Ce que la fuite de SplitVPN a exposé

Un service VPN appelé SplitVPN, présenté comme un outil pour contourner la censure d'Internet, est au cœur d'une fuite de données qui sape la promesse même qu'il a vendue à ses utilisateurs. Selon un rapport de Security Affairs, une base de données SQL dérobée de 17 Go prétendument liée à SplitVPN contenait des millions d'enregistrements d'utilisateurs, d'appareils et de paiements, ainsi que 58 millions de journaux de connexion. Ce dernier point est le plus crucial, car SplitVPN se présentait comme un service sans conservation des logs, ce qui signifie qu'il affirmait ne pas enregistrer le type de données d'activité pouvant lier l'identité d'un utilisateur à son comportement en ligne.

L'ampleur de la fuite, des dizaines de millions d'enregistrements de connexion accompagnés d'informations de paiement et de périphériques, suggère qu'il ne s'agit pas d'une simple négligence technique. Cela indique une pratique systémique de conservation précisément des données qu'une politique de non-conservation est censée exclure. Pour un service conçu pour aider les gens à contourner la censure, souvent dans des régions où la surveillance numérique comporte un risque personnel réel, ce type d'exposition va au-delà de l'embarras. C'est une contradiction directe de la promesse de sécurité sur laquelle les utilisateurs comptaient.

Comment un VPN « sans logs » a fini par tout enregistrer

L'écart entre ce que les fournisseurs de VPN affirment dans leur marketing et ce qui se passe réellement sur leurs serveurs n'est pas un problème nouveau, mais l'affaire SplitVPN rappelle brutalement l'ampleur que peut prendre cet écart. Une affirmation « sans journalisation » est, fondamentalement, une déclaration de politique. Elle décrit ce qu'une entreprise dit qu'elle ne fera pas. Rien dans cette affirmation n'est automatiquement vérifié par un mécanisme technique ou un tiers. À moins qu'un fournisseur ne se soumette à un examen indépendant, cette promesse n'existe que sur une page web.

Ce qui s'est probablement produit est un schéma courant dans l'industrie des VPN : les métadonnées de connexion, les horodatages, les adresses IP, les détails de session et les informations de compte sont collectés pour des raisons opérationnelles telles que le dépannage, la prévention de la fraude ou la facturation, et ces données ne sont jamais entièrement purgées. Avec le temps, elles s'accumulent exactement dans le type de profil que la politique de non-journalisation prétend ne pas exister. Lorsqu'une base de données de ce type fait l'objet d'une violation ou est laissée accessible, le décalage entre la politique et la pratique devient public de la pire des manières.

Pourquoi les affirmations de non-conservation des logs non auditées ne sont pas fiables

Cet incident est une étude de cas utile pour expliquer pourquoi une affirmation de non-conservation des logs, en elle-même, ne devrait jamais être considérée comme une preuve de confidentialité. N'importe quel fournisseur de VPN peut écrire « nous ne conservons pas vos activités » sur sa page d'accueil. Cette affirmation ne devient crédible que lorsqu'elle est étayée par un élément externe : un audit de sécurité réalisé par un tiers, une affaire judiciaire où les autorités ont demandé des logs qui n'existaient véritablement pas, ou un historique transparent de rapports publics cohérents. Sans ce type de vérification, une politique de non-conservation des logs est une déclaration marketing, pas une garantie.

La leçon générale va au-delà des VPN. De nombreux outils de sécurité et de confidentialité font des promesses audacieuses, rassurantes à entendre mais difficiles à vérifier pour l'utilisateur moyen. Le même scepticisme qui s'applique ici mérite d'être utilisé ailleurs dans le monde de la sécurité ; par exemple, les rapports sur les paiements de rançongiciels ont également montré qu'une hypothèse courante, en l'occurrence que le paiement d'une rançon règle le problème, ne tient pas une fois que des données indépendantes sont examinées. Les affirmations ont besoin de preuves, pas seulement d'intentions.

Comment vérifier la politique de confidentialité d'un VPN avant de lui faire confiance

Avant de souscrire à un quelconque VPN, surtout s'il est commercialisé pour des cas d'usage à haut risque comme le contournement de la censure, il est utile d'effectuer quelques vérifications concrètes plutôt que de prendre l'étiquette « sans logs » pour argent comptant :

  • Recherchez un audit de sécurité réalisé par un tiers, achevé et publié, pas seulement une vague référence au fait d'avoir été « audité ». Les fournisseurs réputés mentionnent le nom du cabinet d'audit et publient les conclusions.
  • Vérifiez si le fournisseur a un historique documenté, incluant idéalement des cas où des demandes des forces de l'ordre ont confirmé qu'aucun journal utile n'existait.
  • Lisez la politique de confidentialité réelle, pas seulement les pages marketing, pour voir quelles catégories de données sont collectées pour la facturation, le dépannage ou la prévention de la fraude, et combien de temps ces données sont conservées.
  • Renseignez-vous sur la propriété de l'entreprise et sa juridiction, car les obligations de conservation des données varient considérablement selon les pays.

Ce que cela signifie pour vous

Si vous utilisez SplitVPN, ou tout autre VPN, la fuite de données de SplitVPN malgré sa promesse de non-conservation des logs est un rappel de réévaluer périodiquement si le service pour lequel vous payez étaye ses déclarations de confidentialité par des preuves tangibles. Si votre fournisseur n'a jamais publié d'audit indépendant, cela doit être considéré comme un signal d'alarme et non comme un détail technique. Pour les utilisateurs des régions où la censure est répandue, où une fuite des journaux de connexion pourrait avoir des conséquences personnelles réelles, cet examen minutieux n'est pas facultatif ; il est essentiel.

Principaux enseignements

L'incident SplitVPN souligne une vérité simple : une promesse de confidentialité n'est solide que dans la mesure des preuves qui la soutiennent. Avant de confier vos données de connexion à un VPN, vérifiez son engagement de non-conservation des logs au moyen d'audits indépendants et de rapports de transparence, plutôt que de vous fier au seul langage marketing. Examinez la politique de votre fournisseur actuel, recherchez une vérification par un tiers et n'hésitez pas à changer si les preuves ne sont pas au rendez-vous.