Μια βάση δεδομένων VPN «χωρίς αρχεία καταγραφής» εμφανίζεται στο διαδίκτυο
Μια κλεμμένη βάση δεδομένων SQL 17 GB που φέρεται να ανήκει στο SplitVPN, την υπηρεσία VPN που παλαιότερα ήταν γνωστή ως NotVPN, εμφανίστηκε στο διαδίκτυο και το περιεχόμενό της έρχεται σε άμεση αντίθεση με τη μακροχρόνια υπόσχεση απορρήτου της εταιρείας για μη καταγραφή αρχείων. Σύμφωνα με μια ανάλυση των δεδομένων που διέρρευσαν, η βάση δεδομένων περιέχει περίπου 23,4 εκατομμύρια εγγραφές χρηστών, 13,6 εκατομμύρια εγγραφές συσκευών και 2,6 εκατομμύρια εγγραφές πληρωμών. Αυτός ο συνδυασμός προσωπικών δεδομένων, δεδομένων συσκευών και οικονομικών στοιχείων είναι ακριβώς ό,τι μια γνήσια υπηρεσία VPN χωρίς αρχεία καταγραφής δεν θα έπρεπε ποτέ να είναι σε θέση να συλλέξει, πόσο μάλλον να χάσει σε μια παραβίαση.
Η διαρροή φέρεται να άρχισε να κυκλοφορεί στο φόρουμ κυβερνοεγκλήματος Altenen, έναν χώρο που χρησιμοποιείται συχνά για τη διανομή κλεμμένων βάσεων δεδομένων πριν αυτές μεταπωληθούν ή διαλυθούν από άλλους παράγοντες απειλών. Μόλις ένα σύνολο δεδομένων φτάσει σε ένα τέτοιο φόρουμ, τείνει να εξαπλώνεται γρήγορα σε άλλες εγκληματικές αγορές, καθιστώντας τον περιορισμό σχεδόν αδύνατο. Για έναν πάροχο VPN, του οποίου ολόκληρη η πρόταση αξίας βασίζεται στην υπόσχεση ότι δεν διατηρεί δεδομένα δραστηριότητας ή ταυτότητας χρήστη, αυτού του είδους η έκθεση είναι ό,τι πιο επιζήμιο μπορεί να συμβεί.
Γιατί ο ισχυρισμός «χωρίς αρχεία καταγραφής» τίθεται τώρα υπό αμφισβήτηση
Οι πάροχοι VPN προωθούν τις πολιτικές μη καταγραφής ως βασικό σημείο πώλησης: την ιδέα ότι ακόμα κι αν μια κυβέρνηση ή ένας επιτιθέμενος ζητούσε δεδομένα χρηστών, δεν θα υπήρχε τίποτα να παραδώσει. Η κατάσταση του SplitVPN δείχνει γιατί αυτοί οι ισχυρισμοί αξίζουν εξονυχιστικό έλεγχο και όχι τυφλή εμπιστοσύνη. Μια ξεχωριστή ανάλυση του ίδιου περιστατικού διαπίστωσε ότι τα εκτεθειμένα δεδομένα περιλάμβαναν επίσης δεκάδες εκατομμύρια αρχεία καταγραφής συνδέσεων, όπως αναλύεται λεπτομερώς σε μια σχετική αναφορά για την έκθεση 58 εκατομμυρίων αρχείων καταγραφής από το SplitVPN παρά τη δέσμευσή του για μη καταγραφή. Τα αρχεία καταγραφής συνδέσεων, τα αναγνωριστικά συσκευών και τα αρχεία πληρωμών δεν είναι το είδος των πληροφοριών που ένας πάροχος μπορεί εύλογα να ισχυριστεί ότι δεν αποθήκευσε ποτέ.
Αυτό το χάσμα μεταξύ της γλώσσας μάρκετινγκ και των πραγματικών πρακτικών δεδομένων δεν είναι μοναδικό στο SplitVPN, αλλά η κλίμακα εδώ το καθιστά μια αξιοσημείωτη μελέτη περίπτωσης. Εκατομμύρια χρήστες επέλεξαν την υπηρεσία ακριβώς επειδή υποσχόταν απόρρητο και πολλοί πιθανότατα τη χρησιμοποίησαν σε περιοχές όπου η ανωνυμία έχει σημασία για την προσωπική ασφάλεια, όχι μόνο για ευκολία. Όταν οι εσωτερικές πρακτικές ενός παρόχου δεν συνάδουν με τους δημόσιους ισχυρισμούς του, οι συνέπειες εκτείνονται πέρα από την ντροπή. Μπορούν να θέσουν πραγματικούς ανθρώπους σε κίνδυνο, ιδιαίτερα εκείνους που βασίζονται στην υπηρεσία για να αποκρύψουν την ταυτότητα ή την τοποθεσία τους.
Μια πιο προσεκτική ματιά στη βάση δεδομένων που διέρρευσε και την προέλευσή της αξίζει να διαβαστεί πλήρως, συμπεριλαμβανομένου του τρόπου με τον οποίο ο ισχυρισμός της μη καταγραφής δέχθηκε αρχικά πυρά. Μια βαθύτερη εξέταση αυτού του ερωτήματος είναι διαθέσιμη σε αυτήν την ανάλυση για το γιατί οι ισχυρισμοί του SplitVPN περί μη καταγραφής χρειάζονται επαλήθευση, η οποία εξετάζει την αποσύνδεση μεταξύ της πολιτικής που διαφήμιζε το SplitVPN και των δεδομένων που προφανώς διατηρούσε.
Τι σημαίνει αυτό για εσάς
Αν έχετε χρησιμοποιήσει ποτέ το SplitVPN ή τον προκάτοχό του, NotVPN, αντιμετωπίστε το ως ένα μήνυμα για δράση, όχι απλώς για ανάγνωση. Το εκτεθειμένο σύνολο δεδομένων φέρεται να περιλαμβάνει αρχεία πληρωμών, που σημαίνει ότι οικονομικές λεπτομέρειες που συνδέονται με τον λογαριασμό σας θα μπορούσαν να αποτελούν μέρος της διαρροής. Τα αρχεία συσκευών υποδηλώνουν ότι αναγνωριστικά που συνδέονται με το συγκεκριμένο υλικό σας ενδέχεται επίσης να είναι εκτεθειμένα, γεγονός που μπορεί να διευκολύνει κακόβουλους παράγοντες να συσχετίσουν τη χρήση του VPN σας με την πραγματική σας ταυτότητα σε άλλες υπηρεσίες.
Γενικότερα, αυτή η παραβίαση είναι μια υπενθύμιση ότι η πολιτική απορρήτου ενός VPN είναι τόσο καλή όσο η πραγματική υποδομή και οι πρακτικές ασφαλείας της εταιρείας. Ένας ισχυρισμός μη καταγραφής τυπωμένος σε έναν ιστότοπο είναι μια δήλωση μάρκετινγκ, όχι μια τεχνική εγγύηση. Οι πάροχοι που λαμβάνουν σοβαρά υπόψη την υπόσχεση συνήθως υποβάλλονται σε ανεξάρτητους ελέγχους των συστημάτων τους, και ακόμα και τότε, παραβιάσεις συστημάτων χρέωσης ή μεταδεδομένων συσκευών μπορούν ακόμα να συμβούν αν μια εταιρεία συλλέγει περισσότερα από όσα θα έπρεπε για σκοπούς υποστήριξης ή πρόληψης απάτης.
Τι πρέπει να κάνουν τώρα οι χρήστες του SplitVPN
Ξεκινήστε υποθέτοντας ότι η διεύθυνση email σας, και πιθανώς τα στοιχεία πληρωμής σας, έχουν εκτεθεί. Αλλάξτε αμέσως τον κωδικό πρόσβασης του λογαριασμού σας στο SplitVPN και ενημερώστε τον κωδικό οπουδήποτε αλλού μπορεί να τον έχετε επαναχρησιμοποιήσει, καθώς η επαναχρησιμοποίηση διαπιστευτηρίων είναι ένας από τους πιο συνηθισμένους τρόπους με τους οποίους μια μεμονωμένη παραβίαση μετατρέπεται σε πολλαπλές παραβιάσεις λογαριασμών. Αν πληρώσατε με πιστωτική κάρτα, παρακολουθήστε στενά τις κινήσεις σας για μη εξουσιοδοτημένες χρεώσεις και σκεφτείτε να επικοινωνήσετε με τον εκδότη της κάρτας σας αν κάτι φαίνεται άγνωστο.
Αξίζει επίσης να επανεξετάσετε αν θέλετε να συνεχίσετε να χρησιμοποιείτε καθόλου την υπηρεσία. Μια παραβίαση αυτής της κλίμακας, που περιλαμβάνει δεδομένα που ένας πάροχος χωρίς αρχεία καταγραφής δεν θα έπρεπε να έχει διατηρήσει εξαρχής, είναι ένας εύλογος λόγος για να αναζητήσετε αλλού. Όταν αξιολογείτε οποιοδήποτε VPN στο μέλλον, αναζητήστε παρόχους που έχουν δημοσιεύσει ανεξάρτητους ελέγχους τρίτων για τους ισχυρισμούς τους περί μη καταγραφής, αντί να βασίζεστε μόνο στο κείμενο μάρκετινγκ.
Η ευρύτερη εικόνα για την εμπιστοσύνη στα VPN
Το περιστατικό SplitVPN συμβαίνει σε μια στιγμή που η υιοθέτηση VPN συνεχίζει να αυξάνεται μεταξύ των ανθρώπων που αναζητούν βασική προστασία της ιδιωτικότητας στο διαδίκτυο. Αυτή η ανάπτυξη καθιστά περιστατικά όπως αυτό πιο σημαντικά, όχι λιγότερο. Μια μεμονωμένη παραβίαση που επηρεάζει δεκάδες εκατομμύρια εγγραφές διαβρώνει την εμπιστοσύνη όχι μόνο σε έναν πάροχο, αλλά στην ευρύτερη ιδέα ότι μια συνδρομή VPN σημαίνει αυτόματα απόρρητο. Δεν σημαίνει. Το απόρρητο εξαρτάται από το τι κάνει πραγματικά μια εταιρεία στα παρασκήνια, όχι από το τι ισχυρίζεται στην αρχική της σελίδα.
Προς το παρόν, οι επηρεαζόμενοι χρήστες θα πρέπει να επικεντρωθούν στην ασφάλιση των λογαριασμών και των οικονομικών τους, και όλοι οι άλλοι θα πρέπει να το λάβουν ως προτροπή για να κάνουν πιο δύσκολες ερωτήσεις πριν εμπιστευτούν οποιονδήποτε πάροχο με τα δεδομένα τους. Η ανάγνωση ανεξάρτητων ελέγχων, ο έλεγχος του ιστορικού παραβιάσεων μιας εταιρείας και η κατανόηση του τι ακριβώς δεδομένα συλλέγει μια υπηρεσία είναι απλά βήματα που βοηθούν σημαντικά στην αποφυγή του επόμενου πρωτοσέλιδου σαν αυτό.
