Cosa ha esposto la violazione di SplitVPN

Una violazione dati appena resa nota ha messo SplitVPN, un provider di rete privata virtuale, al centro di una domanda scomoda che continua a riemergere nel settore VPN: cosa succede quando un'azienda che promette di non registrare la tua attività si scopre averla registrata comunque.

Secondo quanto riportato sull'incidente, la violazione ha esposto circa 865.000 record utente insieme a numeri completi di carte di pagamento. Già questo rappresenterebbe un incidente grave per qualsiasi servizio online. Ma la portata va ben oltre i dati di fatturazione. Il database esposto includeva, a quanto pare, account amministrativi completi di hash delle password, log che tracciavano le azioni degli stessi operatori di SplitVPN e dettagli infrastrutturali legati al provisioning degli account App Store. I ricercatori di sicurezza che hanno esaminato la fuga di dati hanno osservato che la presenza di credenziali a livello amministrativo e dati operativi interni suggerisce che la violazione potrebbe estendersi oltre quanto indicherebbero i soli record visibili agli utenti.

Il dettaglio forse più rilevante, tuttavia, è il ritrovamento di 58 milioni di log di connessione nascosti all'interno dello stesso database. Per un provider VPN, quel singolo numero danneggia la fiducia più dell'esposizione dei dati delle carte di pagamento o della fuga di credenziali amministrative messe insieme.

Perché 58 milioni di connessioni registrate contraddicono le dichiarazioni no-log

L'intera proposta di valore di una VPN si basa su una semplice promessa: il tuo provider instrada il tuo traffico, lo cifra e non conserva alcuna traccia di cosa hai fatto o quando lo hai fatto. I provider commercializzano questa come una "no-logs policy", spesso la frase più ripetuta nella pubblicità delle VPN. È il motivo per cui gli utenti attenti alla privacy pagano per il servizio in primo luogo.

Un database contenente 58 milioni di log di connessione non è un tecnicismo ipotetico. È la prova diretta che, qualunque politica SplitVPN pubblicizzasse ai propri clienti, non corrispondeva a ciò che realmente accadeva sui suoi server. I log di connessione di questo tipo in genere catturano informazioni come timestamp, durata della sessione e indirizzi IP di origine o destinazione, esattamente i metadati che un'architettura no-log autentica è progettata per evitare di conservare. Quando quei dati finiscono in un database SQL violabile insieme a informazioni di pagamento e credenziali amministrative, ciò conferma che i log sono esistiti abbastanza a lungo e in un formato sufficientemente recuperabile da essere rubati.

Non è la prima volta che il marketing no-log di una VPN viene contraddetto da una fuga di dati, e non sarà l'ultima. Ma la portata in questo caso, decine di milioni di singoli record di connessione collegati a centinaia di migliaia di account utente, rende SplitVPN un caso di studio lampante sul divario tra ciò che i provider dichiarano e ciò che memorizzano. Per un approfondimento su cosa contiene esattamente il database trapelato e perché la contraddizione sulla registrazione dei log sia importante, la nostra precedente copertura sulla violazione di SplitVPN e le sue dichiarazioni no-log analizza i dettagli più nel concreto.

Come verificare le pratiche di sicurezza e registrazione dei log di un provider VPN

L'incidente di SplitVPN è un utile promemoria del fatto che una dichiarazione no-log stampata su una pagina di marketing non è una verifica, ma una promessa. Chi valuta un qualsiasi provider VPN, che abbia usato SplitVPN o meno, dovrebbe cercare alcuni segnali concreti di responsabilità invece di prendere per buona la formulazione delle policy.

Gli audit di sicurezza indipendenti condotti da terze parti sono quanto di più vicino a una verifica reale sia attualmente disponibile. Un provider che abbia incaricato una società esterna di esaminare le configurazioni dei propri server e confermare che i log non vengono conservati offre agli utenti qualcosa di più sostanziale di una politica scritta. Vale anche la pena verificare se un provider abbia una storia documentata di rapporti sulla trasparenza, violazioni gestite apertamente e un programma chiaro di conservazione dei dati per la fatturazione e le informazioni di account, poiché i dati di pagamento sono spesso la parte che gli utenti trascurano quando si concentrano esclusivamente sui log di navigazione. L'analisi della contraddizione no-log di SplitVPN copre ulteriori domande che vale la pena porsi prima di fidarsi delle dichiarazioni sulla privacy di qualsiasi provider.

Cosa significa per te

Se sei un utente attuale o passato di SplitVPN, considera questa come una vicenda attiva che richiede azioni, non solo un titolo da scorrere velocemente. L'esposizione dei numeri delle carte di pagamento significa che le tue informazioni finanziarie potrebbero essere a rischio di frode. L'esposizione dei log di connessione significa che attività che credevi non fossero mai state registrate potrebbero ora essere collegate al tuo account. E l'esposizione delle credenziali amministrative significa che la piattaforma sottostante stessa potrebbe non essere sicura finché SplitVPN non confermi di aver posto rimedio.

Cosa fare se eri un utente di SplitVPN

Annulla o sostituisci il metodo di pagamento collegato al tuo account SplitVPN e monitora attentamente gli estratti conto per addebiti non autorizzati. Cambia immediatamente la tua password di SplitVPN e, se hai riutilizzato quella password altrove, cambiala anche lì. Attiva l'autenticazione a due fattori su qualsiasi account in cui sia disponibile. Fai attenzione ai tentativi di phishing che fanno riferimento a questa violazione, poiché gli aggressori usano spesso i dati trapelati per creare truffe di follow-up convincenti. Infine, se stai cercando una nuova VPN, dai la priorità ai provider con dichiarazioni no-log verificate in modo indipendente anziché alle sole policy autodichiarate.

La contraddizione no-log emersa dalla violazione dei dati di SplitVPN è un chiaro segnale che le promesse sulla privacy hanno bisogno di prove, non solo di testi di marketing. Gli utenti meritano provider che possano dimostrare le proprie affermazioni, non solo enunciarle.