Il database di una VPN "senza log" compare online
Un database SQL rubato da 17 GB, presumibilmente appartenente a SplitVPN, il servizio VPN precedentemente noto come NotVPN, è emerso online, e i contenuti contraddicono direttamente la promessa di privacy senza log che l'azienda sostiene da tempo. Secondo un'analisi dei dati trapelati, il database contiene circa 23,4 milioni di record utente, 13,6 milioni di record di dispositivi e 2,6 milioni di record di pagamento. Questa combinazione di dati personali, dispositivi e finanziari è esattamente ciò che un vero servizio VPN senza log non dovrebbe mai essere in grado di raccogliere, figuriamoci perdere in una violazione.
Secondo quanto riferito, la fuga di dati ha iniziato a circolare sul forum di criminalità informatica Altenen, un luogo spesso utilizzato per distribuire database rubati prima che vengano rivenduti o analizzati da altri criminali informatici. Una volta che un set di dati come questo raggiunge quel tipo di forum, tende a diffondersi rapidamente in altri mercati criminali, rendendo il contenimento quasi impossibile. Per un fornitore di VPN, la cui intera proposta di valore si basa sulla promessa di non conservare dati sull'attività o sull'identità degli utenti, un'esposizione del genere è quanto di più dannoso possa capitare.
Perché l'affermazione "senza log" è ora in discussione
I fornitori di VPN promuovono le politiche senza log come un punto di forza fondamentale: l'idea che anche se un governo o un aggressore richiedesse i dati degli utenti, non ci sarebbe nulla da consegnare. La situazione di SplitVPN mostra perché queste affermazioni meritano un esame approfondito anziché una fiducia cieca. Un'analisi separata dello stesso incidente ha rilevato che i dati esposti includevano anche decine di milioni di log di connessione, come dettagliato in un rapporto correlato su l'esposizione di 58 milioni di log da parte di SplitVPN nonostante il suo impegno senza log. Log di connessione, identificatori di dispositivo e record di pagamento non sono il tipo di informazioni che un fornitore può plausibilmente sostenere di non aver mai memorizzato.
Questo divario tra il linguaggio di marketing e le pratiche effettive sui dati non è esclusivo di SplitVPN, ma la portata lo rende un caso di studio notevole. Milioni di utenti hanno scelto il servizio proprio perché prometteva privacy, e molti probabilmente lo hanno utilizzato in regioni in cui l'anonimato è importante per la sicurezza personale, non solo per comodità. Quando le pratiche interne di un fornitore non corrispondono alle sue dichiarazioni pubbliche, le conseguenze vanno oltre l'imbarazzo. Possono mettere a rischio persone reali, in particolare coloro che fanno affidamento sul servizio per mascherare la propria identità o posizione.
Vale la pena leggere per intero un'analisi più approfondita del database trapelato e delle sue origini, compreso come l'affermazione senza log sia finita sotto accusa in primo luogo. Un esame più approfondito di questa domanda è disponibile in questa analisi sul perché le affermazioni senza log di SplitVPN necessitano di verifica, che illustra la disconnessione tra la politica pubblicizzata da SplitVPN e i dati che apparentemente conservava.
Cosa significa per te
Se hai mai usato SplitVPN o il suo predecessore, NotVPN, considera questo un segnale per agire, non solo per leggere. Il set di dati esposti include, a quanto riferito, record di pagamento, il che significa che i dettagli finanziari collegati al tuo account potrebbero far parte della fuga di dati. I record dei dispositivi suggeriscono che anche gli identificatori associati al tuo hardware specifico potrebbero essere esposti, il che può rendere più facile per i malintenzionati correlare il tuo utilizzo della VPN con la tua identità reale su altri servizi.
Più in generale, questa violazione è un promemoria del fatto che la politica sulla privacy di una VPN vale tanto quanto l'infrastruttura e le pratiche di sicurezza effettive dell'azienda. Un'affermazione senza log stampata su un sito web è una dichiarazione di marketing, non una garanzia tecnica. I fornitori che prendono sul serio questa promessa di solito si sottopongono a audit indipendenti dei propri sistemi e, anche in quel caso, violazioni dei sistemi di fatturazione o dei metadati dei dispositivi possono comunque verificarsi se un'azienda raccoglie più dati del dovuto per finalità di supporto o prevenzione delle frodi.
Cosa dovrebbero fare ora gli utenti di SplitVPN
Inizia dando per scontato che il tuo indirizzo email, e forse le informazioni di pagamento, siano stati esposti. Cambia immediatamente la password del tuo account SplitVPN e aggiornala ovunque tu l'abbia riutilizzata, poiché il riutilizzo delle credenziali è uno dei modi più comuni in cui una singola violazione si trasforma in compromissioni multiple di account. Se hai pagato con carta di credito, monitora attentamente gli estratti conto per addebiti non autorizzati e considera di contattare l'emittente della carta se qualcosa ti sembra sospetto.
Vale anche la pena valutare se desideri ancora utilizzare il servizio. Una violazione di questa portata, che coinvolge dati che un fornitore senza log non avrebbe dovuto conservare in primo luogo, è un motivo legittimo per guardare altrove. Quando valuterai qualsiasi VPN in futuro, cerca fornitori che abbiano pubblicato audit indipendenti di terze parti sulle loro affermazioni senza log, anziché basarti solo sul testo di marketing.
Il quadro più ampio sulla fiducia nelle VPN
L'incidente di SplitVPN arriva in un momento in cui l'adozione delle VPN continua a crescere tra le persone che cercano protezioni di base per la privacy online. Questa crescita rende episodi come questo ancora più rilevanti, non meno. Una singola violazione che colpisce decine di milioni di record erode la fiducia non solo in un fornitore, ma nell'idea più ampia che un abbonamento VPN significhi automaticamente privacy. Non è così. La privacy dipende da ciò che un'azienda fa realmente dietro le quinte, non da ciò che dichiara nella sua homepage.
Per ora, gli utenti interessati dovrebbero concentrarsi sulla protezione dei propri account e delle proprie finanze, e tutti gli altri dovrebbero considerare questo come un invito a porsi domande più difficili prima di affidare i propri dati a qualsiasi fornitore. Leggere audit indipendenti, controllare la cronologia delle violazioni di un'azienda e capire esattamente quali dati un servizio raccoglie sono semplici passi che fanno molto per evitare il prossimo titolo come questo.
