ما الذي كشفه اختراق SplitVPN
اختراق بيانات تم الكشف عنه حديثًا وضع SplitVPN، مزود خدمة الشبكة الافتراضية الخاصة، في قلب سؤال مزعج يطفو على السطح باستمرار في قطاع VPN: ماذا يحدث عندما تكتشف أن الشركة التي تعدك بعدم تسجيل نشاطك كانت تسجله على أي حال.
وفقًا للتقارير المتعلقة بالحادث، فقد كشف الاختراق عن حوالي 865,000 سجل مستخدم بالإضافة إلى أرقام بطاقات الدفع الكاملة. وهذا وحده حادث خطير لأي خدمة على الإنترنت. لكن النطاق يتجاوز بكثير معلومات الفوترة. يُقال إن قاعدة البيانات المخترقة تضمنت حسابات إدارية كاملة مع تجزئات كلمات المرور، وسجلات تتبع إجراءات مشغّلي SplitVPN أنفسهم، وتفاصيل البنية التحتية المرتبطة بإعداد حسابات متجر التطبيقات. وقد لاحظ الباحثون الأمنيون الذين راجعوا التسريب أن وجود بيانات اعتماد على المستوى الإداري وبيانات تشغيلية داخلية يشير إلى أن الاختراق قد يمتد إلى ما هو أبعد مما تشير إليه سجلات المستخدمين وحدها.
لكن ربما تكون التفاصيل الأكثر أهمية هي اكتشاف 58 مليون سجل اتصال مخفي داخل قاعدة البيانات نفسها. بالنسبة لمزود VPN، هذا الرقم وحده يُلحق ضررًا بالثقة أكبر من تعريض بيانات بطاقات الدفع أو تسريب بيانات الاعتماد الإدارية مجتمعين.
لماذا تتعارض 58 مليون عملية اتصال مسجّلة مع ادعاءات عدم الاحتفاظ بالسجلات
القيمة الأساسية الكاملة لشبكة VPN تقوم على وعد بسيط: مزود الخدمة يوجّه حركة مرورك، ويشفّرها، ولا يحتفظ بسجل لما فعلته أو متى فعلته. يُسوّق المزودون هذا على أنه "سياسة عدم الاحتفاظ بالسجلات"، وهي غالبًا العبارة الأكثر تكرارًا في إعلانات VPN. هذا هو السبب الذي يجعل المستخدمين المهتمين بالخصوصية يدفعون مقابل الخدمة في المقام الأول.
قاعدة بيانات تحتوي على 58 مليون سجل اتصال ليست مجرد مسألة تقنية افتراضية. إنها دليل مباشر على أن السياسة التي أعلن عنها SplitVPN لعملائه لم تتطابق مع ما كان يحدث فعليًا على خوادمه. سجلات الاتصال من هذا النوع تلتقط عادةً معلومات مثل الطوابع الزمنية، ومدة الجلسة، وعناوين IP المصدر أو الوجهة، وهي بالضبط البيانات الوصفية التي تُصمم بنية عدم الاحتفاظ بالسجلات الحقيقية لتجنب الاحتفاظ بها. وعندما تنتهي هذه البيانات في قاعدة بيانات SQL قابلة للاختراق إلى جانب معلومات الدفع وبيانات الاعتماد الإدارية، فإنها تؤكد أن السجلات كانت موجودة لفترة كافية، وبتنسيق يمكن استرجاعه بما يكفي لسرقتها.
ليست هذه المرة الأولى التي يتعارض فيها تسويق عدم الاحتفاظ بالسجلات لشبكة VPN مع تسريب، ولن تكون الأخيرة. لكن الحجم هنا، عشرات الملايين من سجلات الاتصال الفردية المرتبطة بمئات الآلاف من حسابات المستخدمين، يجعل من SplitVPN دراسة حالة صارخة للفجوة بين ما يقوله المزودون وما يخزنونه. للحصول على تحليل أكثر تفصيلاً لمحتويات قاعدة البيانات المسربة بالضبط ولماذا يُعد تناقض التسجيل مهمًا، تغطيتنا السابقة لاختراق SplitVPN وادعاءات عدم الاحتفاظ بالسجلات تستعرض التفاصيل بشكل أوفى.
كيفية تقييم أمان مزود VPN وممارسات التسجيل لديه
حادثة SplitVPN تذكير مفيد بأن ادعاء عدم الاحتفاظ بالسجلات المطبوع على صفحة تسويقية ليس تحققًا، بل هو وعد. على القراء الذين يقيّمون أي مزود VPN، سواء استخدموا SplitVPN أم لا، البحث عن بعض العلامات الملموسة للمساءلة بدلاً من أخذ لغة السياسة على محملها الظاهري.
التدقيقات الأمنية المستقلة من جهات خارجية هي أقرب شيء للتحقق الحقيقي متاح حاليًا. المزوّد الذي يكلّف شركة خارجية بفحص تهيئة خوادمه وتأكيد عدم الاحتفاظ بالسجلات يمنح المستخدمين شيئًا أكثر جوهرية من سياسة مكتوبة. كما يجدر التحقق مما إذا كان لدى المزود تاريخ موثّق من تقارير الشفافية، وتسريبات تم التعامل معها بصراحة، وجدول زمني واضح للاحتفاظ ببيانات الفوترة ومعلومات الحساب، لأن بيانات الدفع غالبًا ما تكون الجزء الذي يتجاهله المستخدمون عند التركيز فقط على سجلات التصفح. تحليل تناقض سياسة عدم الاحتفاظ بالسجلات لدى SplitVPN يغطي أسئلة إضافية تستحق الطرح قبل الوثوق بادعاءات خصوصية أي مزود.
ماذا يعني هذا بالنسبة لك
إذا كنت مستخدمًا حاليًا أو سابقًا لـ SplitVPN، تعامل مع هذا كحادث نشط يتطلب إجراءً، وليس مجرد عنوان رئيسي تمر عليه سريعًا. تعريض أرقام بطاقات الدفع يعني أن معلوماتك المالية قد تكون معرضة لخطر الاحتيال. تعريض سجلات الاتصال يعني أن النشاط الذي اعتقدت أنه لم يتم تسجيله مطلقًا قد يكون الآن مرتبطًا بحسابك. وتعريض بيانات الاعتماد الإدارية يعني أن المنصة الأساسية نفسها قد لا تكون آمنة إلى أن تؤكد SplitVPN معالجتها.
خطوات يجب اتخاذها إذا كنت من مستخدمي SplitVPN
قم بإلغاء أو استبدال طريقة الدفع المرتبطة بحسابك في SplitVPN وراقب كشوف الحسابات عن كثب بحثًا عن أي معاملات غير مصرح بها. غيّر كلمة مرور SplitVPN فورًا، وإذا كنت قد أعدت استخدام كلمة المرور نفسها في أي مكان آخر، فغيّرها هناك أيضًا. فعّل المصادقة الثنائية على أي حساب تتوفر فيه. انتبه لمحاولات التصيد التي تشير إلى هذا الاختراق، فغالبًا ما يستخدم المهاجمون البيانات المسربة لصياغة عمليات احتيال مقنعة للمتابعة. وأخيرًا، إذا كنت تبحث عن VPN جديد، أعط الأولوية للمزودين الذين لديهم ادعاءات عدم احتفاظ بالسجلات مدققة من جهات مستقلة وليس مجرد سياسات ذاتية الإبلاغ.
تناقض اختراق بيانات SplitVPN مع ادعاءات عدم الاحتفاظ بالسجلات هو إشارة واضحة إلى أن وعود الخصوصية تحتاج إلى إثبات، وليس مجرد نصوص تسويقية. يستحق المستخدمون مزودين قادرين على إثبات ادعاءاتهم، لا مجرد ذكرها.
