Een 17 GB grote SQL-database die momenteel circuleert op het cybercrimeforum Altenen werpt een schijnwerper op een van de meest herhaalde beloften in de vpn-industrie: het no-logsbeleid. De database, naar verluidt gestolen van SplitVPN (voorheen NotVPN), een Russische vpn die specifiek werd aangeboden om internetcensuur te omzeilen, zou ongeveer 23,4 miljoen gebruikersrecords en zo'n 58 miljoen verbindingslogs bevatten. Dat is een opvallend aantal voor een dienst die in zijn marketing claimde helemaal geen logs bij te houden.

Dit is niet alleen een verhaal over één vpn-aanbieder die gehackt is. Het herinnert ons eraan dat een privacybeleid slechts zo goed is als de praktijk erachter, en dat de schending van de no-logsclaims bij SplitVPN precies illustreert waarom gebruikers verder moeten kijken dan marketingteksten voordat ze een aanbieder hun verkeer toevertrouwen.

Wat er gebeurde bij de SplitVPN-inbreuk

Volgens berichtgeving van Security Affairs begon een dreigingsactor de database te verspreiden op een bekend cybercrimeforum, en onderzoekers van Mysterium verkregen een kopie en verifieerden deze aan de hand van de ruwe dump. Hun analyse bevestigde de omvang: miljoenen gebruikersaccounts, apparaatinformatie, betalingsgegevens en metadata van verbindingen, allemaal naar verluidt afkomstig van een dienst waarvan het bestaansrecht juist lag in het niet bewaren van dit soort gegevens.

We behandelden de technische uitsplitsing van de blootgestelde dataset uitgebreid in ons eerdere artikel over de SplitVPN-inbreuk die 58 miljoen logs blootlegt, inclusief welke categorieën gegevens naar verluidt waren opgenomen en hoe het lek werd geverifieerd. Als u SplitVPN gebruikt of hebt gebruikt, is dat artikel het volledig lezen waard, omdat het uiteenzet welke informatie mogelijk is blootgesteld en welke stappen getroffen gebruikers zouden moeten overwegen.

De kern van het probleem is niet dat er een inbreuk plaatsvond. Inbreuken gebeuren bij bedrijven in elke sector. Het probleem is de kloof tussen wat SplitVPN gebruikers vertelde over zijn datapraktijken en wat de gelekte database lijkt te tonen. Als een vpn zichzelf aanprijst als een censuur-omzeilingstool zonder logging, en een gestolen database toont tientallen miljoenen verbindingsrecords, dan is dat geen klein verschil. Het is een directe tegenspraak van de kernbelofte van het product.

Waarom verbindingslogs no-logsbeloftes ondermijnen

Verbindingslogs zijn niet hetzelfde als browsegeschiedenis, maar ze kunnen nog steeds erg onthullend zijn. Een verbindingslog registreert doorgaans wanneer een gebruiker verbinding maakte met een vpn-server, welke server werd gebruikt, hoe lang de sessie duurde en soms het IP-adres van waaruit verbinding werd gemaakt. Voor een vpn die op de markt wordt gebracht voor mensen die internetcensuur proberen te omzeilen, kan dat soort metadata op zichzelf al gevoelig zijn, omdat het mogelijk kan worden gebruikt om patronen vast te stellen van wanneer en hoe iemand toegang tot het internet kreeg, zelfs zonder te weten wat ze precies deden toen ze eenmaal verbonden waren.

Een echt no-logsbeleid betekent dat een aanbieder zijn systemen zo ontwerpt dat deze informatie simpelweg niet wordt bewaard, via servers die alleen in RAM werken, sessiegegevens die onmiddellijk worden verwijderd, of een infrastructuur die verbindingsmetadata überhaupt nooit naar schijf schrijft. Wanneer een inbreuk miljoenen verbindingslogs in een database aan het licht brengt, suggereert dit dat de aanbieder precies het soort informatie verzamelde en opsloeg waarvan de marketing zei dat het dat niet zou doen. Dat is het centrale probleem dat het SplitVPN-incident illustreert: de belofte en de praktijk kwamen kennelijk niet overeen.

Hoe u de no-logsclaims van een vpn kunt verifiëren voordat u erop vertrouwt

Marketingpagina's zijn gemakkelijk te schrijven. Verifieerbaar bewijs is moeilijker te vervalsen, en dat is wat een geloofwaardige no-logsclaim onderscheidt van een loze. Kijk, voordat u een vpn uw verkeer toevertrouwt, naar een paar concrete signalen:

Onafhankelijke audits tellen zwaarder dan zelfgerapporteerd beleid. Een gerenommeerd extern beveiligingsbedrijf dat de serverconfiguratie van een aanbieder beoordeelt en bevestigt dat er geen identificerende logs worden opgeslagen, weegt veel zwaarder dan een paragraaf op een privacybeleidspagina.

Rechtszaken en verzoeken van wetshandhavingsinstanties kunnen als echte praktijktests dienen. Als een aanbieder eerder is gedwongen om gebruikersgegevens te overhandigen en simpelweg niets had om te geven, is dat een sterker signaal dan een onbewezen claim.

Transparantierapporten, jurisdictie en eigendomsgeschiedenis doen er ook allemaal toe. Een aanbieder die gevestigd is in een land met sterke wetgeving voor gegevensbescherming, regelmatig transparantierapporten publiceert en een duidelijke eigendomsstructuur heeft, is over het algemeen makkelijker ter verantwoording te roepen dan een aanbieder die verhult wie hem runt.

Checklist: Rode vlaggen bij het kiezen van een privacygerichte vpn

Let bij het evalueren van een vpn-aanbieder op deze waarschuwingssignalen: er is nooit een onafhankelijke audit gepubliceerd of de audit is jaren verouderd; het eigendom of de jurisdictie van het bedrijf is onduidelijk of wisselt regelmatig; het privacybeleid gebruikt vage bewoordingen over "geanonimiseerde" of "geaggregeerde" gegevens zonder uit te leggen wat er daadwerkelijk wordt verzameld; er is geen transparantierapport of geschiedenis van het reageren op juridische verzoeken; en de dienst heeft zich eerder geherpositioneerd (zoals SplitVPN deed vanuit NotVPN) zonder een duidelijke uitleg van wat er operationeel is veranderd.

Wat dit voor u betekent

Als u momenteel SplitVPN gebruikt, beschouw dit dan als een signaal om de berichtgeving over de SplitVPN-inbreuk die 58 miljoen logs blootlegt te bekijken en na te gaan of uw account-, apparaat- of betalingsinformatie mogelijk is opgenomen in de blootgestelde database. Meer in het algemeen is dit incident een nuttige aanleiding om elke vpn waarop u vertrouwt opnieuw te onderzoeken, niet omdat elke aanbieder liegt over zijn logpraktijken, maar omdat vertrouwen in deze ruimte verdiend moet worden door verificatie, niet aangenomen op basis van een marketingpagina.

De no-logsclaims-inbreuk bij SplitVPN betekent niet dat no-logsvpn's een mythe zijn. Het betekent dat het label alleen geen bewijs is. Aanbieders die kunnen wijzen op onafhankelijke audits, consistente transparantierapportage en een staat van dienst in het beschermen van gebruikersgegevens onder juridische druk, hebben een ander vertrouwensniveau verdiend dan aanbieders die alleen op marketingtaal vertrouwen.

Concrete actiepunten

Controleer of uw vpn-aanbieder een recente, openbaar beschikbare onafhankelijke audit van zijn no-logsclaims heeft ondergaan. Onderzoek de jurisdictie en eigendomsgeschiedenis van de aanbieder, aangezien deze van invloed zijn op welke gegevens wettelijk van hen kunnen worden gevorderd. Lees transparantierapporten als de aanbieder die publiceert, en behandel de afwezigheid ervan als een hiaat dat vragen oproept. Als u een SplitVPN-gebruiker was, bekijk dan de details van de blootgestelde dataset en overweeg om hergebruikte wachtwoorden of betalingsinformatie die aan dat account is gekoppeld te wijzigen. En kies in de toekomst privacyhulpmiddelen op basis van verifieerbaar bewijs in plaats van alleen beloften.