Содержание
Malwarebytes объявила о завершении первого независимого аудита своей VPN-инфраструктуры на предмет no-logs. Проверку провела компания X41 D-Sec, и в итоговом отчёте аудиторы заявили, что не увидели признаков логирования пользовательской активности. Найденные уязвимости, включая одну критическую, Malwarebytes уже закрыла.
Двухмесячный white-box тест и доступ к коду
Проверка прошла в формате white-box. Это когда аудиторам дают не только внешнюю поверхность сервиса, но и «внутренности»: исходники, конфигурации и доступ к компонентам инфраструктуры. По словам Malwarebytes, компания открыла X41 D-Sec доступ к своей кастомной архитектуре приватности после покупки AzireVPN в 2024 году.
Аудит длился два месяца. X41 D-Sec изучала приложения Malwarebytes Privacy VPN на Windows, macOS, iOS и Android, а также серверную часть.
Отдельно аудиторы погрузились в глобальную сеть RAM-only серверов без дисков (diskless). Такой подход снижает риск «следов» на накопителях, но сам по себе не заменяет проверку настроек и доступа.
Что именно подтвердили аудиторы по no-logs
Смысл no-logs в простом обещании: провайдер не хранит данные, по которым можно восстановить вашу активность в сети. В отчёте X41 D-Sec говорится, что техническая архитектура Malwarebytes соответствует заявленной политике приватности, а следов логирования активности пользователей аудиторы не обнаружили.
В официальном отчёте X41 D-Sec формулировка жёсткая и понятная: «During our assessment, we did not observe evidence of user activity logging, and access to systems is tightly controlled, with no unnecessary remote, local, or SSH access exposed». По-русски это звучит так: аудиторы не увидели признаков логирования активности, а доступ к системам строго ограничен, без лишних удалённых, локальных или SSH-точек входа.
Публичную версию отчёта Malwarebytes выложила отдельно. Вот официальный audit report (PDF).
Уязвимости нашли, одну критическую уже закрыли
Аудит no-logs в реальности почти всегда цепляет и безопасность. Так вышло и здесь: X41 D-Sec нашла уязвимости, включая одну критическую.
Malwarebytes не стала замалчивать проблему и сообщила, что работала вместе с аудиторами над исправлениями. По формулировке X41, «most have already been addressed, including one critical issue, with remaining items in the process of being resolved» — то есть большую часть уже закрыли, критическую тоже, а оставшиеся пункты ещё доводят.
В отчёте X41 D-Sec общий уровень защиты оценили как «good security level» для систем сопоставимого размера и сложности.
Гендиректор Malwarebytes Marcin Kleczynski привязал историю к тренду на проверяемую прозрачность: «Trust shouldn’t be a leap of faith; it should be an informed choice based on evidence». По его словам, если VPN-провайдер не готов подтвердить заявления независимым аудитом, к такому сервису стоит относиться осторожнее.
О завершении аудита Malwarebytes публично сообщила 2 апреля 2026 года.
