Une fuite de données liée à SplitVPN, un fournisseur de réseau privé virtuel anciennement connu sous le nom de NotVPN, a exposé 865 336 utilisateurs et environ 58 millions de journaux de connexion. L’incident est scruté de près parce que SplitVPN, comme de nombreux services VPN, s’était commercialisé sur une promesse de confidentialité : une politique stricte d’absence de logs assurant aux utilisateurs que leur activité en ligne ne serait jamais enregistrée ni conservée. La fuite suggère que cette promesse n’a pas résisté à la pratique.
Pour une industrie bâie presque entièrement sur la confiance, ce genre d’histoire redéfinit la manière dont on évalue les affirmations d’un fournisseur VPN. Des millions de personnes utilisent des VPN précisément pour éviter que leurs habitudes de navigation ne soient traquées ou conservées quelque part. Lorsque les pratiques de journalisation d’un fournisseur contredisent son discours marketing, cela soulève des questions difficiles, non seulement pour les clients de SplitVPN, mais pour quiconque se fie à une étiquette « sans logs » pour confier son trafic à un service.
Ce qui s’est passé dans la fuite SplitVPN
D’après les révélations, les données exposées comprenaient 865 336 enregistrements d’utilisateurs ainsi qu’environ 58 millions de journaux de connexion. Ce volume de données de connexion est significatif, car un VPN véritablement sans logs ne devrait pas générer, et encore moins conserver, des enregistrements de connexions d’une telle ampleur. La présence de dizaines de millions de journaux de connexion sape directement la garantie de confidentialité essentielle que SplitVPN promettait à sa base d’utilisateurs.
SplitVPN opérait auparavant sous le nom de NotVPN avant de changer d’identité. La fuite SplitVPN exposant 865K enregistrements et 58 millions de logs a déjà suscité un débat plus large sur la façon dont les entreprises VPN vérifient et mettent en œuvre leurs propres politiques de confidentialité, en particulier chez les petits fournisseurs ou les moins connus qui ne sont pas soumis au même niveau d’audit indépendant que les services plus importants et mieux établis.
Pourquoi la revendication d’absence de logs importe tant
Toute la proposition de valeur d’un VPN repose sur la confiance. Les utilisateurs acheminent leur trafic via un serveur tiers précisément pour que leur fournisseur d’accès à Internet, les administrateurs réseau ou d’autres observateurs ne puissent pas voir ce qu’ils font en ligne. En échange, ils placent cette même visibilité entre les mains du fournisseur VPN. La politique d’absence de logs est le mécanisme censé empêcher que l’entreprise VPN elle-même ne devienne le point de fuite.
Quand un fournisseur affiche une garantie « sans logs » mais qu’il s’avère ensuite qu’il conservait des métadonnées de connexion, et que ces métadonnées sont exposées lors d’une fuite, cela anéantit la raison même d’utiliser le service. Les utilisateurs n’ont pas seulement vu leurs données exposées par un attaquant extérieur ; leurs données existaient sous une forme dont on leur avait promis qu’elle ne serait jamais créée. C’est pourquoi les régulateurs, les chercheurs en sécurité et les défenseurs de la vie privée insistent constamment pour que des audits indépendants vérifient les affirmations d’absence de logs, plutôt que d’accepter le discours marketing au pied de la lettre.
Quelles données ont été exposées
La fuite SplitVPN concernerait des enregistrements de comptes d’utilisateurs et des journaux de connexion qui se comptent en dizaines de millions. Ce type de journaux peut potentiellement révéler des schémas tels que le moment où un utilisateur s’est connecté, la durée de connexion et d’autres métadonnées associées à ses sessions VPN. Même sans l’historique complet de navigation, ce type de métadonnées peut servir à déduire des comportements, des horaires et des habitudes que les utilisateurs pensaient garder privés.
Pour les personnes touchées, cela signifie que des informations qu’elles supposaient ne jamais avoir été collectées sont désormais liées à leurs comptes et potentiellement accessibles à des tiers non autorisés. C’est un scénario différent, et sans doute plus dommageable, qu’une fuite de données classique, car il détruit aussi le fondement de confiance sur lequel le service avait été vendu.
Ce que cela signifie pour vous
Si vous avez déjà utilisé SplitVPN ou NotVPN, il est judicieux de considérer cela comme un signal pour vérifier votre compte et modifier tous les identifiants associés au service, y compris les mots de passe réutilisés sur d’autres plateformes. Plus largement, cette fuite rappelle que l’absence de logs est une affirmation, pas une garantie, tant qu’elle n’a pas été vérifiée de manière indépendante. Avant de confier votre trafic à un fournisseur VPN, cherchez des preuves d’audits tiers, de rapports de transparence ou d’un historique documenté de respect des engagements de confidentialité sous contrôle.
C’est aussi le bon moment pour réévaluer ce que vous attendez d’un VPN. Une politique d’absence de logs devrait signifier qu’il n’y a rien à fuiter en premier lieu. Si une violation de données produit des millions de journaux de connexion chez un fournisseur qui prétendait ne pas les conserver, c’est un signal d’alarme significatif sur le fonctionnement réel de l’entreprise en coulisses, quel que soit son discours marketing.
Points d’action concrets
Si vous êtes un utilisateur actuel ou passé de SplitVPN ou de NotVPN, changez immédiatement le mot de passe de votre compte et mettez-le à jour partout où vous l’avez éventuellement réutilisé. Surveillez vos comptes de messagerie et de paiement pour détecter toute activité suspecte dans les semaines suivant cette révélation. À l’avenir, choisissez des fournisseurs VPN qui publient des audits indépendants attestant l’absence de logs plutôt que de vous fier à des affirmations non vérifiées. Et considérez toute promesse de confidentialité, quel qu’en soit l’émetteur, comme quelque chose à vérifier plutôt qu’à tenir pour acquis, car cet incident montre à quelle vitesse une promesse d’absence de logs peut être brisée.
