ExpressVPN

I server di ExpressVPN funzionano interamente in memoria («TrustedServer»), cosa che KPMG ha verificato.

KPMG ha valutato TrustedServer e i controlli relativi all'informativa sulla privacy di ExpressVPN (ISAE 3000 Tipo 1, una valutazione a una data precisa). La più recente era riferita al 28 febbraio 2025 ed è stata pubblicata a giugno 2025; KPMG aveva svolto incarichi precedenti tra il 2022 e il 2024. Anche Cure53 (2022) e PwC (2019) hanno verificato TrustedServer.

ExpressVPN è finanziata dagli abbonamenti e non mostra annunci, anche se dal 2025 lo stesso team gestisce anche EventVPN, una VPN gratuita con pubblicità per i dispositivi Apple.

EventVPN è stata lanciata il 18-19 settembre 2025 come VPN gratuita del team di ExpressVPN che mostra annunci prima e dopo le sessioni; l'azienda dice che i dati pubblicitari sono tenuti separati dall'uso della VPN. L'informativa sulla privacy di ExpressVPN dice che non vende dati personali, ma usa identificatori di installazione e di utente dell'app (e identificatori pubblicitari con il consenso) per misurare l'efficacia del proprio marketing.

ExpressVPN è di proprietà di Kape Technologies, già Crossrider, il cui software precedente era stato classificato come adware e che possiede anche siti di «recensioni» di VPN.

Kape ha acquistato ExpressVPN per 936 milioni di dollari a settembre 2021. Nel 2023 Kape è stata ritirata dalla Borsa da Unikmind Holdings, di proprietà dell'imprenditore Teddy Sagi. Kape possiede anche CyberGhost, Private Internet Access, ZenMate e Intego, e nel 2021 ha acquisito Webselenese, editore di vpnMentor e Wizcase.

Un bug dell'app Windows di ExpressVPN ha inviato alcune richieste DNS, che rivelano i siti che visiti, al di fuori del tunnel VPN per gli utenti dello split tunneling da maggio 2022 a febbraio 2024; ExpressVPN ha rimosso la funzione per risolvere il problema.

ExpressVPN ha rimosso temporaneamente lo split tunneling dalla sua app Windows.

Nel 2021 Daniel Gericke, allora chief information officer di ExpressVPN, ha accettato di pagare 335.000 dollari nell'ambito di un accordo statunitense di sospensione dell'azione penale per attività di hacking svolte per il governo degli Emirati Arabi Uniti prima di entrare in azienda; ExpressVPN ha detto di conoscere i fatti principali del suo passato quando lo ha assunto, e lo ha mantenuto in servizio.

Gericke era uno dei tre ex membri dell'intelligence o delle forze armate statunitensi coinvolti nel caso «Project Raven». Hanno ammesso la responsabilità per violazioni delle norme sul controllo delle esportazioni e sulle frodi informatiche nell'ambito di un accordo di sospensione dell'azione penale (nessuna condanna). È entrato in ExpressVPN a dicembre 2019 e ne è uscito a luglio 2023.

Nel 2017 investigatori turchi hanno sequestrato un server di ExpressVPN durante le indagini sull'assassinio dell'ambasciatore russo; secondo la stampa e secondo ExpressVPN, il server non conteneva log in grado di identificare gli utenti.

Il sequestro è avvenuto a gennaio 2017 ed è diventato pubblico a dicembre 2017. ExpressVPN ha detto di aver comunicato alle autorità turche di non avere log di connessione o di attività, e che il sequestro lo ha confermato. Dopo l'episodio ExpressVPN ha smesso di usare server fisici in Turchia.

Revisori indipendenti hanno verificato che ExpressVPN non conserva log.

PwC (pubblicato il 9 luglio 2019) e KPMG (la più recente al 28 febbraio 2025, ISAE 3000 Tipo 1) hanno attestato che TrustedServer non raccoglie log di attività o di connessione. Tipo 1 significa progettazione e implementazione a una data precisa, non efficacia operativa su un periodo.

ExpressVPN opera dalle Isole Vergini Britanniche, dove nessuna legge impone alle VPN la conservazione dei dati.