Una violazione dei dati legata a SplitVPN, un fornitore di rete privata virtuale precedentemente noto come NotVPN, ha esposto 865.336 utenti e circa 58 milioni di log di connessione. L'incidente sta attirando attenzione perché SplitVPN, come molti servizi VPN, si promuoveva promettendo privacy: una rigorosa politica di no-log che assicurava agli utenti che la loro attività online non sarebbe mai stata registrata o archiviata. La violazione suggerisce che tale promessa non sia stata mantenuta nella pratica.

Per un settore basato quasi interamente sulla fiducia, questo è il tipo di storia che cambia il modo in cui le persone valutano le dichiarazioni di un fornitore VPN. Milioni di persone usano le VPN proprio per evitare che le proprie abitudini di navigazione vengano tracciate o conservate da qualche parte. Quando le pratiche di registrazione di un fornitore contraddicono il suo marketing, sorgono domande difficili non solo per i clienti di SplitVPN, ma per chiunque si affidi all'etichetta "no-log" come motivo per fidarsi di un servizio con il proprio traffico.

Cosa è successo nella violazione di SplitVPN

Secondo la divulgazione, i dati esposti includevano 865.336 record di utenti insieme a circa 58 milioni di log di connessione. Quel volume di dati di connessione è significativo perché una VPN realmente no-log non dovrebbe generare, né tantomeno archiviare, registrazioni delle connessioni degli utenti su quella scala. La presenza di decine di milioni di log di connessione mina direttamente la garanzia di privacy fondamentale che SplitVPN pubblicizzava alla sua base di utenti.

SplitVPN operava in precedenza con il nome NotVPN prima di cambiare marchio. La violazione di SplitVPN che espone 865.000 record e 58 milioni di log ha già innescato una conversazione più ampia su come le aziende VPN verificano e fanno rispettare le proprie politiche sulla privacy, specialmente i fornitori più piccoli o meno conosciuti che potrebbero non essere sottoposti allo stesso livello di audit indipendenti dei servizi più grandi e consolidati.

Perché l'affermazione no-log è così importante

L'intera proposta di valore di una VPN si basa sulla fiducia. Gli utenti instradano il proprio traffico attraverso un server di terze parti proprio affinché il proprio provider di servizi Internet, gli amministratori di rete o altri osservatori non possano vedere cosa stanno facendo online. In cambio, affidano quella stessa visibilità nelle mani del fornitore VPN. Una politica no-log è il meccanismo che dovrebbe impedire che l'azienda VPN stessa diventi il punto di esposizione.

Quando un fornitore pubblicizza il no-log ma in seguito si scopre che ha conservato metadati di connessione, e quei metadati vengono poi esposti in una violazione, viene vanificato lo scopo stesso di utilizzare il servizio. Gli utenti non solo hanno visto i propri dati esposti da un aggressore esterno; hanno avuto dati che esistevano in una forma che era stato promesso non sarebbero mai stati creati. Questo è il motivo per cui regolatori, ricercatori di sicurezza e sostenitori della privacy spingono costantemente per audit indipendenti delle dichiarazioni no-log invece di accettare il linguaggio di marketing per oro colato.

Quali dati sono stati esposti

La violazione di SplitVPN avrebbe coinvolto record di account utente e log di connessione per decine di milioni. Log di connessione di questo tipo possono potenzialmente rivelare schemi come quando un utente si è connesso, per quanto tempo e altri metadati associati alle sessioni VPN. Anche senza la cronologia di navigazione completa, questo tipo di metadati può essere utilizzato per dedurre comportamenti, tempi e abitudini che gli utenti credevano fossero mantenuti privati.

Per gli individui coinvolti, l'esposizione significa che informazioni che pensavano non fossero mai state raccolte sono ora collegate ai loro account e potenzialmente rese accessibili a parti non autorizzate. Questo è uno scenario diverso e probabilmente più dannoso di una tipica violazione dei dati, perché distrugge anche la base di fiducia su cui il servizio era stato venduto.

Cosa significa per te

Se hai mai utilizzato SplitVPN o NotVPN, vale la pena considerare questo come un segnale per rivedere il tuo account e cambiare tutte le credenziali associate al servizio, incluse le password riutilizzate su altre piattaforme. Più in generale, questa violazione ricorda che "no-log" è un'affermazione, non una garanzia, a meno che non sia stata verificata in modo indipendente. Prima di affidare il tuo traffico a un fornitore VPN, cerca prove di audit di terze parti, rapporti di trasparenza o una storia documentata di come ha mantenuto le promesse sulla privacy sotto esame.

È anche un buon momento per rivalutare cosa ti aspetti da una VPN. Una politica no-log dovrebbe significare che non c'è nulla da far trapelare in primo luogo. Se una violazione produce milioni di log di connessione da un fornitore che dichiarava di non conservarli, questo è un campanello d'allarme significativo su come opera realmente l'azienda dietro le quinte, indipendentemente da quanto affermi il marketing.

Consigli pratici

Se sei un utente attuale o passato di SplitVPN o NotVPN, cambia immediatamente la password del tuo account e aggiornala ovunque tu possa averla riutilizzata. Tieni d'occhio i tuoi account email e di pagamento per attività sospette nelle settimane successive a questa divulgazione. Per il futuro, scegli fornitori VPN che pubblichino rapporti no-log sottoposti a audit indipendenti anziché fare affidamento su dichiarazioni non verificate. E tratta ogni promessa di privacy, da qualsiasi fornitore, come qualcosa da verificare piuttosto che dare per scontato, poiché questo incidente mostra quanto velocemente un'affermazione no-log possa essere infranta.