Egy „naplózásmentes” VPN adatbázisa bukkant fel az interneten
Egy ellopott 17 GB-os SQL adatbázis, amely állítólag a korábban NotVPN néven ismert SplitVPN VPN-szolgáltatáshoz tartozik, felbukkant az interneten, és a tartalma egyenesen ellentmond a cég régóta hangoztatott naplózásmentességi adatvédelmi ígéretének. A kiszivárgott adatok elemzése szerint az adatbázis hozzávetőleg 23,4 millió felhasználói rekordot, 13,6 millió eszközrekordot és 2,6 millió fizetési rekordot tartalmaz. A személyes, eszköz- és pénzügyi adatok ilyen kombinációja pontosan az, amit egy valódi naplózásmentes VPN-szolgáltatásnak soha nem lenne szabad képesnek lennie gyűjteni, nemhogy egy adatszivárgás során elveszítenie.
A szivárgás állítólag az Altenen kiberbűnözői fórumon kezdett terjedni, amely platformot gyakran használnak lopott adatbázisok terjesztésére, mielőtt azokat továbbértékesítenék vagy más támadók szétszednék. Amint egy ilyen adathalmaz elér egy ilyen fórumot, hajlamos gyorsan elterjedni más bűnözői piactereken is, amivel a visszaszivárgás szinte lehetetlenné válik. Egy VPN-szolgáltató esetében, amelynek teljes értékajánlata azon az ígéreten nyugszik, hogy nem őriz meg felhasználói tevékenységi vagy személyazonossági adatokat, ez a fajta kitettség a lehető legsúlyosabb károkat okozza.
Miért kérdőjeleződött meg most a „naplózásmentes” állítás?
A VPN-szolgáltatók a naplózásmentes szabályzatot alapvető értékesítési pontként hirdetik: az elképzelés szerint még ha egy kormányzat vagy támadó kérne is felhasználói adatokat, nem lenne mit átadni. A SplitVPN helyzete megmutatja, hogy ezek az állítások miért érdemelnek alapos vizsgálatot a vak bizalom helyett. Ugyanennek az incidensnek egy külön elemzése megállapította, hogy a kiszivárgott adatok tízmilliónyi kapcsolati naplót is tartalmaztak, amint azt egy kapcsolódó jelentés részletezi a SplitVPN 58 millió napló kiszivárgásáról a naplózásmentességi fogadalma ellenére című cikkben. A kapcsolati naplók, eszközazonosítók és fizetési rekordok nem olyan típusú információk, amelyekről egy szolgáltató hihetően állíthatja, hogy soha nem tárolta őket.
Ez a szakadék a marketingnyelv és a tényleges adatkezelési gyakorlatok között nem egyedi a SplitVPN esetében, de a lépték itt figyelemre méltó esettanulmánnyá teszi. Felhasználók milliói választották a szolgáltatást kifejezetten azért, mert adatvédelmet ígért, és valószínűleg sokan használták olyan régiókban, ahol a névtelenség a személyes biztonság szempontjából számít, nem csupán kényelmi okokból. Amikor egy szolgáltató belső gyakorlatai nem egyeznek a nyilvános állításaival, a következmények túlmutatnak a kínos helyzeten. Valódi embereket sodorhatnak veszélybe, különösen azokat, akik a szolgáltatásra támaszkodnak személyazonosságuk vagy tartózkodási helyük elrejtésében.
Érdemes alaposabban is elolvasni a kiszivárgott adatbázis és annak eredetének vizsgálatát, beleértve azt is, hogyan kérdőjeleződött meg először a naplózásmentességi állítás. Ennek a kérdésnek a mélyebb elemzése elérhető ebben az elemzésben arról, hogy a SplitVPN naplózásmentességi állításai miért igényelnek ellenőrzést, amely végigvezeti az olvasót a SplitVPN által hirdetett szabályzat és a látszólag ténylegesen megőrzött adatok közötti eltérésen.
Mit jelent ez Önnek?
Ha valaha is használta a SplitVPN-t vagy annak elődjét, a NotVPN-t, kezelje ezt jelzésként a cselekvésre, ne csupán olvasnivalóként. A kiszivárgott adathalmaz állítólag fizetési rekordokat is tartalmaz, ami azt jelenti, hogy a fiókjához kapcsolódó pénzügyi adatok is részét képezhetik a szivárgásnak. Az eszközrekordok arra utalnak, hogy az Ön konkrét hardveréhez kapcsolódó azonosítók is kiszivároghattak, ami megkönnyítheti a rosszindulatú szereplők számára, hogy az Ön VPN-használatát összekapcsolják valós személyazonosságával más szolgáltatásokon keresztül.
Tágabb értelemben ez az adatszivárgás emlékeztetőül szolgál arra, hogy egy VPN adatvédelmi szabályzata csak annyit ér, amennyire a cég tényleges infrastruktúrája és biztonsági gyakorlatai jók. Egy weboldalra kiírt naplózásmentességi állítás marketingközlemény, nem technikai garancia. Azok a szolgáltatók, amelyek komolyan veszik ezt az ígéretet, általában független auditoknak vetik alá rendszereiket, és még ekkor is előfordulhatnak számlázási rendszerek vagy eszközmetaadatok megsértései, ha egy cég több adatot gyűjt, mint amennyi az ügyfélszolgálati vagy csalásmegelőzési célokhoz szükséges.
Mit tegyenek most a SplitVPN felhasználók?
Kezdje azzal, hogy feltételezi: az e-mail címe, és esetleg a fizetési adatai is kiszivárogtak. Azonnal változtassa meg a SplitVPN-fiókjához tartozó jelszavát, és frissítse a jelszót minden más helyen is, ahol esetleg újrahasználta, mivel a hitelesítő adatok újrahasználata az egyik leggyakoribb módja annak, hogy egyetlen adatszivárgás több fiók kompromittálódásához vezessen. Ha bankkártyával fizetett, fokozottan figyelje a számlakivonatait az illetéktelen terhelések után, és fontolja meg a kártyakibocsátó értesítését, ha bármi szokatlant észlel.
Érdemes azt is átgondolnia, hogy egyáltalán szeretné-e még használni a szolgáltatást. Egy ilyen léptékű adatszivárgás, amely olyan adatokat érint, amiket egy naplózásmentes szolgáltatónak eleve nem lett volna szabad megőriznie, jogos okot szolgáltat arra, hogy máshol keressen megoldást. Bármely VPN értékelésekor a jövőben olyan szolgáltatókat keressen, amelyek naplózásmentességi állításairól közzétett, független harmadik fél által végzett auditok állnak rendelkezésre, ahelyett hogy kizárólag a marketingszövegre hagyatkozna.
A VPN-ekbe vetett bizalom tágabb képe
A SplitVPN incidens egy olyan időszakban történik, amikor a VPN-ek használata folyamatosan növekszik az alapvető online adatvédelmet kereső emberek körében. Ez a növekedés az ilyen eseményeket még súlyosabb következményekkel járóvá teszi, nem pedig kevésbé. Egyetlen, rekordok tízmillióit érintő adatszivárgás nem csupán egy szolgáltatóba vetett bizalmat ás alá, hanem azt a tágabb elképzelést is, miszerint egy VPN-előfizetés automatikusan adatvédelmet jelent. Nem jelenti azt. Az adatvédelem attól függ, hogy egy cég valójában mit tesz a színfalak mögött, nem pedig attól, hogy mit állít a honlapján.
Egyelőre az érintett felhasználóknak fiókjaik és pénzügyeik biztosítására kell összpontosítaniuk, mindenki másnak pedig arra kell használnia ezt az esetet, hogy alaposabb kérdéseket tegyen fel, mielőtt bármely szolgáltatóra rábízná az adatait. A független auditok elolvasása, a cég adatszivárgási előzményeinek ellenőrzése, valamint annak pontos megértése, hogy egy szolgáltatás milyen adatokat gyűjt – ezek egyszerű lépések, amelyek sokat segítenek abban, hogy elkerüljük a következő hasonló szalagcímet.
