Cosa ha esposto la violazione di SplitVPN

Un servizio VPN chiamato SplitVPN, commercializzato come strumento per aggirare la censura su Internet, è al centro di un'esposizione di dati che mina proprio la promessa fatta agli utenti. Secondo un rapporto di Security Affairs, un database SQL rubato di 17 GB, presumibilmente collegato a SplitVPN, conteneva milioni di record di utenti, dispositivi e pagamenti, oltre a 58 milioni di log di connessione. Quest'ultimo dettaglio è quello che conta di più, perché SplitVPN si pubblicizzava come servizio no-log, sostenendo di non registrare il tipo di dati di attività che potrebbero collegare l'identità di un utente al suo comportamento online.

L'entità della fuga di dati – decine di milioni di record di connessione insieme a informazioni su pagamenti e dispositivi – suggerisce che non si sia trattato di una semplice svista tecnica. Indica una pratica sistemica di conservazione proprio di quei dati che una politica no-log dovrebbe escludere. Per un servizio nato per aiutare le persone a eludere la censura, spesso in regioni dove la sorveglianza digitale comporta un rischio personale reale, questo tipo di esposizione è più di un imbarazzo. È una contraddizione diretta della promessa di sicurezza su cui gli utenti facevano affidamento.

Come una VPN “no-log” ha finito per registrare tutto

Il divario tra ciò che i fornitori VPN dichiarano nel marketing e ciò che accade realmente sui loro server non è un problema nuovo, ma il caso SplitVPN è un duro promemoria di quanto questo divario possa essere ampio. Un'affermazione “no-log” è, in sostanza, una dichiarazione di politica aziendale. Descrive ciò che un'azienda afferma di non fare. Nulla di tale affermazione viene automaticamente verificato da un meccanismo tecnico o da una parte esterna. A meno che il fornitore non si sottoponga a un controllo indipendente, quell'affermazione esiste solo su una pagina web.

Quello che probabilmente è accaduto qui è uno schema comune nel settore delle VPN: metadati di connessione, timestamp, indirizzi IP, dettagli della sessione e informazioni sull'account vengono raccolti per ragioni operative come la risoluzione dei problemi, la prevenzione delle frodi o la fatturazione, e quei dati non vengono mai completamente eliminati. Nel tempo, si accumulano fino a formare esattamente il tipo di profilo che una politica no-log afferma non esista. Quando un database del genere viene violato o lasciato esposto, la discrepanza tra politica e pratica diventa pubblica nel modo peggiore possibile.

Perché le dichiarazioni no-log non verificate non sono affidabili

Questo incidente è un utile caso di studio sul perché un'affermazione no-log, di per sé, non dovrebbe mai essere considerata una prova di privacy. Qualsiasi fornitore di VPN può scrivere “non registriamo la tua attività” sulla propria homepage. L'affermazione diventa credibile solo quando è supportata da qualcosa di esterno: un audit di sicurezza condotto da terze parti, un caso giudiziario in cui le autorità hanno richiesto log che effettivamente non esistevano, oppure una storia trasparente di reportistica pubblica costante. Senza questo tipo di verifica, una politica no-log è solo un messaggio di marketing, non una garanzia.

La lezione più ampia va oltre le VPN. Molti strumenti di sicurezza e privacy fanno promesse audaci che suonano rassicuranti ma sono difficili da verificare per un utente medio. Lo stesso scetticismo che si applica qui vale anche per altri ambiti della sicurezza; ad esempio, le analisi sui pagamenti ransomware hanno analogamente dimostrato che un'assunzione comune – in quel caso, che pagare un riscatto risolva il problema – non regge una volta esaminati dati indipendenti. Le affermazioni hanno bisogno di prove, non solo di buone intenzioni.

Come verificare l'informativa sulla privacy di una VPN prima di fidarsi

Prima di abbonarsi a una VPN, specialmente se commercializzata per casi d'uso ad alto rischio come l'elusione della censura, vale la pena fare alcuni controlli concreti anziché prendere per buona l'etichetta no-log:

  • Cercate un audit di sicurezza completato e pubblicato da una terza parte, non solo un vago riferimento a essere “sottoposto a verifica”. I fornitori affidabili indicano il nome della società di audit e pubblicano i risultati.
  • Verificate se il fornitore ha una storia documentata, che includa idealmente casi in cui le richieste delle forze dell'ordine hanno confermato l'assenza di log utili.
  • Leggete l'informativa sulla privacy vera e propria, non solo le pagine di marketing, per vedere quali categorie di dati vengono raccolte per fatturazione, risoluzione dei problemi o prevenzione delle frodi e per quanto tempo questi dati vengono conservati.
  • Informatevi sulla proprietà e sulla giurisdizione dell'azienda, poiché gli obblighi di conservazione dei dati variano notevolmente da paese a paese.

Cosa significa per te

Se utilizzi SplitVPN, o qualsiasi VPN, la fuga di dati no-log di SplitVPN è un promemoria per rivalutare periodicamente se il servizio per cui paghi supporta le sue dichiarazioni sulla privacy con prove concrete. Se il tuo fornitore non ha mai pubblicato un audit indipendente, vale la pena considerarlo un campanello d'allarme anziché un tecnicismo. Per gli utenti in regioni a rischio censura, dove una violazione dei log di connessione potrebbe comportare conseguenze personali reali, questo controllo non è facoltativo: è essenziale.

Punti chiave

L'incidente SplitVPN sottolinea una verità semplice: una promessa di privacy è forte solo quanto le prove che la sostengono. Prima di affidare i tuoi dati di connessione a una VPN, verifica la sua dichiarazione no-log attraverso audit indipendenti e rapporti di trasparenza, anziché basarti solo sul linguaggio di marketing. Rivedi la politica del tuo attuale fornitore, verifica la presenza di verifiche di terze parti e non esitare a cambiare se le prove non reggono.