ما الذي كشفه خرق SplitVPN
خدمة VPN تُدعى SplitVPN، تُسوَّق كأداة لتجاوز الرقابة على الإنترنت، باتت في قلب تسريب بيانات يقوّض الوعد الذي باعته لمستخدميها. وفقًا لتقرير من Security Affairs، احتوت قاعدة بيانات SQL مسروقة بحجم 17 غيغابايت يُزعم أنها تعود لـ SplitVPN على ملايين السجلات الخاصة بالمستخدمين والأجهزة والمدفوعات، إلى جانب 58 مليون سجل اتصال. هذه النقطة الأخيرة هي الأهم، لأن SplitVPN كانت تعلن عن نفسها كخدمة لا تحتفظ بالسجلات، أي أنها تدّعي أنها لا تسجّل النوع من بيانات النشاط الذي يمكن أن يربط هوية المستخدم بسلوكه على الإنترنت.
حجم التسرّب، عشرات ملايين سجلات الاتصال إلى جانب معلومات الدفع والأجهزة، يوحي بأن الأمر لم يكن مجرد سهو تقني بسيط. إنه يشير إلى ممارسة منهجية للاحتفاظ بالبيانات التي يُفترض بسياسة عدم الاحتفاظ بالسجلات أن تمنعها تمامًا. بالنسبة لخدمة تأسست لمساعدة الأشخاص على تجاوز الرقابة، غالبًا في مناطق تحمل فيها المراقبة الرقمية مخاطر شخصية حقيقية، فإن هذا النوع من الكشف ليس مجرد إحراج. إنه تناقض مباشر مع وعد الأمان الذي اعتمد عليه المستخدمون.
كيف انتهى المطاف بشبكة VPN "لا تحتفظ بالسجلات" إلى تسجيل كل شيء
الفجوة بين ما يقوله مزودو خدمات VPN في تسويقهم وما يحدث فعليًا على خوادمهم ليست مشكلة جديدة، لكن حالة SplitVPN تُذكّر بشكل صارخ بمدى اتساع هذه الفجوة. ادعاء "عدم الاحتفاظ بالسجلات" هو، في جوهره، بيان سياسة. إنه يصف ما تقول الشركة إنها لن تفعله. لا يوجد في هذا البيان أي تحقق تلقائي من خلال آلية تقنية أو جهة خارجية. ما لم يخضع المزوّد لتدقيق مستقل، فإن هذا الادعاء لا يوجد إلا على صفحة ويب.
ما حدث هنا على الأرجح هو نمط شائع في صناعة VPN: بيانات الاتصال الوصفية، والطوابع الزمنية، وعناوين IP، وتفاصيل الجلسات، ومعلومات الحساب تُجمع لأسباب تشغيلية مثل استكشاف الأخطاء، أو منع الاحتيال، أو الفوترة، ولا تُحذف هذه البيانات بالكامل أبدًا. بمرور الوقت، تتراكم لتشكّل بالضبط نوع الملف الشخصي الذي تدّعي سياسة عدم الاحتفاظ بالسجلات أنه غير موجود. عندما يتم اختراق قاعدة بيانات كهذه أو تُترك مكشوفة، يصبح التناقض بين السياسة والتطبيق علنيًا بأسوأ صورة ممكنة.
لماذا لا يمكن الوثوق بادعاءات عدم الاحتفاظ بالسجلات غير المدققة
هذه الحادثة هي دراسة حالة مفيدة حول سبب عدم جواز التعامل مع ادعاء عدم الاحتفاظ بالسجلات، بحد ذاته، كدليل على الخصوصية. يمكن لأي مزود VPN أن يكتب "نحن لا نسجل نشاطك" على صفحته الرئيسية. لا يصبح الادعاء ذا مصداقية إلا عندما يكون مدعومًا بشيء خارجي: تدقيق أمني من طرف ثالث، أو قضية قضائية طلبت فيها السلطات سجلات لم تكن موجودة فعلًا، أو تاريخ شفاف من التقارير العامة المتسقة. بدون هذا النوع من التحقق، تبقى سياسة عدم الاحتفاظ بالسجلات مجرد بيان تسويقي، وليس ضمانًا.
الدرس الأوسع يمتد إلى ما وراء شبكات VPN. الكثير من أدوات الأمان والخصوصية تُطلق وعودًا جريئة تبدو مطمئنة ولكن يصعب على المستخدم العادي التحقق منها. نفس الشك الذي ينطبق هنا يجدر تطبيقه في أماكن أخرى من عالم الأمان؛ فعلى سبيل المثال، التقارير حول مدفوعات برامج الفدية أظهرت بالمثل أن افتراضًا شائعًا، في تلك الحالة أن دفع الفدية يحل المشكلة، لا يصمد بمجرد فحص البيانات المستقلة. الادعاءات تحتاج إلى أدلة، وليس مجرد نية.
كيف تفحص سياسة خصوصية VPN قبل أن تثق بها
قبل الاشتراك في أي VPN، خصوصًا تلك التي تُسوَّق لحالات استخدام عالية المخاطر مثل تجاوز الرقابة، يجدر القيام ببعض الفحوصات الملموسة بدلاً من أخذ شعار عدم الاحتفاظ بالسجلات على ظاهره:
- ابحث عن تدقيق أمني مكتمل ومنشور من طرف ثالث، وليس مجرد إشارة غامضة إلى أنه "تم تدقيقه". يذكر المزوّدون ذوو السمعة الطيبة اسم شركة التدقيق وينشرون النتائج.
- تحقق مما إذا كان لدى المزوّد تاريخ موثّق، يتضمن بشكل مثالي حالات أكدت فيها طلبات سلطات إنفاذ القانون عدم وجود سجلات مفيدة.
- اقرأ سياسة الخصوصية الفعلية، وليس صفحات التسويق فقط، لترى فئات البيانات التي تُجمع لأغراض الفوترة، واستكشاف الأخطاء، أو منع الاحتيال، ومدة الاحتفاظ بهذه البيانات.
- ابحث في ملكية الشركة والولاية القضائية، لأن التزامات الاحتفاظ بالبيانات تختلف بشكل كبير حسب البلد.
ما الذي يعنيه هذا بالنسبة لك
إذا كنت تستخدم SplitVPN، أو أي VPN، فإن تسريب بيانات عدم الاحتفاظ بالسجلات في SplitVPN هو تذكير بأن تعيد تقييم ما إذا كانت الخدمة التي تدفع مقابلها تدعم ادعاءات الخصوصية بأدلة حقيقية بشكل دوري. إذا لم ينشر مزودك تدقيقًا مستقلًا من قبل، فإن هذا يستحق التعامل معه كعلامة تحذير وليس مجرد إجراء شكلي. بالنسبة للمستخدمين في المناطق المعرضة للرقابة، حيث يمكن أن يحمل خرق سجلات الاتصال عواقب شخصية حقيقية، فإن هذا التدقيق ليس اختياريًا؛ إنه ضروري.
خلاصات
تؤكد حادثة SplitVPN حقيقة بسيطة: وعد الخصوصية لا يكون أقوى من الأدلة التي تدعمه. قبل أن تثق بأي VPN فيما يخص بيانات اتصالك، تحقق من ادعائه بعدم الاحتفاظ بالسجلات من خلال التدقيقات المستقلة وتقارير الشفافية بدلاً من الاعتماد على اللغة التسويقية وحدها. راجع سياسة مزودك الحالي، وتحقق من وجود تحقق من طرف ثالث، ولا تتردد في التبديل إذا كانت الأدلة لا تصمد.
