Únik dat spojený se SplitVPN, poskytovatelem virtuální privátní sítě dříve známým jako NotVPN, odhalil 865 336 uživatelů a přibližně 58 milionů záznamů o připojení. Incident přitahuje pozornost, protože SplitVPN, podobně jako mnoho jiných VPN služeb, propagovalo samo sebe příslibem soukromí: přísnou politikou neukládání logů, která uživatelům říkala, že jejich online aktivita nebude nikdy zaznamenávána ani uchovávána. Únik naznačuje, že tento slib v praxi neobstál.

Pro odvětví postavené téměř výhradně na důvěře je to přesně ten druh příběhu, který mění způsob, jakým lidé hodnotí tvrzení poskytovatelů VPN. Miliony lidí používají VPN právě proto, aby se vyhnuli sledování nebo uchovávání svých prohlížecích návyků kdekoli. Když vlastní logovací praktiky poskytovatele odporují jeho marketingu, vyvolává to těžké otázky nejen pro zákazníky SplitVPN, ale pro každého, kdo spoléhá na nálepku „neukládání logů“ jako důvod svěřit službě svůj provoz.

Co se stalo při úniku dat u SplitVPN

Podle zveřejněných informací odhalená data obsahovala 865 336 uživatelských záznamů spolu s přibližně 58 miliony záznamů o připojení. Takový objem dat o připojení je významný, protože skutečná VPN s politikou neukládání logů by neměla generovat, natož uchovávat, záznamy o připojeních uživatelů v takovém rozsahu. Přítomnost desítek milionů záznamů o připojení přímo podkopává základní záruku soukromí, kterou SplitVPN inzerovalo své uživatelské základně.

SplitVPN dříve působilo pod názvem NotVPN, než došlo k rebrandingu. Únik dat u SplitVPN odhalující 865 tisíc záznamů a 58 milionů logů již vyvolal širší diskusi o tom, jak VPN společnosti ověřují a prosazují své vlastní zásady ochrany soukromí, zejména menší nebo méně známí poskytovatelé, kteří nemusí procházet stejnou úrovní nezávislého auditu jako větší, zavedené služby.

Proč na tvrzení o neukládání logů tolik záleží

Celá hodnotová nabídka VPN spočívá na důvěře. Uživatelé směrují svůj provoz přes server třetí strany právě proto, aby jejich poskytovatel internetového připojení, správci sítí nebo jiní pozorovatelé nemohli vidět, co dělají online. Výměnou za to vkládají tuto viditelnost do rukou poskytovatele VPN. Politika neukládání logů je mechanismus, který má zabránit tomu, aby se samotná VPN společnost stala bodem odhalení.

Když poskytovatel inzeruje neukládání logů, ale později se zjistí, že uchovával metadata o připojení, a tato metadata jsou následně odhalena při úniku, maří to samotný účel používání služby. Data uživatelů nebyla jen odhalena vnějším útočníkem; data uživatelů existovala ve formě, o níž bylo slíbeno, že nikdy nevznikne. Proto regulační orgány, bezpečnostní výzkumníci a zastánci soukromí neustále tlačí na nezávislé audity tvrzení o neukládání logů, místo aby přijímali marketingový jazyk za bernou minci.

Jaká data byla odhalena

Únik dat u SplitVPN údajně zahrnoval záznamy uživatelských účtů a záznamy o připojení v řádu desítek milionů. Tyto záznamy o připojení mohou potenciálně odhalit vzorce, jako je doba připojení uživatele, délka připojení a další metadata spojená s jeho VPN relacemi. I bez úplné historie prohlížení lze tento typ metadat použít k odvození chování, načasování a návyků, o nichž uživatelé věřili, že zůstanou soukromé.

Pro postižené jednotlivce odhalení znamená, že informace, o nichž předpokládali, že nebyly nikdy shromážděny, byly nyní spojeny s jejich účty a potenciálně zpřístupněny neoprávněným stranám. To je jiný a pravděpodobně škodlivější scénář než typický únik dat, protože zároveň ničí základ důvěry, na němž byla služba prodávána.

Co to znamená pro vás

Pokud jste někdy používali SplitVPN nebo NotVPN, stojí za to to brát jako signál ke kontrole svého účtu a změně všech přihlašovacích údajů spojených se službou, včetně znovu použitých hesel na jiných platformách. V širším smyslu je tento únik připomínkou, že „neukládání logů“ je tvrzení, nikoli záruka, pokud nebylo nezávisle ověřeno. Než svěříte svůj provoz jakémukoli poskytovateli VPN, hledejte důkazy o auditech třetích stran, zprávy o transparentnosti nebo zdokumentovanou historii, že za svými sliby o soukromí stojí i pod drobnohledem.

Je to také dobrá příležitost přehodnotit, co od VPN očekáváte. Politika neukládání logů by měla znamenat, že na prvním místě není co uniknout. Pokud únik přinese miliony záznamů o připojení od poskytovatele, který tvrdil, že je neuchovává, je to významný varovný signál o tom, jak společnost skutečně funguje v zákulisí, bez ohledu na to, co uvádí její marketing.

Praktické kroky

Pokud jste současným nebo bývalým uživatelem SplitVPN či NotVPN, okamžitě si změňte heslo k účtu a aktualizujte ho všude tam, kde jste ho mohli znovu použít. V týdnech následujících po tomto zveřejnění sledujte podezřelou aktivitu na svých e-mailových a platebních účtech. Do budoucna vybírejte poskytovatele VPN, kteří zveřejňují nezávisle auditované zprávy o neukládání logů, než abyste se spoléhali na neověřená tvrzení. A berte jakýkoli slib o soukromí, od jakéhokoli poskytovatele, jako něco, co je třeba ověřit, nikoli předpokládat, protože tento incident ukazuje, jak rychle může být tvrzení o neukládání logů porušeno.