Wat het SplitVPN-datalek blootlegde

Een nieuw openbaar gemaakt datalek plaatst SplitVPN, een virtueel-privénetwerkaanbieder, in het middelpunt van een ongemakkelijke vraag die steeds weer opduikt in de vpn-branche: wat gebeurt er als een bedrijf dat belooft je activiteiten niet te loggen, dat toch blijkt te doen.

Volgens berichtgeving over het incident legde het lek ongeveer 865.000 gebruikersrecords bloot, samen met volledige creditcardnummers. Dat alleen al zou voor elke onlinedienst een ernstig incident zijn. Maar de omvang gaat veel verder dan factuurgegevens. De blootgestelde database bevatte naar verluidt beheerdersaccounts met wachtwoordhashes, logs die de acties van SplitVPN’s eigen beheerders bijhielden en infrastructuurdetails die verband hielden met het inrichten van App Store-accounts. Beveiligingsonderzoekers die het lek hebben bekeken, merken op dat de aanwezigheid van beheerdersreferenties en interne operationele gegevens erop wijst dat het lek verder kan reiken dan alleen de gebruikersgerichte records zouden doen vermoeden.

Het meest ingrijpende detail is echter de ontdekking van 58 miljoen verborgen verbindingslogs in dezelfde database. Voor een vpn-aanbieder ondermijnt dat ene getal het vertrouwen meer dan de blootstelling van creditcardgegevens of de beheerdersreferenties bij elkaar.

Waarom 58 miljoen gelogde verbindingen in strijd zijn met no-logclaims

De hele toegevoegde waarde van een vpn berust op een eenvoudige belofte: je provider routeert je verkeer, versleutelt het en bewaart geen gegevens van wat je deed of wanneer je dat deed. Aanbieders promoten dit als een ‘no-logbeleid’, vaak de meest herhaalde zin in vpn-reclame. Het is de reden waarom privacybewuste gebruikers überhaupt voor de dienst betalen.

Een database met 58 miljoen verbindingslogs is geen hypothetische technische nuance. Het is direct bewijs dat het beleid dat SplitVPN aan zijn klanten voorspiegelde niet overeenkwam met wat er werkelijk op zijn servers gebeurde. Verbindingslogs van dit type bevatten doorgaans informatie zoals tijdstempels, sessieduur en bron- of bestemmings-IP-adressen – precies de metadata die een echte no-logarchitectuur moet vermijden te bewaren. Wanneer die gegevens vervolgens in een kwetsbare SQL-database terechtkomen, samen met betalingsgegevens en beheerdersreferenties, bevestigt dat dat de logs lang genoeg en in een voldoende opvraagbare vorm bestonden om te worden gestolen.

Het is niet de eerste keer dat de no-logmarketing van een vpn wordt tegengesproken door een lek, en het zal niet de laatste keer zijn. Maar de schaal hier – tientallen miljoenen individuele verbindingsrecords gekoppeld aan honderdduizenden gebruikersaccounts – maakt SplitVPN tot een schrijnende casestudy van de kloof tussen wat aanbieders zeggen en wat ze opslaan. Voor een diepgaandere analyse van wat de gelekte database precies bevat en waarom de logtegenstrijdigheid ertoe doet, gaat onze eerdere berichtgeving over het SplitVPN-datalek en de no-logclaims uitgebreid in op de details.

Hoe controleer je de beveiligings- en logpraktijken van een vpn-aanbieder

Het SplitVPN-incident is een nuttige herinnering dat een no-logclaim op een marketingpagina geen verificatie is, maar een belofte. Lezers die een vpn-aanbieder beoordelen, of ze nu SplitVPN gebruikten of niet, moeten letten op een aantal concrete tekenen van verantwoording in plaats van beleidstaal klakkeloos te aanvaarden.

Onafhankelijke externe beveiligingsaudits zijn op dit moment het beste wat beschikbaar is aan echte verificatie. Een aanbieder die een extern bureau opdracht heeft gegeven om de serverconfiguraties te onderzoeken en te bevestigen dat er geen logs worden bewaard, geeft gebruikers iets substantiëlers dan een geschreven beleid. Ook is het de moeite waard om te controleren of een aanbieder een gedocumenteerde geschiedenis heeft van transparantieverslagen, openlijk behandelde datalekken en een duidelijk bewaarschema voor factuur- en accountgegevens, aangezien betalingsdata vaak over het hoofd wordt gezien wanneer men zich puur op browse-logs richt. De analyse van SplitVPN’s no-logtegenstrijdigheid behandelt extra vragen die je moet stellen voordat je de privacyclaims van welke aanbieder dan ook vertrouwt.

Wat dit voor jou betekent

Als je een huidige of voormalige SplitVPN-gebruiker bent, behandel dit dan als een actief incident dat actie vereist, niet alleen als een kop die je vluchtig doorleest. De blootstelling van creditcardnummers betekent dat je financiële gegevens risico lopen op fraude. De blootstelling van verbindingslogs betekent dat activiteit waarvan je dacht dat die nooit werd opgeslagen, nu aan jouw account kan worden gekoppeld. En de blootstelling van beheerdersreferenties betekent dat het onderliggende platform zelf mogelijk niet veilig is totdat SplitVPN herstelwerkzaamheden bevestigt.

Stappen die je moet nemen als je een SplitVPN-gebruiker was

Annuleer of vervang de betaalmethode die aan je SplitVPN-account is gekoppeld en controleer je afschriften nauwkeurig op ongeautoriseerde afschrijvingen. Wijzig onmiddellijk je SplitVPN-wachtwoord, en als je dat wachtwoord ergens anders opnieuw gebruikte, verander het dan daar ook. Schakel tweestapsverificatie in op elk account waar het beschikbaar is. Let op phishingpogingen die naar dit datalek verwijzen, aangezien aanvallers vaak gelekte gegevens gebruiken om overtuigende vervolgoplichting te bedenken. Tot slot: als je op zoek bent naar een nieuwe vpn, kies dan bij voorkeur voor aanbieders met onafhankelijk geaudite no-logclaims in plaats van alleen zelf gerapporteerd beleid.

De no-logtegenstrijdigheid in het SplitVPN-datalek is een duidelijk signaal dat privacybeloften bewijs vereisen, niet alleen marketingtekst. Gebruikers verdienen aanbieders die hun claims kunnen aantonen, niet alleen kunnen benoemen.