Apa yang Terungkap dari Kebocoran SplitVPN

Layanan VPN bernama SplitVPN, yang dipasarkan sebagai alat untuk melewati sensor internet, menjadi pusat paparan data yang meruntuhkan janji yang dijualnya kepada para pengguna. Menurut laporan dari Security Affairs, basis data SQL sebesar 17 GB yang dicuri dan diduga terkait dengan SplitVPN berisi jutaan catatan pengguna, perangkat, dan pembayaran, bersama dengan 58 juta log koneksi. Detail terakhir inilah yang paling penting, karena SplitVPN mengiklankan dirinya sebagai layanan tanpa log, yang berarti mereka mengklaim tidak merekam jenis data aktivitas yang dapat mengaitkan identitas pengguna dengan perilaku online mereka.

Skala kebocoran ini, puluhan juta catatan koneksi beserta informasi pembayaran dan perangkat, menunjukkan bahwa ini bukanlah kelalaian teknis kecil. Ini menunjuk pada praktik sistemik dalam menyimpan data yang seharusnya dikesampingkan oleh kebijakan tanpa log. Bagi layanan yang dibangun untuk membantu orang menghindari sensor, seringkali di wilayah di mana pengawasan digital membawa risiko pribadi yang nyata, paparan semacam itu lebih dari sekadar memalukan. Ini adalah kontradiksi langsung dari janji keamanan yang diandalkan para pengguna.

Bagaimana VPN 'tanpa log' Berakhir Mencatat Semuanya

Kesenjangan antara apa yang dikatakan penyedia VPN dalam pemasarannya dan apa yang benar-benar terjadi di server mereka bukanlah masalah baru, tetapi kasus SplitVPN adalah pengingat nyata tentang seberapa lebar kesenjangan itu. Klaim "tanpa log" pada intinya adalah pernyataan kebijakan. Itu menggambarkan apa yang dikatakan perusahaan tidak akan dilakukan. Tidak ada dari pernyataan itu yang secara otomatis diverifikasi oleh mekanisme teknis atau pihak luar. Kecuali penyedia tunduk pada pengawasan independen, klaim itu hanya ada di halaman web.

Yang mungkin terjadi di sini adalah pola umum dalam industri VPN: metadata koneksi, stempel waktu, alamat IP, detail sesi, dan informasi akun dikumpulkan untuk alasan operasional seperti pemecahan masalah, pencegahan penipuan, atau penagihan, dan data itu tidak pernah sepenuhnya dibersihkan. Seiring waktu, itu terakumulasi menjadi persis jenis profil yang diklaim oleh kebijakan tanpa log tidak ada. Ketika basis data seperti itu diretas atau dibiarkan terbuka, ketidakcocokan antara kebijakan dan praktik menjadi publik dengan cara yang paling buruk.

Mengapa Klaim Tanpa Log yang Tidak Diaudit Tidak Dapat Dipercaya

Insiden ini adalah studi kasus yang berguna tentang mengapa klaim tanpa log, dengan sendirinya, tidak boleh dianggap sebagai bukti privasi. Setiap penyedia VPN dapat menulis "kami tidak mencatat aktivitas Anda" di halaman utamanya. Klaim itu hanya menjadi kredibel ketika didukung oleh sesuatu yang eksternal: audit keamanan pihak ketiga, kasus pengadilan di mana pihak berwenang meminta log yang benar-benar tidak ada, atau riwayat transparan dari pelaporan publik yang konsisten. Tanpa verifikasi semacam itu, kebijakan tanpa log adalah pernyataan pemasaran, bukan jaminan.

Pelajaran yang lebih luas melampaui VPN. Banyak alat keamanan dan privasi membuat janji berani yang terdengar meyakinkan tetapi sulit diverifikasi oleh pengguna rata-rata. Skeptisisme yang sama yang berlaku di sini patut diterapkan di tempat lain dalam dunia keamanan; misalnya, pelaporan tentang pembayaran ransomware juga telah menunjukkan bahwa asumsi umum, dalam hal ini bahwa membayar tebusan menyelesaikan masalah, tidak bertahan begitu data independen diperiksa. Klaim membutuhkan bukti, bukan hanya niat.

Cara Memeriksa Kebijakan Privasi VPN Sebelum Memercayainya

Sebelum berlangganan VPN apa pun, terutama yang dipasarkan untuk kasus penggunaan berisiko tinggi seperti melewati sensor, ada baiknya melakukan beberapa pemeriksaan konkret alih-alih menerima begitu saja label tanpa log:

  • Cari audit keamanan pihak ketiga yang telah selesai dan dipublikasikan, bukan hanya referensi samar tentang "diaudit." Penyedia bereputasi baik menyebutkan nama firma audit dan mempublikasikan temuannya.
  • Periksa apakah penyedia memiliki riwayat yang terdokumentasi, idealnya termasuk contoh di mana permintaan penegak hukum mengonfirmasi tidak ada log yang berguna.
  • Baca kebijakan privasi yang sebenarnya, bukan hanya halaman pemasaran, untuk melihat kategori data apa yang dikumpulkan untuk penagihan, pemecahan masalah, atau pencegahan penipuan, dan berapa lama data itu disimpan.
  • Teliti kepemilikan dan yurisdiksi perusahaan, karena kewajiban penyimpanan data sangat bervariasi menurut negara.

Apa Artinya Ini Untuk Anda

Jika Anda menggunakan SplitVPN, atau VPN apa pun, kebocoran data tanpa log SplitVPN adalah pengingat untuk secara berkala menilai kembali apakah layanan yang Anda bayar mendukung klaim privasinya dengan bukti nyata. Jika penyedia Anda tidak pernah menerbitkan audit independen, itu patut dianggap sebagai tanda bahaya, bukan sekadar formalitas. Bagi pengguna di wilayah yang rawan sensor, di mana pembobolan log koneksi dapat membawa konsekuensi pribadi yang nyata, pengawasan ini bukan pilihan; ini penting.

Poin-poin Penting

Insiden SplitVPN menggarisbawahi kebenaran sederhana: janji privasi hanya sekuat bukti di baliknya. Sebelum memercayakan data koneksi Anda kepada VPN apa pun, verifikasi klaim tanpa log-nya melalui audit independen dan laporan transparansi alih-alih hanya mengandalkan bahasa pemasaran. Tinjau kebijakan penyedia Anda saat ini, periksa verifikasi pihak ketiga, dan jangan ragu untuk beralih jika buktinya tidak mendukung.