SplitVPN-inbreuk: 17 GB-database lekt 23,4 miljoen gebruikersgegevens

Een database van een 'no-logs'-VPN duikt online op

Een gestolen 17 GB SQL-database die vermoedelijk toebehoort aan SplitVPN, de VPN-dienst voorheen bekend als NotVPN, is online opgedoken, en de inhoud ervan spreekt de al lang bestaande no-logs-privacybelofte van het bedrijf rechtstreeks tegen. Volgens een analyse van de gelekte gegevens bevat de database ongeveer 23,4 miljoen gebruikersrecords, 13,6 miljoen apparaatrecords en 2,6 miljoen betalingsrecords. Die combinatie van persoonlijke, apparaat- en financiële gegevens is precies wat een echte no-logs-VPN-dienst nooit zou mogen kunnen verzamelen, laat staan verliezen bij een datalek.

Het lek zou in eerste instantie zijn verspreid op het Altenen cybercrimeforum, een plek die vaak wordt gebruikt om gestolen databases te verspreiden voordat ze worden doorverkocht of door andere aanvallers worden ontleed. Zodra een dataset als deze dat soort forum bereikt, verspreidt die zich meestal snel naar andere criminele marktplaatsen, waardoor inperking vrijwel onmogelijk wordt. Voor een VPN-provider, waarvan de volledige waardepropositie rust op de belofte geen gebruikersactiviteit of identiteitsgegevens op te slaan, is dit soort blootstelling zo ongeveer het meest schadelijke wat er is.

Waarom de 'no-logs'-claim nu ter discussie staat

VPN-providers promoten no-logs-beleid als een belangrijk verkoopargument: het idee dat er niets te overhandigen valt, zelfs als een overheid of aanvaller gebruikersdata opvraagt. De situatie bij SplitVPN laat zien waarom die claims nauwkeurige controle verdienen in plaats van blind vertrouwen. Een afzonderlijke analyse van hetzelfde incident toonde aan dat de blootgestelde gegevens ook tientallen miljoenen verbindingslogs bevatten, zoals gedetailleerd beschreven in een gerelateerd rapport over SplitVPN's blootstelling van 58 miljoen logs ondanks de no-logs-belofte. Verbindingslogs, apparaat-ID's en betalingsgegevens zijn niet het soort informatie waarvan een provider op geloofwaardige wijze kan beweren dat deze nooit is opgeslagen.

Deze kloof tussen marketingtaal en feitelijke datapraktijken is niet uniek voor SplitVPN, maar de schaal maakt dit een opvallende casestudy. Miljoenen gebruikers kozen specifiek voor deze dienst omdat deze privacy beloofde, en velen gebruikten hem waarschijnlijk in regio's waar anonimiteit van belang is voor persoonlijke veiligheid, niet alleen voor gemak. Wanneer de interne werkwijze van een provider niet overeenkomt met zijn publieke claims, reiken de gevolgen verder dan gêne. Ze kunnen echte mensen in gevaar brengen, vooral degenen die op de dienst vertrouwen om hun identiteit of locatie te verbergen.

Een nadere beschouwing van de gelekte database en de herkomst ervan is het volledig lezen waard, inclusief hoe de no-logs-claim in eerste instantie onder vuur kwam te liggen. Een diepgaander onderzoek van die kwestie is te vinden in deze analyse waarom de no-logs-claims van SplitVPN geverifieerd moeten worden, waarin de tegenstrijdigheid wordt doorgenomen tussen het beleid dat SplitVPN adverteerde en de gegevens die het blijkbaar bewaarde.

Wat dit voor jou betekent

Als je ooit SplitVPN of zijn voorganger NotVPN hebt gebruikt, zie dit dan als een signaal om actie te ondernemen, niet alleen om erover te lezen. De blootgestelde dataset bevat naar verluidt betalingsrecords, wat betekent dat financiële details die aan jouw account zijn gekoppeld onderdeel kunnen zijn van het lek. Apparaatrecords wijzen erop dat identificatoren die aan jouw specifieke hardware zijn gekoppeld mogelijk ook zijn blootgesteld, wat het voor kwaadwillenden makkelijker kan maken om jouw VPN-gebruik te koppelen aan je echte identiteit op andere diensten.

In bredere zin is deze inbreuk een herinnering dat het privacybeleid van een VPN slechts zo goed is als de daadwerkelijke infrastructuur en beveiligingspraktijken van het bedrijf. Een no-logs-claim op een website is een marketingkreet, geen technische garantie. Providers die de belofte serieus nemen, laten hun systemen doorgaans onafhankelijk auditen, en zelfs dan kunnen er nog steeds inbreuken op factureringssystemen of apparaatmetadata plaatsvinden als een bedrijf meer verzamelt dan nodig is voor ondersteuning of fraudepreventie.

Wat SplitVPN-gebruikers nu moeten doen

Ga er om te beginnen van uit dat je e-mailadres, en mogelijk betalingsinformatie, is blootgesteld. Wijzig onmiddellijk je SplitVPN-accountwachtwoord en pas het wachtwoord ook aan op andere plekken waar je het misschien hebt hergebruikt, want hergebruik van inloggegevens is een van de meest voorkomende manieren waarop een enkele inbreuk leidt tot meerdere accountcompromissen. Als je met een creditcard hebt betaald, controleer dan je afschriften nauwlettend op ongeautoriseerde afschrijvingen en overweeg contact op te nemen met de kaartuitgever als er iets onbekends uitziet.

Het is ook de moeite waard om te heroverwegen of je de dienst überhaupt nog wilt gebruiken. Een inbreuk van deze omvang, waarbij het gaat om gegevens die een no-logs-provider in de eerste plaats niet had mogen bewaren, is een legitieme reden om elders te kijken. Kijk bij het evalueren van een VPN in de toekomst naar providers die onafhankelijke audits van derden over hun no-logs-claims hebben gepubliceerd, in plaats van alleen op marketingteksten te vertrouwen.

Het grotere plaatje rond vertrouwen in VPN's

Het SplitVPN-incident komt op een moment dat het gebruik van VPN's blijft groeien onder mensen die online basisbescherming van privacy zoeken. Die groei maakt incidenten als deze ingrijpender, niet minder. Eén enkele inbreuk die tientallen miljoenen records treft, ondermijnt het vertrouwen, niet alleen in één provider, maar ook in het bredere idee dat een VPN-abonnement automatisch privacy betekent. Dat is niet zo. Privacy hangt af van wat een bedrijf achter de schermen daadwerkelijk doet, niet van wat het op zijn homepage beweert.

Voor nu moeten getroffen gebruikers zich richten op het beveiligen van hun accounts en financiën, en iedereen die verder niet is getroffen moet dit beschouwen als een aansporing om kritischer vragen te stellen voordat ze hun gegevens aan een provider toevertrouwen. Het lezen van onafhankelijke audits, het controleren van de inbreukgeschiedenis van een bedrijf en precies begrijpen welke gegevens een dienst verzamelt, zijn eenvoudige stappen die een heel eind helpen om de volgende kop zoals deze te voorkomen.