Mullvad VPN AB è una sussidiaria interamente di proprietà di Amagicom AB, fondata nel 2009 a Gothenburg, in Svezia, da Fredrik Stromberg e Daniel Berntsson, ciascuno dei quali detiene esattamente il 50% delle quote. Non ci sono investitori esterni, nessun capitale di rischio e nessun piano di acquisizione. L'azienda non gestisce un programma di affiliazione — il che significa che i siti di recensioni non guadagnano nulla dal raccomandarlo, il che secondo alcuni si traduce in un numero inferiore di recensioni entusiastiche sulle piattaforme di confronto monetizzate.
Il modello degli account è il più anonimo del settore. La registrazione genera un numero casuale — nessun indirizzo email, nessun nome, nessun dato personale richiesto. Il pagamento può essere effettuato con contanti inviati per posta in dieci valute, Monero, Bitcoin o metodi tradizionali. Questa combinazione rende Mullvad l'unico grande VPN in cui l'utilizzo anonimo è genuinamente realizzabile senza complicazioni.
La conferma più concreta nella realtà della politica di assenza di log di Mullvad è arrivata il 18 aprile 2023, quando almeno sei agenti del Dipartimento Nazionale Operazioni (NOA) della Svezia hanno perquisito l'ufficio di Mullvad a Gothenburg con un mandato di perquisizione per sequestrare computer contenenti dati dei clienti nell'ambito di un'indagine penale tedesca. Mullvad ha dimostrato ai pubblici ministeri che non esistono dati dei clienti. La polizia è andata via a mani vuote. Questa è probabilmente la prova di assenza di log più convincente che qualsiasi VPN abbia mai prodotto — più definitiva di un audit perché era di natura avversariale piuttosto che cooperativa.
L'infrastruttura tecnica riflette la stessa filosofia. Tutti i server operano in modalità RAM-only utilizzando il bootloader System Transparency, cancellando tutti i dati al riavvio. Mullvad possiede fisicamente server in posizioni chiave nell'UE, tra cui Germania, Francia, Finlandia e Svezia. I server rimanenti sono noleggi dedicati (non condivisi) senza location virtuali in nessun luogo. Tutte le applicazioni client sono open-source su GitHub e sono state sottoposte a numerosi audit da parte di Cure53, Assured AB, Atredis Partners e Radically Open Security.
DAITA (Defense Against AI-guided Traffic Analysis), lanciato a maggio 2024 con un aggiornamento v2 a marzo 2025, è genuinamente innovativo. Uniforma tutti i pacchetti a una dimensione costante e inietta traffico fittizio casuale in modo bidirezionale, perturbando il riconoscimento dei pattern che i sistemi di sorveglianza basati sull'intelligenza artificiale utilizzano per identificare l'attività degli utenti VPN anche attraverso tunnel cifrati. Costruito sul framework Maybenot, oggetto di revisione accademica tra pari, affronta una minaccia che la maggior parte dei VPN non riconosce.
L'approccio WireGuard-first ha prodotto velocità elevate durante i test: BleepingComputer ha misurato una media di 666 Mbps a livello globale, con una degradazione minima verso Hong Kong (676 Mbps). vpnMentor ha registrato valori inferiori con una perdita di velocità del 27-45%, probabilmente riflettendo baseline e metodologie differenti. OpenVPN è stato completamente deprecato a gennaio 2026 — Mullvad è ora esclusivamente WireGuard, il che potrebbe influire sugli utenti con router più vecchi o configurazioni legacy.
Lo streaming è il punto debole deliberato di Mullvad. Non è in grado di sbloccare in modo affidabile Netflix US, Hulu, Amazon Prime Video, Disney+ o la maggior parte delle principali piattaforme di streaming. Non si tratta di un fallimento tecnico, ma di una scelta consapevole — Mullvad non investe nella rotazione degli IP o in un'infrastruttura specifica per lo streaming perché farlo contrasterebbe con il suo modello che antepone la privacy. Alcuni servizi britannici (BBC iPlayer, ITV, Channel 4) funzionano in modo intermittente.
Il port forwarding è stato rimosso il 1° luglio 2023 a causa di abusi — gli utenti ospitavano contenuti e servizi dannosi, causando contatti da parte delle forze dell'ordine, blacklisting degli IP e cancellazione dei contratti server di Mullvad da parte dei provider di hosting. La rimozione ha generato notevoli proteste da parte di utenti legittimi che ne avevano bisogno per il torrenting e il self-hosting, spingendo alcuni a migrare verso AirVPN o Windscribe.
Il prezzo fisso di 5 EUR/mese (circa 5,50 $) senza sconti a lungo termine è allo stesso tempo un punto di forza e di debolezza. È trasparente e onesto — nessun prezzo di rinnovo ingannevole. Ma è più costoso nel corso di due anni rispetto a NordVPN, Surfshark, PIA o CyberGhost con i loro piani introduttivi. Mullvad conta circa 68.000 abbonati attivi, rendendolo un operatore di nicchia rispetto ai circa 15 milioni stimati di NordVPN.
L'appartenenza della Svezia ai 14 Eyes è una preoccupazione teorica, ma la minimizzazione estrema dei dati da parte di Mullvad — nessun account, nessun log, nessun metadato memorizzato — significa che non c'è nulla da imporre di divulgare. Il supporto è disponibile solo via email con tempi di risposta di 12-24 ore, e il massimo di 5 connessioni simultanee è al di sotto dello standard del settore di 10 o più.
La partnership con Tailscale (settembre 2023) consente agli utenti della rete mesh di Tailscale di instradare il traffico in uscita attraverso i server WireGuard di Mullvad, estendendo la privacy di Mullvad a un'infrastruttura di rete esistente. Il Mullvad Browser, un fork di Firefox co-sviluppato con il Tor Project, fornisce un'ulteriore resistenza al fingerprinting per la navigazione web.