Una filtración de datos vinculada a SplitVPN, un proveedor de red privada virtual antes conocido como NotVPN, ha expuesto a 865,336 usuarios y aproximadamente 58 millones de registros de conexión. El incidente está generando críticas porque SplitVPN, como muchos servicios de VPN, se promocionaba con una promesa de privacidad: una estricta política de no guardar registros que aseguraba a los usuarios que su actividad en línea nunca sería grabada ni almacenada. La filtración sugiere que esa promesa no se cumplió en la práctica.
Para una industria construida casi enteramente sobre la confianza, este es el tipo de historia que cambia la forma en que la gente evalúa las afirmaciones de un proveedor de VPN. Millones de personas usan VPN precisamente para evitar que sus hábitos de navegación sean rastreados o conservados en algún lugar. Cuando las propias prácticas de registro de un proveedor contradicen su marketing, surgen preguntas difíciles no solo para los clientes de SplitVPN, sino para cualquiera que confíe en una etiqueta de "no guardar registros" como motivo para entregar su tráfico a un servicio.
Lo que ocurrió en la filtración de SplitVPN
Según la divulgación, los datos expuestos incluían 865,336 registros de usuario junto con aproximadamente 58 millones de registros de conexión. Ese volumen de datos de conexión es significativo porque un VPN genuino que no guarda registros no debería generar, y mucho menos almacenar, registros de conexiones de los usuarios a esa escala. La presencia de decenas de millones de registros de conexión socava directamente la garantía de privacidad fundamental que SplitVPN anunciaba a su base de usuarios.
SplitVPN operó anteriormente bajo el nombre de NotVPN antes de cambiar de marca. La filtración de SplitVPN que expuso 865 mil registros y 58 millones de registros de conexión ya ha provocado una conversación más amplia sobre cómo las empresas de VPN verifican y hacen cumplir sus propias políticas de privacidad, especialmente los proveedores más pequeños o menos conocidos que pueden no someterse al mismo nivel de auditoría independiente que los servicios más grandes y establecidos.
Por qué la afirmación de no guardar registros es tan importante
Toda la propuesta de valor de un VPN descansa en la confianza. Los usuarios enrutan su tráfico a través de un servidor de terceros precisamente para que su proveedor de internet, los administradores de red u otros observadores no puedan ver lo que hacen en línea. A cambio, depositan esa misma visibilidad en manos del proveedor del VPN. La política de no guardar registros es el mecanismo que se supone impide que la propia empresa de VPN se convierta en un punto de exposición.
Cuando un proveedor anuncia que no guarda registros pero luego se descubre que ha estado conservando metadatos de conexión, y esos metadatos quedan expuestos en una filtración, se anula el propósito de usar el servicio desde el principio. Los usuarios no solo vieron sus datos expuestos por un atacante externo; sus datos existían en una forma que se prometió que nunca se crearía. Por eso los reguladores, investigadores de seguridad y defensores de la privacidad presionan constantemente para que se realicen auditorías independientes de las afirmaciones de no guardar registros, en lugar de aceptar el lenguaje de marketing tal cual.
Qué datos quedaron expuestos
La filtración de SplitVPN habría implicado registros de cuentas de usuario y decenas de millones de registros de conexión. Este tipo de registros de conexión pueden revelar potencialmente patrones como cuándo se conectó un usuario, durante cuánto tiempo y otros metadatos asociados a sus sesiones de VPN. Incluso sin el historial de navegación completo, este tipo de metadatos puede utilizarse para inferir comportamientos, horarios y hábitos que los usuarios creían que se mantenían en privado.
Para las personas afectadas, la exposición significa que información que asumían que nunca se recopilaba ahora ha quedado vinculada a sus cuentas y potencialmente accesible para terceros no autorizados. Es un escenario diferente y posiblemente más dañino que una filtración de datos típica, porque también destruye la base de confianza sobre la que se vendió el servicio.
Qué significa esto para ti
Si alguna vez has usado SplitVPN o NotVPN, vale la pena tomar esto como una señal para revisar tu cuenta y cambiar cualquier credencial asociada al servicio, incluidas las contraseñas reutilizadas en otras plataformas. En un sentido más amplio, esta filtración es un recordatorio de que "no guardar registros" es una afirmación, no una garantía, a menos que haya sido verificada de forma independiente. Antes de confiar tu tráfico a cualquier proveedor de VPN, busca evidencia de auditorías de terceros, informes de transparencia o un historial documentado de respaldar las promesas de privacidad bajo escrutinio.
También es un buen momento para reevaluar lo que esperas de un VPN. Una política de no guardar registros debería significar que, en primer lugar, no hay nada que filtrar. Si una filtración produce millones de registros de conexión de un proveedor que afirmaba no conservarlos, eso es una señal de alarma significativa sobre cómo opera realmente la empresa en la práctica, independientemente de lo que diga su marketing.
Medidas prácticas
Si eres usuario actual o antiguo de SplitVPN o NotVPN, cambia la contraseña de tu cuenta de inmediato y actualízala en cualquier otro lugar donde la hayas reutilizado. Supervisa tus cuentas de correo electrónico y de pago en busca de actividad sospechosa en las semanas posteriores a esta divulgación. De ahora en adelante, elige proveedores de VPN que publiquen informes de no guardar registros auditados de forma independiente, en lugar de confiar en afirmaciones no verificadas. Y trata cualquier promesa de privacidad, de cualquier proveedor, como algo que verificar en vez de asumir, ya que este incidente demuestra lo rápido que se puede romper una afirmación de no guardar registros.
