Qué expuso la filtración de SplitVPN

Un servicio VPN llamado SplitVPN, comercializado como una herramienta para eludir la censura en internet, está en el centro de una exposición de datos que socava la misma promesa que vendió a sus usuarios. Según un informe de Security Affairs, una base de datos SQL robada de 17 GB supuestamente vinculada a SplitVPN contenía millones de registros de usuarios, dispositivos y pagos, junto con 58 millones de registros de conexión. Este último detalle es el más importante, porque SplitVPN se anunciaba como un servicio sin registros (no-logs), es decir, afirmaba no guardar el tipo de datos de actividad que podrían vincular la identidad de un usuario con su comportamiento en línea.

La magnitud de la filtración —decenas de millones de registros de conexión junto con información de pago y dispositivos— sugiere que no se trató de un descuido técnico menor. Apunta a una práctica sistémica de conservar exactamente los datos que una política de no-logs debería descartar. Para un servicio creado para ayudar a las personas a eludir la censura, a menudo en regiones donde la vigilancia digital conlleva un riesgo personal real, ese tipo de exposición es más que una vergüenza. Es una contradicción directa de la promesa de seguridad en la que confiaban los usuarios.

Cómo una VPN "sin registros" terminó registrándolo todo

La brecha entre lo que los proveedores de VPN dicen en su marketing y lo que realmente sucede en sus servidores no es un problema nuevo, pero el caso de SplitVPN es un duro recordatorio de cuán amplia puede ser esa brecha. Una afirmación de "no-logs" es, en esencia, una declaración de política. Describe lo que una empresa dice que no hará. Nada en esa declaración se verifica automáticamente mediante un mecanismo técnico o un tercero. A menos que un proveedor se someta a un escrutinio independiente, esa afirmación solo existe en una página web.

Lo que probablemente ocurrió aquí es un patrón común en la industria de las VPN: los metadatos de conexión, las marcas de tiempo, las direcciones IP, los detalles de la sesión y la información de la cuenta se recopilan por razones operativas —como la resolución de problemas, la prevención del fraude o la facturación— y esos datos nunca se eliminan por completo. Con el tiempo, se acumulan hasta formar exactamente el tipo de perfil que una política de no-logs afirma que no existe. Cuando una base de datos así es vulnerada o queda expuesta, la discrepancia entre la política y la práctica se hace pública de la peor manera posible.

Por qué no se puede confiar en las afirmaciones de no-logs no auditadas

Este incidente es un caso de estudio útil sobre por qué una afirmación de no-logs, por sí sola, nunca debe tratarse como prueba de privacidad. Cualquier proveedor de VPN puede escribir "no registramos su actividad" en su página de inicio. La afirmación solo se vuelve creíble cuando está respaldada por algo externo: una auditoría de seguridad realizada por un tercero, un caso judicial en el que las autoridades solicitaron registros que genuinamente no existían, o un historial transparente de informes públicos consistentes. Sin ese tipo de verificación, una política de no-logs es una declaración de marketing, no una garantía.

La lección más amplia se extiende más allá de las VPN. Muchas herramientas de seguridad y privacidad hacen promesas audaces que suenan tranquilizadoras pero que son difíciles de verificar para un usuario promedio. El mismo escepticismo que se aplica aquí vale la pena aplicarlo en otras partes del mundo de la seguridad; por ejemplo, los informes sobre pagos de ransomware han demostrado de manera similar que una suposición común —en ese caso, que pagar un rescate resuelve el problema— no se sostiene una vez que se examinan datos independientes. Las afirmaciones necesitan evidencia, no solo intención.

Cómo evaluar la política de privacidad de una VPN antes de confiar en ella

Antes de suscribirse a cualquier VPN, especialmente una comercializada para casos de uso de alto riesgo como eludir la censura, vale la pena realizar algunas comprobaciones concretas en lugar de aceptar la etiqueta de no-logs sin más:

  • Busque una auditoría de seguridad de terceros completada y publicada, no solo una vaga referencia a haber sido "auditado". Los proveedores de confianza nombran a la firma auditora y publican los hallazgos.
  • Verifique si el proveedor tiene un historial documentado, idealmente incluyendo casos en los que las solicitudes de las fuerzas del orden confirmaron que no existían registros útiles.
  • Lea la política de privacidad real, no solo las páginas de marketing, para ver qué categorías de datos se recopilan para facturación, resolución de problemas o prevención de fraude, y durante cuánto tiempo se conservan esos datos.
  • Investigue la propiedad y la jurisdicción de la empresa, ya que las obligaciones de retención de datos varían significativamente según el país.

Qué significa esto para usted

Si usa SplitVPN, o cualquier VPN, la filtración de datos de no-logs de SplitVPN es un recordatorio para reevaluar periódicamente si el servicio por el que paga respalda sus afirmaciones de privacidad con evidencia real. Si su proveedor nunca ha publicado una auditoría independiente, vale la pena tratar eso como una señal de alerta en lugar de un tecnicismo. Para los usuarios en regiones propensas a la censura, donde una filtración de registros de conexión podría acarrear consecuencias personales reales, este escrutinio no es opcional; es esencial.

Conclusiones

El incidente de SplitVPN subraya una verdad simple: una promesa de privacidad es tan sólida como la evidencia que la respalda. Antes de confiar los datos de su conexión a cualquier VPN, verifique su afirmación de no-logs a través de auditorías independientes e informes de transparencia en lugar de confiar únicamente en el lenguaje de marketing. Revise la política de su proveedor actual, busque verificación por parte de terceros y no dude en cambiar si la evidencia no se sostiene.