Kebocoran data yang terkait dengan SplitVPN, penyedia jaringan pribadi virtual yang sebelumnya dikenal sebagai NotVPN, telah mengekspos 865.336 pengguna dan sekitar 58 juta log koneksi. Insiden ini menarik perhatian karena SplitVPN, seperti banyak layanan VPN lainnya, memasarkan dirinya dengan janji privasi: kebijakan tanpa log ketat yang memberi tahu pengguna bahwa aktivitas daring mereka tidak akan pernah direkam atau disimpan. Kebocoran ini menunjukkan bahwa janji tersebut tidak bertahan dalam praktiknya.
Bagi industri yang hampir seluruhnya dibangun di atas kepercayaan, ini adalah kisah yang mengubah cara orang menilai klaim penyedia VPN. Jutaan orang menggunakan VPN justru untuk menghindari kebiasaan menjelajah mereka dilacak atau disimpan di mana pun. Ketika praktik pencatatan milik penyedia sendiri bertentangan dengan pemasarannya, hal itu memunculkan pertanyaan sulit tidak hanya bagi pelanggan SplitVPN, tetapi bagi siapa pun yang mengandalkan label “tanpa log” sebagai alasan untuk memercayakan lalu lintas mereka pada sebuah layanan.
Apa yang Terjadi dalam Kebocoran SplitVPN
Menurut pengungkapan, data yang terekspos mencakup 865.336 catatan pengguna beserta sekitar 58 juta log koneksi. Volume data koneksi sebesar itu sangat signifikan karena VPN tanpa log yang asli seharusnya tidak menghasilkan, apalagi menyimpan, catatan koneksi pengguna dalam skala sebesar itu. Keberadaan puluhan juta log koneksi secara langsung melemahkan jaminan privasi inti yang diiklankan SplitVPN kepada basis penggunanya.
SplitVPN sebelumnya beroperasi dengan nama NotVPN sebelum berganti merek. Pelanggaran SplitVPN yang mengekspos 865 ribu catatan dan 58 juta log telah memicu percakapan yang lebih luas tentang bagaimana perusahaan VPN memverifikasi dan menegakkan kebijakan privasi mereka sendiri, terutama penyedia kecil atau yang kurang dikenal yang mungkin tidak menjalani tingkat audit independen yang sama seperti layanan besar dan mapan.
Mengapa Klaim Tanpa Log Sangat Penting
Seluruh proposisi nilai VPN bertumpu pada kepercayaan. Pengguna mengarahkan lalu lintas mereka melalui server pihak ketiga justru agar penyedia layanan internet, administrator jaringan, atau pengamat lain tidak dapat melihat apa yang mereka lakukan secara daring. Sebagai gantinya, mereka menempatkan visibilitas yang sama di tangan penyedia VPN. Kebijakan tanpa log adalah mekanisme yang seharusnya mencegah perusahaan VPN itu sendiri menjadi titik keterpaparan.
Ketika penyedia mengiklankan tanpa log tetapi kemudian diketahui menyimpan metadata koneksi, dan metadata itu kemudian terekspos dalam kebocoran, hal itu menggagalkan tujuan penggunaan layanan tersebut sejak awal. Data pengguna bukan hanya terekspos oleh penyerang luar; data itu ada dalam bentuk yang dijanjikan tidak akan pernah dibuat. Inilah sebabnya regulator, peneliti keamanan, dan advokat privasi secara konsisten mendorong audit independen terhadap klaim tanpa log alih-alih menerima bahasa pemasaran begitu saja.
Data Apa yang Terekspos
Kebocoran SplitVPN dilaporkan melibatkan catatan akun pengguna dan log koneksi yang jumlahnya mencapai puluhan juta. Log koneksi semacam ini berpotensi mengungkapkan pola seperti kapan pengguna terhubung, berapa lama, dan metadata lain yang terkait dengan sesi VPN mereka. Bahkan tanpa riwayat penelusuran lengkap, jenis metadata ini dapat digunakan untuk menyimpulkan perilaku, waktu, dan kebiasaan yang diyakini pengguna tetap bersifat pribadi.
Bagi individu yang terkena dampak, keterpaparan ini berarti informasi yang mereka anggap tidak pernah dikumpulkan kini telah diikat ke akun mereka dan berpotensi dapat diakses oleh pihak yang tidak berwenang. Itu adalah skenario yang berbeda dan bisa dibilang lebih merusak daripada kebocoran data biasa, karena juga menghancurkan dasar kepercayaan yang menjadi dasar penjualan layanan tersebut.
Apa Artinya Ini bagi Anda
Jika Anda pernah menggunakan SplitVPN atau NotVPN, anggap ini sebagai sinyal untuk meninjau akun Anda dan mengubah kredensial apa pun yang terkait dengan layanan ini, termasuk kata sandi yang digunakan kembali di platform lain. Secara lebih luas, kebocoran ini adalah pengingat bahwa “tanpa log” adalah klaim, bukan jaminan, kecuali telah diverifikasi secara independen. Sebelum memercayakan lalu lintas Anda kepada penyedia VPN mana pun, carilah bukti audit pihak ketiga, laporan transparansi, atau riwayat terdokumentasi yang menunjukkan bahwa klaim privasi dipertahankan di bawah pengawasan.
Ini juga momen yang baik untuk menilai ulang apa yang Anda harapkan dari VPN. Kebijakan tanpa log seharusnya berarti tidak ada yang bisa bocor sejak awal. Jika sebuah kebocoran menghasilkan jutaan log koneksi dari penyedia yang mengklaim tidak menyimpannya, itu adalah tanda bahaya yang berarti tentang bagaimana perusahaan sebenarnya beroperasi di balik layar, terlepas dari apa yang dinyatakan dalam pemasarannya.
Hal yang Dapat Dilakukan
Jika Anda adalah pengguna SplitVPN atau NotVPN saat ini atau sebelumnya, segera ubah kata sandi akun Anda dan perbarui di mana pun Anda mungkin telah menggunakannya kembali. Pantau akun surel dan pembayaran Anda untuk aktivitas mencurigakan dalam minggu-minggu setelah pengungkapan ini. Ke depan, pilih penyedia VPN yang menerbitkan laporan tanpa log yang diaudit secara independen alih-alih mengandalkan klaim yang tidak terverifikasi. Dan perlakukan setiap janji privasi, dari penyedia mana pun, sebagai sesuatu yang perlu diverifikasi alih-alih diasumsikan, karena insiden ini menunjukkan betapa cepatnya klaim tanpa log bisa dilanggar.
