Wat het SplitVPN-datalek heeft blootgelegd

Een VPN-dienst genaamd SplitVPN, op de markt gebracht als hulpmiddel om internetcensuur te omzeilen, staat centraal in een datalek dat de belofte aan gebruikers onderuit haalt. Volgens een rapport van Security Affairs bevatte een gestolen SQL-database van 17 GB, die vermoedelijk aan SplitVPN toebehoorde, miljoenen gebruikers-, apparaat- en betalingsgegevens, samen met 58 miljoen verbindingslogs. Dat laatste detail is wat er het meest toe doet, want SplitVPN adverteerde zichzelf als een no-logs-dienst, wat betekent dat het beweerde geen activiteitengegevens vast te leggen die de identiteit van een gebruiker aan zijn online gedrag konden koppelen.

De omvang van het lek – tientallen miljoenen verbindingsrecords naast betalings- en apparaatgegevens – suggereert dat dit niet om een kleine technische nalatigheid ging. Het wijst op een systematische praktijk om precies die gegevens te bewaren die een no-logs-beleid zou moeten uitsluiten. Voor een dienst die is opgezet om mensen te helpen censuur te omzeilen, vaak in regio’s waar digitaal toezicht reële persoonlijke risico’s met zich meebrengt, is zo’n blootstelling meer dan een gênante zaak. Het is een rechtstreekse tegenspraak van de veiligheidsbelofte waar gebruikers op vertrouwden.

Hoe een ‘geen logs’-VPN uiteindelijk alles logde

De kloof tussen wat VPN-aanbieders in hun marketing zeggen en wat er werkelijk op hun servers gebeurt, is geen nieuw probleem, maar de zaak SplitVPN is een schrijnende herinnering aan hoe groot die kloof kan zijn. Een “geen logs”-claim is in de kern een beleidsverklaring. Het beschrijft wat een bedrijf zegt niet te zullen doen. Niets aan die verklaring wordt automatisch geverifieerd door een technisch mechanisme of een externe partij. Tenzij een aanbieder zich aan onafhankelijk onderzoek onderwerpt, bestaat die claim alleen op een webpagina.

Wat hier waarschijnlijk is gebeurd, is een veelvoorkomend patroon in de VPN-branche: metadata van verbindingen, tijdstempels, IP-adressen, sessiegegevens en accountinformatie worden verzameld om operationele redenen zoals probleemoplossing, fraudepreventie of facturering, en die gegevens worden nooit volledig gewist. Na verloop van tijd hoopt dat zich op tot precies het soort profiel waarvan een no-logs-beleid beweert dat het niet bestaat. Wanneer een dergelijke database wordt gehackt of blootgesteld, wordt de discrepantie tussen beleid en praktijk op de slechtst mogelijke manier openbaar.

Waarom niet-geauditeerde ‘geen logs’-claims niet te vertrouwen zijn

Dit incident is een nuttige casestudy over waarom een claim van geen logs op zichzelf nooit als bewijs van privacy mag worden opgevat. Elke VPN-aanbieder kan “wij loggen uw activiteit niet” op zijn homepage schrijven. De claim wordt pas geloofwaardig als deze wordt ondersteund door iets externs: een beveiligingsaudit door een derde partij, een rechtszaak waarbij autoriteiten logs opvroegen die daadwerkelijk niet bestonden, of een transparante geschiedenis van consistente openbare rapportage. Zonder die vorm van verificatie is een no-logs-beleid een marketingverklaring, geen garantie.

De bredere les reikt verder dan VPN’s. Veel beveiligings- en privacytools doen gewaagde beloften die geruststellend klinken maar lastig te verifiëren zijn voor een gemiddelde gebruiker. Dezelfde scepsis die hier van toepassing is, is ook elders in de beveiligingswereld op zijn plaats; zo heeft rapportage over ransomware-betalingen eveneens aangetoond dat een gangbare aanname – in dat geval dat het betalen van losgeld het probleem oplost – geen standhoudt zodra onafhankelijke gegevens worden onderzocht. Claims hebben bewijs nodig, niet alleen intentie.

Hoe je het privacybeleid van een VPN kunt controleren voordat je het vertrouwt

Voordat je je abonneert op een VPN, vooral een die wordt aangeprezen voor situaties met hoge inzet zoals het omzeilen van censuur, is het de moeite om enkele concrete controles uit te voeren in plaats van het label ‘geen logs’ voor waar aan te nemen:

  • Ga na of er een voltooide, gepubliceerde beveiligingsaudit door een derde partij is, niet slechts een vage verwijzing naar “geauditeerd zijn”. Betrouwbare aanbieders noemen het auditkantoor en publiceren de bevindingen.
  • Controleer of de aanbieder een gedocumenteerde geschiedenis heeft, idealiter met voorbeelden waarin wetshandhavingsverzoeken bevestigden dat er geen bruikbare logs bestonden.
  • Lees het daadwerkelijke privacybeleid, niet alleen de marketingpagina’s, om te zien welke gegevenscategorieën worden verzameld voor facturering, probleemoplossing of fraudepreventie, en hoelang die gegevens worden bewaard.
  • Onderzoek de eigendomsstructuur en jurisdictie van het bedrijf, aangezien verplichtingen voor gegevensbewaring aanzienlijk per land verschillen.

Wat dit voor jou betekent

Als je SplitVPN gebruikt, of welke VPN dan ook, is het SplitVPN-datalek van geen logs een herinnering om periodiek opnieuw te beoordelen of de dienst waarvoor je betaalt zijn privacyclaims onderbouwt met echt bewijs. Als jouw aanbieder nooit een onafhankelijke audit heeft gepubliceerd, mag je dat als een alarmsignaal beschouwen en niet als een formaliteit. Voor gebruikers in regio’s waar censuur heerst en een lek van verbindingslogs reële persoonlijke gevolgen kan hebben, is deze nauwkeurige inspectie niet optioneel; die is essentieel.

Conclusies

Het SplitVPN-incident onderstreept een eenvoudige waarheid: een privacybelofte is slechts zo sterk als het bewijs erachter. Voordat je een VPN vertrouwt met je verbindingsgegevens, verifieer je de claim van geen logs via onafhankelijke audits en transparantierapporten in plaats van alleen op marketingtaal te vertrouwen. Bekijk het beleid van je huidige aanbieder, controleer op verificatie door derden en aarzel niet om over te stappen als het bewijs niet overtuigt.