể đọc độc lập các báo cáo đó, vì vậy hãy coi những gì chúng nói là lời kể của chính NordVPN.

Pháp lý Panama bảo vệ quyền riêng tư của người dùng

Công ty mẹ của NordVPN, Tefincom S.A., hoạt động theo luật pháp Panama. Điều này quan trọng vì ba lý do cụ thể.

Không có yêu cầu lưu giữ dữ liệu bắt buộc. Panama không có luật nào yêu cầu nhà cung cấp VPN lưu trữ hoạt động hay dữ liệu kết nối của người dùng. Nhiều quốc gia châu Âu và Bắc Mỹ bắt buộc thời hạn lưu giữ từ 6 đến 24 tháng. Panama thì không.

Nằm ngoài các liên minh chia sẻ tình báo. Panama đứng ngoài các thỏa thuận giám sát Five Eyes, Nine Eyes và Fourteen Eyes. Các liên minh này chia sẻ dữ liệu tình báo giữa các quốc gia thành viên. Một VPN đặt tại Mỹ, Anh, Canada hay Úc có nguy cơ bị buộc phải tiết lộ. NordVPN thì không.

Tác dụng thực tế đối với yêu cầu dữ liệu. Cơ quan thực thi pháp luật nước ngoài không thể buộc một công ty Panama cung cấp hồ sơ thông qua hệ thống pháp lý của chính họ. Họ phải làm việc thông qua tòa án Panama. Ngay cả khi đó, NordVPN cũng không có nhật ký nào để cung cấp. Yếu tố pháp lý tạo thêm một rào cản mang tính cấu trúc bên cạnh rào cản kỹ thuật.

Mã hóa AES-256 và các tùy chọn giao thức

NordVPN mã hóa toàn bộ lưu lượng bằng AES-256, một độ dài khóa của Advanced Encryption Standard mà NIST công bố dưới dạng FIPS 197[6]. Không có cuộc tấn công đã biết nào có thể vét cạn AES-256 trong khoảng thời gian thực tế. Các ước tính hiện nay cho thấy phải mất hàng tỷ năm với sức mạnh tính toán hiện có.

Giao thức NordLynx

NordLynx là giao thức mặc định của NordVPN. Nó được xây dựng trên WireGuard, vốn mang lại tốc độ cao nhờ mã nguồn gọn nhẹ khoảng 4.000 dòng. WireGuard riêng lẻ có một hạn chế về quyền riêng tư: nó yêu cầu lưu địa chỉ IP tĩnh trên máy chủ.

NordVPN giải quyết điều này bằng hệ thống NAT kép (Network Address Translation). NAT kép gán một địa chỉ giao diện động cho mỗi phiên. Khi phiên kết thúc, địa chỉ đó biến mất. Nhờ vậy, người dùng có được tốc độ của WireGuard mà không phải đánh đổi về quyền riêng tư.

NordLynx được xây dựng trên WireGuard, giúp giảm chi phí giao thức; tốc độ thực tế phụ thuộc vào kết nối và khoảng cách đến máy chủ. Giao thức này xử lý phát trực tuyến, chơi game và tải tệp lớn mà không gặp nghẽn cổ chai.

OpenVPN

OpenVPN vẫn có sẵn cho người dùng ưa thích một giao thức đã được kiểm chứng qua thực tế. Nó chạy trên cả TCP và UDP. TCP đảm bảo độ tin cậy trên các mạng hạn chế. UDP mang lại tốc độ nhanh hơn cho nhu cầu sử dụng thông thường. Mã nguồn mở của OpenVPN đã được cộng đồng bảo mật kiểm toán rộng rãi trong hai thập kỷ.

IKEv2/IPsec

IKEv2/IPsec hoạt động tốt trên thiết bị di động. Nó kết nối lại nhanh khi chuyển đổi giữa Wi-Fi và mạng di động. NordVPN kết hợp nó với mã hóa AES-256. Giao thức này phù hợp với người dùng thường xuyên di chuyển giữa các mạng.

Công tắc ngắt kết nối ngăn rò rỉ dữ liệu khi kết nối bị gián đoạn

Kết nối VPN có thể bị gián đoạn. Khi điều đó xảy ra, lưu lượng không được bảo vệ có thể lộ ra cho ISP của bạn. Công tắc ngắt kết nối của NordVPN ngăn chặn điều này.

Công tắc ngắt kết nối liên tục giám sát kết nối VPN của bạn. Nếu đường hầm bị đứt, nó chặn ngay toàn bộ lưu lượng internet. Không có dữ liệu nào rời khỏi thiết bị cho đến khi VPN kết nối lại. NordVPN cung cấp hai chế độ công tắc ngắt kết nối:

Công tắc cấp ứng dụng. Chế độ này chặn quyền truy cập internet cho các ứng dụng cụ thể khi VPN ngắt kết nối. Các ứng dụng khác vẫn hoạt động bình thường.

Công tắc cấp hệ thống. Chế độ này chặn toàn bộ lưu lượng internet trên toàn thiết bị. Không có gì đi qua nếu không có VPN. Đây là tùy chọn an toàn hơn cho các tác vụ nhạy cảm về quyền riêng tư.

Bảo vệ rò rỉ DNS giữ các truy vấn ở chế độ riêng tư

Các yêu cầu DNS chuyển đổi tên miền thành địa chỉ IP. Nếu không được bảo vệ, các yêu cầu này có thể rò rỉ đến ISP của bạn ngay cả khi đã kết nối VPN. NordVPN định tuyến tất cả truy vấn DNS qua các máy chủ DNS được mã hóa của chính mình.

Điều này ngăn ISP của bạn thấy bạn truy cập những trang web nào. Nó cũng chặn các nhà cung cấp DNS bên thứ ba ghi lại thói quen duyệt web của bạn. Các bài kiểm tra rò rỉ DNS độc lập liên tục xác nhận khả năng bảo vệ của NordVPN hoạt động đúng như quảng cáo.

Threat Protection chặn mã độc và trình theo dõi

Threat Protection hoạt động ở cấp độ mạng. Nó chặn các tên miền độc hại đã biết trước khi chúng tải. Nó loại bỏ các tham số theo dõi khỏi URL. Nó nhận diện và ngăn các lượt tải xuống mã độc.

Threat Protection hoạt động ngay cả khi bạn không kết nối với máy chủ VPN. Trên các nền tảng được hỗ trợ, nó hoạt động như một lớp bảo mật độc lập. AV-TEST, một viện bảo mật độc lập, đã chứng nhận khả năng chặn mã độc của Threat Protection.

Tính năng này quét tệp trong quá trình tải xuống. Nó kiểm tra URL với cơ sở dữ liệu mối đe dọa được cập nhật liên tục. Nó chặn các quảng cáo xâm nhập thường là đường lây mã độc.

Tài liệu tham khảo

1. Z. Whittaker. 2019. NordVPN confirms it was hacked. TechCrunch (21 tháng 10, 2019). Truy xuất 16 tháng 10, 2026 từ https://techcrunch.com/2019/10/21/nordvpn-confirms-it-was-hacked/.Đã lưu trữ: Ảnh chụp Wayback Machine
2. Cure53. 2023. Pentest Report Nordvpn Apps Addons. Truy xuất 16 tháng 10, 2026 từ https://cure53.de/pentest-report_nordvpn-apps-addons.pdf.Đã lưu trữ: Ảnh chụp Wayback Machine
3. Cure53. 2023. Pentest Report Nordvpn Infra. Truy xuất 16 tháng 10, 2026 từ https://cure53.de/pentest-report_nordvpn-infra.pdf.Đã lưu trữ: Ảnh chụp Wayback Machine
4. C. Castro. 2025. NordVPN reacts to results from its latest security audit. TechRadar (7 tháng 3, 2025). Truy xuất 16 tháng 10, 2026 từ https://www.techradar.com/vpn/nordvpn-put-under-scrutiny-the-security-of-all-apps-here-are-the-results.
5. M. Gill. 2026. Independent auditors confirm NordVPN never stores your data – for the 6th time. TechRadar (3 tháng 2, 2026). Truy xuất 16 tháng 10, 2026 từ https://www.techradar.com/vpn/vpn-services/independent-auditors-confirm-nordvpn-never-stores-your-data-for-the-6th-time.Đã lưu trữ: Ảnh chụp Wayback Machine
6. N. I. O. S. A. Technology. 2023. Advanced Encryption Standard (AES). Federal Information Processing Standard (FIPS) 197. U.S. Department of Commerce. DOI: https://doi.org/10.6028/NIST.FIPS.197-upd1.Đã lưu trữ: Ảnh chụp Wayback Machine

Tài nguyên cho trang này

Biểu đồ và hình ảnh tham khảo từ nghiên cứu của chúng tôi, miễn phí xem và chia sẻ.

• 

• Bảo mật NordVPNPDF · 0.7 MB

Câu hỏi thường gặp

Tất cảAn toàn & Quyền riêng tưCách hoạt độngGiáCài đặt & Hỗ trợ

NordVPN có thực sự an toàn khi sử dụng không?

Có. NordVPN mã hóa lưu lượng bằng AES-256, hoạt động theo pháp lý Panama không yêu cầu lưu giữ dữ liệu, và các ứng dụng cùng hạ tầng của họ đã được Cure53 đánh giá, còn họ cho biết Deloitte đã kiểm toán chính sách không ghi nhật ký của mình. Sự cố duy nhất của họ, vụ xâm nhập một máy chủ ở Phần Lan năm 2018, không làm lộ bất kỳ thông tin đăng nhập hay dữ liệu duyệt web nào của người dùng, vì không có nhật ký nào để đánh cắp.

Chính xác điều gì đã xảy ra trong vụ xâm nhập năm 2018 của NordVPN, và hiện tại có đáng lo không?

Một kẻ tấn công đã khai thác công cụ quản lý từ xa mà trung tâm dữ liệu ở Phần Lan để hoạt động mà NordVPN không hề biết, từ đó chiếm quyền truy cập một máy chủ trong số hàng nghìn máy chủ, nhưng trên máy chủ đó không có thông tin đăng nhập, nhật ký duyệt web hay dữ liệu tài khoản nào của người dùng. NordVPN công bố vụ việc vào tháng 10 năm 2019, sau đó chuyển toàn bộ mạng lưới sang máy chủ chỉ dùng RAM, bổ sung chương trình tiền thưởng HackerOne và cam kết kiểm toán định kỳ bởi bên thứ ba.

Những công ty độc lập nào đã kiểm toán bảo mật của NordVPN?

Cure53 đã đánh giá các ứng dụng và tiện ích bổ sung của NordVPN (báo cáo ngày tháng 2 năm 2023), máy chủ và hạ tầng (tháng 2 năm 2023), cũng như các ứng dụng, tiện ích mở rộng và tính năng (tháng 6 đến tháng 8 năm 2024). Ngoài ra, NordVPN cho biết đã ủy thác các cuộc đảm bảo không ghi nhật ký từ Deloitte và các đơn vị khác, nhưng chúng tôi không tìm thấy báo cáo của đơn vị kiểm toán nào được công bố công khai.

Vì sao NordVPN hoạt động từ Panama, và thẩm quyền pháp lý đó thực sự bảo vệ điều gì?

Công ty mẹ của NordVPN, Tefincom S.A., có trụ sở tại Panama chính vì quốc gia này không có luật lưu giữ dữ liệu bắt buộc và đứng ngoài các liên minh chia sẻ tình báo Five Eyes, Nine Eyes và Fourteen Eyes. Cơ quan thực thi pháp luật nước ngoài phải kiến nghị lên tòa án Panama để buộc cung cấp hồ sơ, và ngay cả khi đó, NordVPN cho biết họ không có nhật ký nào để giao nộp.

NordVPN sử dụng mã hóa nào, và liệu nó có thể bị phá vỡ trong thực tế không?

NordVPN sử dụng AES-256, một độ dài khóa của Advanced Encryption Standard theo chuẩn NIST, trên tất cả các giao thức. Không có phương pháp đã biết nào có thể vét cạn AES-256 trong khoảng thời gian thực tế. Các ước tính hiện nay cho thấy một lần thử vét cạn sẽ mất hàng tỷ năm ngay cả với sức mạnh tính toán hiện đại, đó là lý do việc vét cạn khóa không phải là một cuộc tấn công thực tế hiện nay.

NordLynx là gì, và nó khắc phục lỗ hổng quyền riêng tư chính của WireGuard như thế nào?

NordLynx là giao thức mặc định của NordVPN, được xây dựng trên mã nguồn gọn nhẹ của WireGuard để đạt tốc độ nhưng đã được chỉnh sửa để giải quyết điểm yếu cốt lõi của WireGuard: phải lưu một địa chỉ IP tĩnh cho mỗi người dùng trên máy chủ. Hệ thống NAT kép của NordVPN gán cho mỗi phiên một địa chỉ tạm thời, địa chỉ này biến mất khi ngắt kết nối, nhờ đó mang lại hiệu suất của WireGuard mà không để lại một định danh cố định nào.

Công tắc ngắt kết nối của NordVPN thực sự ngăn rò rỉ dữ liệu khi kết nối bị đứt như thế nào?

Công tắc ngắt kết nối của NordVPN liên tục giám sát đường hầm VPN và chặn toàn bộ lưu lượng internet ngay khi kết nối bị đứt, nên không có gì rời khỏi thiết bị của bạn ở trạng thái không được bảo vệ cho đến khi kết nối được khôi phục. Nó có chế độ cấp ứng dụng chỉ chặn các ứng dụng bạn chọn và chế độ cấp hệ thống chặn toàn bộ lưu lượng thiết bị, tùy chọn nghiêm ngặt hơn cho các phiên nhạy cảm về quyền riêng tư như xử lý dữ liệu tài chính.

NordVPN có bảo vệ khỏi rò rỉ DNS có thể làm lộ việc duyệt web của tôi với ISP không?

Có. NordVPN định tuyến tất cả truy vấn DNS qua các máy chủ DNS được mã hóa của chính mình thay vì bộ phân giải mặc định của ISP, ngăn nhà cung cấp của bạn hoặc các dịch vụ DNS bên thứ ba ghi lại các trang web bạn truy cập. Bạn có thể xác nhận nó hoạt động bằng cách chạy bài kiểm tra rò rỉ DNS khi đang kết nối.

Threat Protection của NordVPN chặn những gì, và nó có hoạt động khi không kết nối VPN không?

Threat Protection chặn các tên miền độc hại đã biết trước khi chúng tải, loại bỏ các tham số theo dõi khỏi URL và quét tệp tải xuống để tìm mã độc, tất cả ở cấp độ mạng. Nó hoạt động như một lớp bảo mật độc lập ngay cả khi bạn không kết nối với máy chủ VPN. AV-TEST, một viện bảo mật độc lập, đã chứng nhận khả năng chặn mã độc của nó.

Bảo mật của NordVPN so với ExpressVPN và ProtonVPN ở mức giá tương đương ra sao?

Cả ba đều khởi điểm ở mức giá gần nhau (NordVPN từ $3.09/tháng, ExpressVPN từ $2.99/tháng, ProtonVPN từ $3.49/tháng) và đều có chính sách hoàn tiền trong 30 ngày, nhưng độ sâu kiểm toán thì khác nhau. Các đánh giá của Cure53 dành cho NordVPN đứng cạnh báo cáo đảm bảo của KPMG và các cuộc kiểm toán Cure53 dành cho ExpressVPN, còn ProtonVPN hoạt động theo pháp lý Thụy Sĩ và cho biết chính sách không ghi nhật ký của họ đã được Securitum kiểm toán. NordVPN xếp hạng #1 trên 22 theo Điểm Tin cậy của chúng tôi, được tổng hợp từ các bài kiểm tra bên thứ ba đã công bố; ExpressVPN xếp hạng #2, ProtonVPN xếp hạng #5.

Có cách nào để kiểm tra các tuyên bố bảo mật của NordVPN mà không rủi ro trước khi cam kết không?

Có. NordVPN áp dụng chính sách hoàn tiền trong 30 ngày cho mọi gói, cho bạn đủ một tháng để tự kiểm tra công tắc ngắt kết nối, bảo vệ rò rỉ DNS và Threat Protection trước khi quyết định. Nếu các tính năng bảo mật của NordVPN không đạt yêu cầu của bạn trong khoảng thời gian đó, bạn có thể yêu cầu hoàn tiền mà không cần cam kết dài hạn.

Việc bảo vệ nhiều thiết bị dưới một tài khoản NordVPN có làm giảm mức bảo vệ quyền riêng tư không?

Không. Một tài khoản NordVPN bao gồm 10 kết nối thiết bị đồng thời, và mỗi kết nối đều chạy cùng mã hóa AES-256, công tắc ngắt kết nối và bảo vệ rò rỉ DNS một cách độc lập. Thêm thiết bị không làm loãng bảo mật, vì chính sách không ghi nhật ký của NordVPN áp dụng đồng nhất cho mọi thiết bị đã kết nối thay vì làm rủi ro tăng theo số lượng thiết bị.

Làm thế nào để tôi xác nhận công tắc ngắt kết nối của NordVPN thực sự bảo vệ mình trước khi tin tưởng nó?

Kết nối với một máy chủ NordVPN, sau đó đột ngột ngắt Wi-Fi hoặc rút cáp ethernet giữa phiên để buộc kết nối bị đứt. Công tắc ngắt kết nối hoạt động tốt sẽ chặn toàn bộ lưu lượng internet ngay lập tức thay vì quay về kết nối không được bảo vệ của bạn. Công tắc cấp hệ thống của NordVPN chặn toàn bộ lưu lượng thiết bị, còn phiên bản cấp ứng dụng chỉ hạn chế các ứng dụng đã chọn, vì vậy hãy kiểm tra chế độ bạn định dựa vào.

Bạn nên làm gì nếu lo lắng về nguy cơ lặp lại sự cố máy chủ kiểu năm 2018 của NordVPN?

Bạn không cần làm nhiều, vì phản ứng của NordVPN đã giải quyết nguyên nhân gốc rễ: họ chuyển toàn bộ mạng lưới sang máy chủ chỉ dùng RAM, xóa dữ liệu sau mỗi lần khởi động lại, bổ sung chương trình tiền thưởng HackerOne để kiểm thử lỗ hổng liên tục và cam kết kiểm toán định kỳ bởi bên thứ ba. Nếu vẫn lo ngại, hãy xem các báo cáo minh bạch đã công bố của NordVPN, trong đó cho thấy không có dữ liệu nào để giao nộp.