كشف خرق بيانات مرتبط بـ SplitVPN، مزود شبكة افتراضية خاصة كان يُعرف سابقًا باسم NotVPN، عن 865,336 مستخدمًا ونحو 58 مليون سجل اتصال. يثير الحادث تساؤلات لأن SplitVPN، شأنه شأن العديد من خدمات VPN، سوّق نفسه على أساس وعد بالخصوصية: سياسة صارمة لعدم الاحتفاظ بالسجلات أخبرت المستخدمين بأن نشاطهم على الإنترنت لن يُسجَّل أو يُحتفَظ به أبدًا. يشير الاختراق إلى أن هذا الوعد لم يصمد عمليًا.
بالنسبة لصناعة تقوم بالكامل تقريبًا على الثقة، فإن هذا النوع من القصص يعيد تشكيل كيفية تقييم الناس لمزاعم مزودي VPN. يستخدم الملايين شبكات VPN تحديدًا لتجنب تتبع عادات التصفح أو الاحتفاظ بها في أي مكان. عندما تتعارض ممارسات التدوين الخاصة بالمزود مع تسويقه، فإن ذلك يثير أسئلة صعبة ليس فقط لعملاء SplitVPN، بل لأي شخص يعتمد على ملصق "عدم الاحتفاظ بالسجلات" كسبب للثقة في الخدمة بحركة مروره.
ماذا حدث في اختراق SplitVPN
وفقًا للإفصاح، تضمنت البيانات المكشوفة 865,336 سجل مستخدم إلى جانب ما يقرب من 58 مليون سجل اتصال. حجم بيانات الاتصال هذا كبير لأن مزود VPN الذي لا يحتفظ بالسجلات فعليًا لا ينبغي أن يولّد، ناهيك عن تخزين، سجلات اتصالات المستخدمين بهذا النطاق. إن وجود عشرات الملايين من سجلات الاتصال يقوض مباشرة ضمان الخصوصية الأساسي الذي روّج له SplitVPN لقاعدة مستخدميه.
كان SplitVPN يعمل سابقًا تحت اسم NotVPN قبل تغيير علامته التجارية. وقد أثار اختراق SplitVPN الذي كشف 865 ألف سجل و58 مليون سجل اتصال بالفعل نقاشًا أوسع حول كيفية تحقق شركات VPN من سياسات الخصوصية الخاصة بها وتطبيقها، لا سيما المزودين الأصغر أو الأقل شهرة الذين قد لا يخضعون لنفس مستوى التدقيق المستقل الذي تخضع له الخدمات الراسخة الأكبر.
لماذا يُعدُّ وعد عدم الاحتفاظ بالسجلات مهمًا جدًا
تعتمد القيمة الكاملة لشبكة VPN على الثقة. يوجّه المستخدمون حركة مرورهم عبر خادم طرف ثالث تحديدًا حتى لا يتمكن مزود خدمة الإنترنت أو مسؤولو الشبكة أو المراقبون الآخرون من رؤية ما يفعلونه عبر الإنترنت. في المقابل، يضعون نفس هذه الرؤية في أيدي مزود VPN. سياسة عدم الاحتفاظ بالسجلات هي الآلية التي يُفترض أن تمنع شركة VPN نفسها من أن تصبح نقطة الانكشاف.
عندما يعلن مزود عن عدم الاحتفاظ بالسجلات ولكن يتبين لاحقًا أنه كان يحتفظ ببيانات وصفية للاتصال، ثم تُكشف هذه البيانات الوصفية في اختراق، فإن ذلك يحبط الغرض من استخدام الخدمة في المقام الأول. لم يتم كشف بيانات المستخدمين فقط من قبل مهاجم خارجي؛ بل كانت بياناتهم موجودة في شكل وُعدوا بأنه لن يُنشأ أبدًا. لهذا السبب يدفع المنظمون والباحثون الأمنيون والمدافعون عن الخصوصية باستمرار نحو إجراء تدقيقات مستقلة لادعاءات عدم الاحتفاظ بالسجلات بدلاً من قبول اللغة التسويقية كما هي.
ما البيانات التي تم كشفها
تضمن اختراق SplitVPN، وفقًا للتقارير، سجلات حسابات المستخدمين وسجلات اتصال تقدر بعشرات الملايين. يمكن لسجلات الاتصال من هذا النوع أن تكشف عن أنماط مثل وقت اتصال المستخدم، والمدة التي قضاها، وغير ذلك من البيانات الوصفية المرتبطة بجلسات VPN الخاصة بهم. حتى بدون سجل التصفح الكامل، يمكن استخدام هذا النوع من البيانات الوصفية لاستنتاج السلوك والتوقيت والعادات التي كان المستخدمون يعتقدون أنها تبقى خاصة.
بالنسبة للأفراد المتأثرين، يعني هذا الكشف أن المعلومات التي افترضوا أنه لم يسبق جمعها أصبحت الآن مرتبطة بحساباتهم ومن المحتمل أن تكون في متناول أطراف غير مصرح لها. هذا سيناريو مختلف، ويمكن القول إنه أكثر ضررًا من اختراق البيانات النموذجي، لأنه يدمر أيضًا أساس الثقة الذي بُنيت عليه الخدمة.
ماذا يعني هذا بالنسبة لك
إذا كنت قد استخدمت SplitVPN أو NotVPN في أي وقت، فمن الجدير اعتبار هذا إشارة لمراجعة حسابك وتغيير أي بيانات اعتماد مرتبطة بالخدمة، بما في ذلك كلمات المرور المُعاد استخدامها على منصات أخرى. على نطاق أوسع، يُعد هذا الاختراق تذكيرًا بأن "عدم الاحتفاظ بالسجلات" هو ادعاء وليس ضمانًا، ما لم يتم التحقق منه بشكل مستقل. قبل أن تثق بأي مزود VPN بحركة مرورك، ابحث عن أدلة على عمليات تدقيق من جهات خارجية، أو تقارير شفافية، أو تاريخ موثّق في الوفاء بوعود الخصوصية تحت المجهر.
إنها أيضًا لحظة مناسبة لإعادة تقييم ما تتوقعه من VPN. ينبغي أن تعني سياسة عدم الاحتفاظ بالسجلات أنه لا يوجد شيء يمكن تسريبه في المقام الأول. إذا نتج عن الاختراق ملايين سجلات الاتصال من مزود ادعى عدم الاحتفاظ بها، فهذا مؤشر خطر واضح على كيفية عمل الشركة فعليًا خلف الكواليس، بغض النظر عما يقوله تسويقها.
نصائح عملية قابلة للتطبيق
إذا كنت مستخدمًا حاليًا أو سابقًا لـ SplitVPN أو NotVPN، فغيّر كلمة مرور حسابك فورًا وحدّثها في أي مكان آخر قد تكون أعدت استخدامها فيه. راقب حسابات بريدك الإلكتروني وحسابات الدفع بحثًا عن أي نشاط مريب في الأسابيع التالية لهذا الإفصاح. في المستقبل، اختر مزودي VPN الذين ينشرون تقارير تدقيق مستقلة لعدم الاحتفاظ بالسجلات بدلاً من الاعتماد على ادعاءات غير موثقة. وتعامل مع أي وعد خصوصية، من أي مزود، كشيء يجب التحقق منه بدلاً من افتراضه، حيث يُظهر هذا الحادث مدى سرعة كسر وعد عدم الاحتفاظ بالسجلات.
