Una base de datos SQL de 17 GB que circula actualmente en el foro de cibercrimen Altenen ha puesto el foco en una de las promesas más repetidas de la industria de las VPN: la política de no registros. La base de datos, que se afirma fue robada de SplitVPN (anteriormente conocido como NotVPN), una VPN rusa comercializada específicamente para eludir la censura en internet, supuestamente contiene alrededor de 23.4 millones de registros de usuarios y aproximadamente 58 millones de registros de conexiones. Es una cifra impresionante para un servicio que basó su marketing en la idea de que no guarda registros en absoluto.

Esto no es solo una historia sobre un proveedor de VPN que fue hackeado. Es un recordatorio de que una política de privacidad es tan buena como las prácticas que la respaldan, y que la violación de las afirmaciones de no registros en SplitVPN ilustra exactamente por qué los usuarios deben mirar más allá de los textos de marketing antes de confiar su tráfico a un proveedor.

Qué ocurrió en la filtración de SplitVPN

Según informes de Security Affairs, un actor de amenazas comenzó a distribuir la base de datos en un conocido foro de cibercrimen, y los investigadores de Mysterium obtuvieron una copia y la verificaron comparándola con el volcado original. Su análisis confirmó la escala: millones de cuentas de usuario, información de dispositivos, detalles de pago y metadatos de conexiones, todo ello supuestamente extraído de un servicio cuya propuesta de valor se basaba por completo en no conservar precisamente este tipo de datos.

Cubrimos el desglose técnico del conjunto de datos expuesto en detalle en nuestro artículo anterior sobre la filtración de SplitVPN que expone 58 millones de registros, incluyendo qué categorías de datos se informó que estaban incluidas y cómo se verificó la filtración. Si usas o has usado SplitVPN, vale la pena leer esa cobertura completa, ya que detalla qué información pudo haber quedado expuesta y qué pasos deberían considerar los usuarios afectados.

El problema central no es solo que haya ocurrido una filtración. Las filtraciones ocurren en empresas de todos los sectores. El problema es la brecha entre lo que SplitVPN decía a los usuarios sobre sus prácticas de datos y lo que la base de datos filtrada parece mostrar. Si una VPN se anuncia como una herramienta para eludir la censura sin registros, y una base de datos robada muestra decenas de millones de registros de conexiones, eso no es una discrepancia menor. Es una contradicción directa de la promesa principal del producto.

Por qué los registros de conexión socavan las promesas de no registros

Los registros de conexión no son lo mismo que el historial de navegación, pero aun así pueden ser muy reveladores. Un registro de conexión típicamente registra cuándo un usuario se conectó a un servidor VPN, qué servidor usó, cuánto duró la sesión y, a veces, la dirección IP desde la que se conectó. Para una VPN comercializada para personas que intentan eludir la censura de internet, ese tipo de metadatos puede ser sensible por sí mismo, ya que potencialmente puede usarse para establecer patrones de cuándo y cómo alguien accedió a internet, incluso sin saber exactamente qué hizo una vez conectado.

Una verdadera política de no registros significa que un proveedor diseña sus sistemas para que esta información simplemente no se conserve, ya sea mediante servidores solo con RAM, datos de sesión que se descartan inmediatamente o infraestructura que nunca escribe metadatos de conexión en el disco. Cuando una filtración revela millones de registros de conexión almacenados en una base de datos, sugiere que el proveedor estaba recopilando y almacenando exactamente el tipo de información que su marketing decía que no haría. Ese es el problema central que ilustra el incidente de SplitVPN: la promesa y la práctica aparentemente no coincidían.

Cómo verificar las afirmaciones de no registros de una VPN antes de confiar en ella

Las páginas de marketing son fáciles de escribir. Las pruebas verificables son más difíciles de falsificar, y es lo que separa una afirmación creíble de no registros de una vacía. Antes de confiar tu tráfico a una VPN, busca algunas señales concretas:

Las auditorías independientes importan más que las políticas autoinformadas. Una firma de seguridad de terceros de buena reputación que revise la configuración del servidor de un proveedor y confirme que no se almacenan registros identificativos tiene mucho más peso que un párrafo en una página de política de privacidad.

Los casos judiciales y las solicitudes de las fuerzas del orden pueden servir como pruebas del mundo real. Si un proveedor ha sido obligado anteriormente a entregar datos de usuarios y simplemente no tenía nada que dar, esa es una señal más fuerte que una afirmación no verificada.

Los informes de transparencia, la jurisdicción y el historial de propiedad también importan. Un proveedor con sede en un país con leyes estrictas de protección de datos, que publica informes regulares de transparencia y con una estructura de propiedad clara es, por lo general, más fácil de responsabilizar que uno que oculta quién lo dirige.

Lista de verificación: señales de alerta al elegir una VPN centrada en la privacidad

Al evaluar un proveedor de VPN, presta atención a estas señales de advertencia: no se ha publicado nunca una auditoría independiente o la auditoría tiene años de antigüedad; la propiedad o jurisdicción de la empresa no está clara o cambia con frecuencia; la política de privacidad utiliza un lenguaje vago sobre datos "anonimizados" o "agregados" sin explicar qué se recopila realmente; no hay informe de transparencia o historial de respuesta a solicitudes legales; y el servicio ha cambiado de marca anteriormente (como SplitVPN lo hizo desde NotVPN) sin una explicación clara de lo que cambió operativamente.

Lo que esto significa para ti

Si actualmente usas SplitVPN, considera esto como una señal para revisar la cobertura sobre la filtración de SplitVPN que expone 58 millones de registros y considera si la información de tu cuenta, dispositivo o pago pudo haber estado incluida en la base de datos expuesta. En términos más generales, este incidente es un buen motivo para volver a examinar cualquier VPN en la que confíes, no porque todos los proveedores mientan sobre sus prácticas de registro, sino porque la confianza en este ámbito debe ganarse mediante la verificación, no asumirse desde una página de marketing.

La violación de las afirmaciones de no registros en SplitVPN no significa que las VPN sin registros sean un mito. Significa que la etiqueta por sí sola no es una prueba. Los proveedores que pueden señalar auditorías independientes, informes de transparencia consistentes y un historial de protección de los datos de los usuarios bajo presión legal han ganado un nivel de confianza diferente al de aquellos que dependen únicamente del lenguaje de marketing.

Conclusiones prácticas

Verifica si tu proveedor de VPN ha sido sometido a una auditoría independiente reciente y disponible públicamente sobre sus afirmaciones de no registros. Investiga la jurisdicción y el historial de propiedad del proveedor, ya que estos afectan qué datos pueden ser legalmente exigidos. Lee los informes de transparencia si el proveedor los publica, y trata su ausencia como una carencia que vale la pena cuestionar. Si eras usuario de SplitVPN, revisa los detalles del conjunto de datos expuesto y considera cambiar cualquier contraseña reutilizada o información de pago asociada a esa cuenta. Y de ahora en adelante, elige herramientas de privacidad basándote en pruebas verificables en lugar de solo promesas.