Une base de données SQL de 17 Go qui circule actuellement sur le forum cybercriminel Altenen a mis en lumière l'une des promesses les plus répétées du secteur des VPN : la politique de non-conservation des logs. La base de données, qui aurait été volée à SplitVPN (anciennement NotVPN), un VPN russe spécifiquement commercialisé pour contourner la censure d'Internet, contiendrait environ 23,4 millions d'enregistrements d'utilisateurs et près de 58 millions de logs de connexion. C'est un chiffre frappant pour un service qui a bâti son marketing autour de l'idée qu'il ne conserve aucun log.
Ce n'est pas seulement l'histoire d'un fournisseur VPN piraté. C'est un rappel qu'une politique de confidentialité ne vaut que par les pratiques qui la sous-tendent, et la fuite de données de SplitVPN qui contredit ses promesses de non-conservation des logs illustre exactement pourquoi les utilisateurs doivent regarder au-delà du discours marketing avant de confier leur trafic à un fournisseur.
Ce qui s'est passé lors de la fuite de SplitVPN
Selon les informations de Security Affairs, un acteur malveillant a commencé à distribuer la base de données sur un forum cybercriminel connu, et les chercheurs de Mysterium en ont obtenu une copie et l'ont vérifiée par rapport au dump brut. Leur analyse a confirmé l'ampleur : des millions de comptes utilisateurs, des informations sur les appareils, des détails de paiement et des métadonnées de connexion, le tout prétendument extrait d'un service dont toute la proposition de valeur reposait sur l'absence de conservation de ce type même de données.
Nous avons décrit en détail l'analyse technique de l'ensemble de données exposé dans notre article précédent sur la fuite de SplitVPN exposant 58 millions de logs, avec les catégories de données qui auraient été incluses et la manière dont la fuite a été vérifiée. Si vous utilisez ou avez utilisé SplitVPN, cet article vaut la peine d'être lu en entier, car il détaille les informations qui pourraient avoir été exposées et les mesures que les utilisateurs concernés devraient envisager.
Le problème central n'est pas simplement qu'une fuite a eu lieu. Des fuites surviennent dans toutes les entreprises, tous secteurs confondus. Le problème, c'est l'écart entre ce que SplitVPN disait à ses utilisateurs sur ses pratiques en matière de données et ce que la base de données divulguée semble montrer. Si un VPN se présente comme un outil de contournement de la censure sans conservation de logs, et qu'une base de données volée révèle des dizaines de millions d'enregistrements de connexion, ce n'est pas une divergence mineure. C'est une contradiction directe de la promesse fondamentale du produit.
Pourquoi les logs de connexion sapent les promesses de non-conservation des logs
Les logs de connexion ne sont pas la même chose que l'historique de navigation, mais ils peuvent néanmoins être très révélateurs. Un log de connexion enregistre en général quand un utilisateur s'est connecté à un serveur VPN, quel serveur il a utilisé, combien de temps a duré la session et parfois l'adresse IP à partir de laquelle il s'est connecté. Pour un VPN destiné à des personnes cherchant à contourner la censure d'Internet, ce type de métadonnées peut être sensible en soi, car il peut potentiellement servir à établir des schémas de quand et comment quelqu'un a accédé à Internet, même sans savoir exactement ce qu'il a fait une fois connecté.
Une véritable politique de non-conservation des logs signifie qu'un fournisseur conçoit ses systèmes de manière à ce que ces informations ne soient tout simplement pas conservées, que ce soit au moyen de serveurs fonctionnant uniquement en RAM, de données de session immédiatement supprimées ou d'une infrastructure qui n'écrit jamais de métadonnées de connexion sur le disque. Lorsqu'une fuite révèle des millions de logs de connexion stockés dans une base de données, cela suggère que le fournisseur collectait et stockait précisément le type d'informations que son marketing disait ne pas conserver. C'est le problème central qu'illustre l'incident SplitVPN : la promesse et la pratique ne correspondaient apparemment pas.
Comment vérifier les affirmations de non-conservation des logs d'un VPN avant de lui faire confiance
Les pages marketing sont faciles à écrire. Les preuves vérifiables sont plus difficiles à falsifier, et c'est ce qui distingue une affirmation crédible de non-conservation des logs d'une promesse vide. Avant de confier votre trafic à un VPN, recherchez quelques signaux concrets :
Les audits indépendants comptent plus que les politiques auto-déclarées. Le fait qu'un cabinet de sécurité tiers réputé examine la configuration des serveurs d'un fournisseur et confirme qu'aucun log d'identification n'est conservé a bien plus de poids qu'un paragraphe sur une page de politique de confidentialité.
Les affaires judiciaires et les demandes des forces de l'ordre peuvent servir de tests en conditions réelles. Si un fournisseur a déjà été contraint de fournir des données utilisateur et qu'il n'en avait tout simplement aucune à remettre, c'est un signal plus fort qu'une affirmation non vérifiée.
Les rapports de transparence, la juridiction et l'historique de propriété comptent également. Un fournisseur basé dans un pays doté de lois strictes en matière de protection des données, publiant régulièrement des rapports de transparence et dont la structure de propriété est claire est généralement plus facile à tenir responsable qu'un fournisseur qui dissimule qui le dirige.
Liste de contrôle : signaux d'alarme lors du choix d'un VPN axé sur la confidentialité
Lorsque vous évaluez un fournisseur VPN, surveillez ces signaux d'alarme : aucun audit indépendant n'a jamais été publié ou l'audit date de plusieurs années ; la propriété de l'entreprise ou sa juridiction n'est pas claire ou change fréquemment ; la politique de confidentialité utilise un langage vague concernant des données « anonymisées » ou « agrégées » sans expliquer ce qui est réellement collecté ; il n'existe pas de rapport de transparence ni d'historique de réponse aux demandes légales ; et le service a déjà changé de nom (comme SplitVPN l'a fait à partir de NotVPN) sans expliquer clairement ce qui a changé sur le plan opérationnel.
Ce que cela signifie pour vous
Si vous utilisez actuellement SplitVPN, considérez cela comme un signal pour consulter l'article sur la fuite de SplitVPN exposant 58 millions de logs et vérifier si les informations de votre compte, de votre appareil ou de paiement pourraient avoir été incluses dans la base de données exposée. Plus largement, cet incident est une bonne occasion de réexaminer tout VPN auquel vous faites confiance, non pas parce que tous les fournisseurs mentent sur leurs pratiques de journalisation, mais parce que la confiance dans ce domaine doit se gagner par la vérification, et non être supposée à partir d'une page marketing.
La fuite des logs de SplitVPN qui contredit ses promesses ne signifie pas que les VPN sans logs sont un mythe. Elle signifie que le label à lui seul n'est pas une preuve. Les fournisseurs qui peuvent s'appuyer sur des audits indépendants, des rapports de transparence cohérents et un historique de protection des données des utilisateurs face à des pressions juridiques ont gagné un niveau de confiance différent de ceux qui se contentent d'un discours marketing.
Mesures concrètes à prendre
Vérifiez si votre fournisseur VPN a fait l'objet d'un audit indépendant récent et accessible au public concernant ses affirmations de non-conservation des logs. Renseignez-vous sur la juridiction et l'historique de propriété du fournisseur, car ces éléments influent sur les données qui peuvent légalement être exigées de lui. Lisez les rapports de transparence si le fournisseur les publie, et considérez leur absence comme une lacune qui mérite d'être interrogée. Si vous étiez utilisateur de SplitVPN, examinez les détails de l'ensemble de données exposé et envisagez de modifier tout mot de passe réutilisé ou toute information de paiement liée à ce compte. Et à l'avenir, choisissez des outils de confidentialité en vous basant sur des preuves vérifiables plutôt que sur de simples promesses.
