قاعدة بيانات لشبكة VPN "لا تحتفظ بالسجلات" تظهر على الإنترنت
قاعدة بيانات SQL مسروقة بحجم 17 غيغابايت يُزعم أنها تابعة لـ SplitVPN، خدمة VPN التي كانت تُعرف سابقًا باسم NotVPN، قد ظهرت على الإنترنت، وتتناقض محتوياتها بشكل مباشر مع وعد الخصوصية الذي طالما روّجت له الشركة بعدم الاحتفاظ بالسجلات. وفقًا لتحليل البيانات المُسرّبة، تحتوي قاعدة البيانات على ما يقرب من 23.4 مليون سجل مستخدم، و13.6 مليون سجل جهاز، و2.6 مليون سجل دفع. هذا المزيج من البيانات الشخصية وبيانات الأجهزة والبيانات المالية هو بالضبط ما لا ينبغي لخدمة VPN حقيقية لا تحتفظ بالسجلات أن تتمكن من جمعه، ناهيك عن أن تفقده في اختراق.
يُقال إن التسريب بدأ في التداول على منتدى الجرائم الإلكترونية Altenen، وهو مكان يُستخدم بشكل متكرر لتوزيع قواعد البيانات المسروقة قبل إعادة بيعها أو تفكيكها من قبل جهات تهديد أخرى. بمجرد وصول مجموعة بيانات كهذه إلى ذلك النوع من المنتديات، فإنها تميل إلى الانتشار بسرعة عبر الأسواق الإجرامية الأخرى، مما يجعل الاحتواء شبه مستحيل. بالنسبة لمزود خدمة VPN، الذي يقوم عرض قيمته بالكامل على الوعد بعدم الاحتفاظ ببيانات نشاط المستخدم أو هويته، فإن هذا النوع من التعرض هو أكثر ما يمكن أن يكون ضررًا.
لماذا أصبح ادعاء "عدم الاحتفاظ بالسجلات" موضع شك الآن
يُسوّق مزودو خدمة VPN سياسات عدم الاحتفاظ بالسجلات كنقطة بيع أساسية: الفكرة هي أنه حتى لو طلبت جهة حكومية أو مهاجم بيانات المستخدم، فلن يكون هناك ما يمكن تسليمه. يوضح وضع SplitVPN لماذا تستحق هذه الادعاءات التدقيق بدلاً من الثقة العمياء. وجد تحليل منفصل للحادثة نفسها أن البيانات المكشوفة تضمنت أيضًا عشرات الملايين من سجلات الاتصال، كما هو مفصّل في تقرير ذي صلة حول تعرض SplitVPN لـ 58 مليون سجل على الرغم من تعهدها بعدم الاحتفاظ بالسجلات. سجلات الاتصال ومعرفات الأجهزة وسجلات الدفع ليست من نوع المعلومات التي يمكن للمزود أن يدعي بشكل معقول أنه لم يخزنها أبدًا.
هذه الفجوة بين اللغة التسويقية وممارسات البيانات الفعلية ليست فريدة من نوعها بالنسبة لـ SplitVPN، لكن حجم الحالة هنا يجعلها دراسة حالة بارزة. اختار ملايين المستخدمين الخدمة على وجه التحديد لأنها وعدت بالخصوصية، ومن المرجح أن الكثيرين استخدموها في مناطق تكون فيها إخفاء الهوية مهمًا للسلامة الشخصية، وليس فقط للراحة. عندما لا تتوافق الممارسات الداخلية للمزود مع ادعاءاته العلنية، فإن العواقب تمتد إلى ما هو أبعد من الإحراج. يمكن أن تعرض أناسًا حقيقيين للخطر، لا سيما أولئك الذين يعتمدون على الخدمة لإخفاء هويتهم أو موقعهم.
نظرة فاحصة على قاعدة البيانات المُسرّبة وأصولها تستحق القراءة بالكامل، بما في ذلك كيف تعرض ادعاء عدم الاحتفاظ بالسجلات لانتقادات في المقام الأول. يتوفر فحص أعمق لهذا السؤال في هذا التحليل لأسباب ضرورة التحقق من ادعاءات SplitVPN بعدم الاحتفاظ بالسجلات، والذي يستعرض الفجوة بين السياسة التي أعلنت عنها SplitVPN والبيانات التي يبدو أنها احتفظت بها.
ما الذي يعنيه هذا بالنسبة لك
إذا كنت قد استخدمت SplitVPN أو سابقتها NotVPN في أي وقت مضى، فتعامل مع هذا كإشارة للتصرف، وليس فقط للقراءة. يُقال إن مجموعة البيانات المكشوفة تتضمن سجلات دفع، مما يعني أن التفاصيل المالية المرتبطة بحسابك قد تكون جزءًا من التسريب. تشير سجلات الأجهزة إلى أن المعرفات المرتبطة بأجهزتك المحددة قد تكون مكشوفة أيضًا، مما يمكن أن يسهل على الجهات الخبيثة ربط استخدامك للـ VPN بهويتك الحقيقية عبر خدمات أخرى.
على نطاق أوسع، يُعد هذا الاختراق تذكيرًا بأن سياسة خصوصية VPN لا تكون جيدة إلا بقدر البنية التحتية الفعلية للشركة وممارساتها الأمنية. ادعاء عدم الاحتفاظ بالسجلات المطبوع على موقع ويب هو بيان تسويقي، وليس ضمانًا تقنيًا. عادةً ما يخضع المزودون الجادون في هذا الوعد لعمليات تدقيق مستقلة لأنظمتهم، وحتى في هذه الحالة، لا يزال من الممكن حدوث اختراقات لأنظمة الفوترة أو بيانات التعريف بالأجهزة إذا كانت الشركة تجمع أكثر مما ينبغي لأغراض الدعم أو منع الاحتيال.
ما يجب على مستخدمي SplitVPN فعله الآن
ابدأ بافتراض أن عنوان بريدك الإلكتروني، وربما معلومات الدفع الخاصة بك، قد تعرض للاختراق. قم بتغيير كلمة مرور حساب SplitVPN الخاص بك على الفور، وقم بتحديث كلمة المرور في أي مكان آخر قد تكون أعدت استخدامها فيه، حيث أن إعادة استخدام بيانات الاعتماد هي واحدة من أكثر الطرق شيوعًا لتحول اختراق واحد إلى اختراقات متعددة للحسابات. إذا كنت قد دفعت عبر بطاقة ائتمان، فراقب كشوف حسابك عن كثب بحثًا عن رسوم غير مصرح بها، وفكر في الاتصال بمُصدر بطاقتك إذا بدا أي شيء غير مألوف.
من المفيد أيضًا مراجعة ما إذا كنت لا تزال ترغب في استخدام الخدمة على الإطلاق. اختراق بهذا الحجم، يشمل بيانات كان ينبغي لمزود لا يحتفظ بالسجلات ألا يحتفظ بها في المقام الأول، هو سبب مشروع للبحث في مكان آخر. عند تقييم أي VPN في المستقبل، ابحث عن مزودين نشروا عمليات تدقيق مستقلة من طرف ثالث لادعاءاتهم بعدم الاحتفاظ بالسجلات، بدلاً من الاعتماد على النصوص التسويقية وحدها.
الصورة الأكبر حول الثقة في خدمات VPN
تأتي حادثة SplitVPN في وقت يستمر فيه اعتماد VPN في النمو بين الأشخاص الذين يبحثون عن حماية أساسية للخصوصية على الإنترنت. هذا النمو يجعل حوادث مثل هذه أكثر أهمية، وليس أقل. اختراق واحد يؤثر على عشرات الملايين من السجلات يؤدي إلى تآكل الثقة ليس فقط في مزود واحد، بل في الفكرة الأوسع القائلة بأن اشتراك VPN يعني الخصوصية تلقائيًا. لا يعني ذلك. الخصوصية تعتمد على ما تفعله الشركة فعليًا وراء الكواليس، وليس على ما تدعيه على صفحتها الرئيسية.
في الوقت الحالي، يجب على المستخدمين المتضررين التركيز على تأمين حساباتهم وأموالهم، ويجب على الجميع اعتبار هذا حافزًا لطرح أسئلة أصعب قبل الوثوق بأي مزود ببياناتهم. قراءة عمليات التدقيق المستقلة، والتحقق من تاريخ اختراقات الشركة، وفهم البيانات التي تجمعها الخدمة بالضبط، هي خطوات بسيطة تقطع شوطًا طويلاً نحو تجنب العنوان الرئيسي التالي مثل هذا.
