Mullvad VPN AB jest spółką zależną w całości należącą do Amagicom AB, założoną w 2009 roku w Göteborgu w Szwecji przez Frederika Stromberga i Daniela Berntsona, z których każdy posiada dokładnie 50% udziałów. Firma nie ma zewnętrznych inwestorów, nie korzysta z finansowania venture capital i nie planuje przejęć. Mullvad nie prowadzi programu afiliacyjnego — co oznacza, że serwisy recenzujące nie zarabiają na jego polecaniu, co zdaniem niektórych przekłada się na mniejszą liczbę entuzjastycznych recenzji na skomercjalizowanych platformach porównawczych.
Model kont jest najbardziej anonimowy w branży. Rejestracja generuje losowy numer — nie jest wymagany adres e-mail, imię i nazwisko ani żadne dane osobowe. Płatności można dokonać gotówką wysłaną pocztą w dziesięciu walutach, Monero, Bitcoinem lub tradycyjnymi metodami. Ta kombinacja sprawia, że Mullvad jest jedynym większym dostawcą VPN, w którym anonimowe korzystanie z usługi jest naprawdę osiągalne bez żadnych utrudnień.
Najsilniejszym rzeczywistym potwierdzeniem polityki braku logów Mullvad był nalot przeprowadzony 18 kwietnia 2023 roku, kiedy co najmniej sześciu funkcjonariuszy szwedzkiego Narodowego Departamentu Operacyjnego (NOA) wkroczyło do biura Mullvad w Göteborgu z nakazem przeszukania i zamiarem zajęcia komputerów zawierających dane klientów na potrzeby niemieckiego postępowania karnego. Mullvad wykazał prokuratorom, że żadne dane klientów nie istnieją. Policja wyszła z niczym. To prawdopodobnie najbardziej przekonujący dowód na brak logów, jaki kiedykolwiek przedstawił jakikolwiek dostawca VPN — bardziej rozstrzygający niż audyt, ponieważ miał charakter konfrontacyjny, a nie oparty na współpracy.
Infrastruktura techniczna odzwierciedla tę samą filozofię. Wszystkie serwery działają wyłącznie w trybie RAM, z wykorzystaniem bootloadera System Transparency, co powoduje usunięcie wszystkich danych po ponownym uruchomieniu. Mullvad fizycznie posiada serwery w kluczowych lokalizacjach w UE, w tym w Niemczech, Francji, Finlandii i Szwecji. Pozostałe serwery to dedykowane (nieudostępniane) wynajmy, bez jakichkolwiek wirtualnych lokalizacji. Wszystkie aplikacje klienckie są open-source i dostępne na GitHubie; były wielokrotnie audytowane przez Cure53, Assured AB, Atredis Partners i Radically Open Security.
DAITA (Defense Against AI-guided Traffic Analysis), uruchomiona w maju 2024 roku z aktualizacją v2 w marcu 2025 roku, jest rozwiązaniem naprawdę nowatorskim. Dopełnia wszystkie pakiety do stałego rozmiaru i dwukierunkowo wstrzykuje losowy ruch zastępczy, zakłócając rozpoznawanie wzorców stosowane przez systemy nadzoru oparte na sztucznej inteligencji do identyfikowania aktywności użytkowników VPN nawet przez zaszyfrowane tunele. Zbudowana na akademicko recenzowanym frameworku Maybenot, odpowiada na zagrożenie, którego większość dostawców VPN w ogóle nie uznaje.
Podejście stawiające WireGuard na pierwszym miejscu zapewniło wysokie prędkości w testach: BleepingComputer zmierzył średnią wynoszącą 666 Mbps globalnie, przy minimalnym spadku do Hongkongu (676 Mbps). vpnMentor odnotował niższe wartości ze spadkiem prędkości na poziomie 27–45%, co prawdopodobnie wynika z różnych punktów odniesienia i metodologii. OpenVPN został całkowicie wycofany w styczniu 2026 roku — Mullvad obsługuje teraz wyłącznie WireGuard, co może stanowić problem dla użytkowników starszych routerów lub przestarzałych konfiguracji.
Streaming to świadoma słabość Mullvad. Usługa nie umożliwia niezawodnego odblokowania Netflix US, Hulu, Amazon Prime Video, Disney+ ani większości głównych platform streamingowych. Nie jest to błąd techniczny, lecz świadomy wybór — Mullvad nie inwestuje w rotację adresów IP ani infrastrukturę dedykowaną dla streamingu, ponieważ byłoby to sprzeczne z modelem stawiającym prywatność na pierwszym miejscu. Niektóre brytyjskie serwisy (BBC iPlayer, ITV, Channel 4) działają sporadycznie.
Przekierowanie portów zostało usunięte 1 lipca 2023 roku po nadużyciach — użytkownicy hostowali złośliwe treści i usługi, co skutkowało kontaktami ze strony organów ścigania, umieszczaniem adresów IP na czarnych listach oraz rozwiązywaniem przez dostawców hostingu umów z Mullvad na serwery. Usunięcie tej funkcji wywołało znaczny sprzeciw wśród legalnych użytkowników, którzy potrzebowali jej do torrentowania i samodzielnego hostowania, co skłoniło część z nich do przeniesienia się do AirVPN lub Windscribe.
Stała cena wynosząca 5 EUR/miesiąc (około 5,50 USD) bez rabatów długoterminowych to jednocześnie zaleta i wada. Jest transparentna i uczciwa — bez strategii „bait-and-switch" przy odnowieniu subskrypcji. Jednak w perspektywie dwóch lat jest droższa niż NordVPN, Surfshark, PIA czy CyberGhost w ramach ich ofert wprowadzających. Mullvad ma około 68 000 aktywnych subskrybentów, co czyni go niszowym graczem w porównaniu z szacowanymi 15 milionami użytkowników NordVPN.
Przynależność Szwecji do sojuszu 14 Eyes jest teoretycznym powodem do niepokoju, jednak skrajna minimalizacja danych przez Mullvad — brak kont, brak logów, brak przechowywanych metadanych — oznacza, że nie ma nic, co można by nakazać ujawnić. Wsparcie odbywa się wyłącznie drogą e-mailową z czasem odpowiedzi wynoszącym 12–24 godziny, a maksymalna liczba 5 jednoczesnych połączeń jest poniżej branżowego standardu wynoszącego 10 i więcej.
Partnerstwo z Tailscale (wrzesień 2023 roku) umożliwia użytkownikom sieci mesh Tailscale kierowanie ruchu wychodzącego przez serwery WireGuard Mullvad, rozszerzając ochronę prywatności Mullvad na istniejącą infrastrukturę sieciową. Mullvad Browser, fork Firefoksa współtworzony z Tor Project, zapewnia dodatkową ochronę przed fingerprintingiem podczas przeglądania stron internetowych.