Sebuah basis data SQL sebesar 17 GB yang kini beredar di forum kejahatan siber Altenen telah menyoroti salah satu janji yang paling sering diulang dalam industri VPN: kebijakan tanpa pencatatan (no-logs policy). Basis data yang diklaim dicuri dari SplitVPN (sebelumnya dikenal sebagai NotVPN), sebuah VPN Rusia yang dipasarkan khusus untuk melewati sensor internet, dilaporkan berisi sekitar 23,4 juta catatan pengguna dan sekitar 58 juta log koneksi. Itu adalah angka yang mengejutkan untuk sebuah layanan yang membangun pemasarannya di atas gagasan bahwa mereka tidak menyimpan log sama sekali.

Ini bukan sekadar cerita tentang satu penyedia VPN yang diretas. Ini adalah pengingat bahwa kebijakan privasi hanya sebaik praktik di baliknya, dan bahwa pelanggaran klaim no-logs VPN di SplitVPN menggambarkan dengan tepat mengapa pengguna perlu melihat melampaui salinan pemasaran sebelum mempercayakan lalu lintas mereka kepada suatu penyedia.

Apa yang Terjadi dalam Pelanggaran SplitVPN

Menurut laporan dari Security Affairs, seorang pelaku ancaman mulai mendistribusikan basis data tersebut di forum kejahatan siber yang dikenal, dan para peneliti di Mysterium memperoleh salinannya serta memverifikasinya terhadap dump mentah. Analisis mereka mengonfirmasi skalanya: jutaan akun pengguna, informasi perangkat, detail pembayaran, dan metadata koneksi, semuanya diduga diambil dari layanan yang seluruh proposisi nilainya bertumpu pada tidak menyimpan jenis data persis seperti ini.

Kami membahas uraian teknis dari set data yang terekspos secara rinci dalam tulisan kami sebelumnya tentang pelanggaran SplitVPN yang mengekspos 58 juta log, termasuk kategori data apa saja yang dilaporkan termasuk dan bagaimana kebocoran itu diverifikasi. Jika Anda menggunakan atau pernah menggunakan SplitVPN, liputan itu layak dibaca secara lengkap, karena menjelaskan informasi apa yang mungkin telah terekspos dan langkah-langkah apa yang harus dipertimbangkan oleh pengguna yang terdampak.

Isu intinya bukan hanya bahwa pelanggaran terjadi. Pelanggaran terjadi pada perusahaan di setiap industri. Isunya adalah kesenjangan antara apa yang SplitVPN sampaikan kepada pengguna tentang praktik data mereka dan apa yang tampaknya ditunjukkan oleh basis data yang bocor. Jika sebuah VPN mengiklankan dirinya sebagai alat untuk melewati sensor tanpa pencatatan, dan basis data yang dicuri menunjukkan puluhan juta catatan koneksi, itu bukanlah perbedaan kecil. Itu adalah kontradiksi langsung terhadap janji inti produk.

Mengapa Log Koneksi Meruntuhkan Janji No-Logs

Log koneksi tidak sama dengan riwayat penjelajahan, tetapi mereka tetap bisa sangat mengungkap. Log koneksi biasanya mencatat kapan seorang pengguna terhubung ke server VPN, server mana yang mereka gunakan, berapa lama sesi berlangsung, dan terkadang alamat IP dari mana mereka terhubung. Untuk VPN yang dipasarkan kepada orang-orang yang mencoba melewati sensor internet, metadata semacam itu bisa sensitif dengan sendirinya, karena berpotensi digunakan untuk membangun pola kapan dan bagaimana seseorang mengakses internet, bahkan tanpa mengetahui persis apa yang mereka lakukan setelah terhubung.

Kebijakan tanpa pencatatan yang sejati berarti penyedia merancang sistemnya sehingga informasi ini tidak disimpan, baik melalui server khusus RAM, data sesi yang segera dibuang, atau infrastruktur yang tidak pernah menulis metadata koneksi ke disk sejak awal. Ketika sebuah pelanggaran mengungkapkan jutaan log koneksi tersimpan dalam sebuah basis data, ini menunjukkan bahwa penyedia mengumpulkan dan menyimpan jenis informasi persis yang dikatakan oleh pemasarannya tidak akan dilakukan. Itulah masalah utama yang diilustrasikan oleh insiden SplitVPN: janji dan praktiknya tampaknya tidak cocok.

Cara Memverifikasi Klaim No-Logs VPN Sebelum Mempercayainya

Halaman pemasaran mudah ditulis. Bukti yang dapat diverifikasi lebih sulit untuk dipalsukan, dan itulah yang membedakan klaim tanpa pencatatan yang kredibel dari yang kosong. Sebelum mempercayakan lalu lintas Anda kepada sebuah VPN, carilah beberapa sinyal konkret:

Audit independen lebih penting daripada kebijakan yang dilaporkan sendiri. Firma keamanan pihak ketiga yang bereputasi baik yang meninjau konfigurasi server penyedia dan mengonfirmasi bahwa tidak ada log pengenal yang disimpan jauh lebih berbobot daripada paragraf di halaman kebijakan privasi.

Kasus pengadilan dan permintaan penegak hukum dapat berfungsi sebagai ujian dunia nyata. Jika suatu penyedia sebelumnya pernah dipaksa untuk menyerahkan data pengguna dan sama sekali tidak memiliki data untuk diberikan, itu adalah sinyal yang lebih kuat daripada klaim yang tidak terverifikasi.

Laporan transparansi, yurisdiksi, dan riwayat kepemilikan juga penting. Penyedia yang berbasis di negara dengan undang-undang perlindungan data yang kuat, menerbitkan laporan transparansi secara berkala, dan dengan struktur kepemilikan yang jelas umumnya lebih mudah dimintai pertanggungjawaban daripada yang mengaburkan siapa yang menjalankannya.

Daftar Periksa: Tanda Bahaya Saat Memilih VPN Berfokus Privasi

Saat Anda mengevaluasi penyedia VPN, waspadai tanda-tanda peringatan ini: tidak ada audit independen yang pernah dipublikasikan atau audit sudah kedaluwarsa bertahun-tahun; kepemilikan atau yurisdiksi perusahaan tidak jelas atau sering berubah; kebijakan privasi menggunakan bahasa yang tidak jelas tentang data yang "dianonimkan" atau "diagregasi" tanpa menjelaskan apa yang sebenarnya dikumpulkan; tidak ada laporan transparansi atau riwayat menanggapi permintaan hukum; dan layanan sebelumnya telah berganti merek (seperti yang dilakukan SplitVPN dari NotVPN) tanpa penjelasan yang jelas tentang apa yang berubah secara operasional.

Apa Artinya Ini Bagi Anda

Jika Anda saat ini menggunakan SplitVPN, anggap ini sebagai sinyal untuk meninjau liputan tentang pelanggaran SplitVPN yang mengekspos 58 juta log dan pertimbangkan apakah akun, perangkat, atau informasi pembayaran Anda mungkin termasuk dalam basis data yang terekspos. Secara lebih luas, insiden ini adalah pendorong yang berguna untuk memeriksa ulang VPN apa pun yang Anda andalkan, bukan karena setiap penyedia berbohong tentang praktik pencatatannya, tetapi karena kepercayaan di ruang ini harus diperoleh melalui verifikasi, bukan diasumsikan dari halaman pemasaran.

Pelanggaran klaim no-logs VPN di SplitVPN tidak berarti VPN tanpa pencatatan adalah mitos. Ini berarti label itu sendiri bukanlah bukti. Penyedia yang dapat menunjuk pada audit independen, pelaporan transparansi yang konsisten, dan rekam jejak melindungi data pengguna di bawah tekanan hukum telah mendapatkan tingkat kepercayaan yang berbeda dari mereka yang hanya mengandalkan bahasa pemasaran.

Hal-Hal Praktis yang Dapat Dilakukan

Periksa apakah penyedia VPN Anda telah menjalani audit independen terbaru yang tersedia untuk publik atas klaim tanpa pencatatannya. Selidiki yurisdiksi dan riwayat kepemilikan penyedia, karena ini memengaruhi data apa yang secara hukum dapat dipaksakan dari mereka. Baca laporan transparansi jika penyedia menerbitkannya, dan perlakukan ketiadaannya sebagai celah yang patut dipertanyakan. Jika Anda adalah pengguna SplitVPN, tinjau detail set data yang terekspos dan pertimbangkan untuk mengganti kata sandi atau informasi pembayaran yang digunakan kembali yang terkait dengan akun tersebut. Dan ke depannya, pilih alat privasi berdasarkan bukti yang dapat diverifikasi daripada hanya janji.