Hva SplitVPN-lekkasjen avslørte

En VPN-tjeneste kalt SplitVPN, markedsført som et verktøy for å omgå internettsensur, står i sentrum for en dataeksponering som undergraver selve løftet den solgte til brukerne. Ifølge en rapport fra Security Affairs skal en stjålet SQL-database på 17 GB, angivelig knyttet til SplitVPN, ha inneholdt millioner av bruker-, enhets- og betalingsopptegnelser, samt 58 millioner tilkoblingslogger. Den siste detaljen er den som betyr mest, fordi SplitVPN markedsførte seg som en no-logs-tjeneste, det vil si at de hevdet ikke å registrere den typen aktivitetsdata som kan knytte en brukers identitet til deres atferd på nettet.

Omfanget av lekkasjen – titalls millioner tilkoblingslogger sammen med betalings- og enhetsinformasjon – tyder på at dette ikke var et mindre teknisk uhell. Det peker mot en systematisk praksis med å ta vare på akkurat de dataene en no-logs-policy skal utelukke. For en tjeneste som er bygd for å hjelpe folk med å omgå sensur, ofte i regioner der digital overvåking innebærer reell personlig risiko, er en slik eksponering mer enn pinlig. Det er et direkte brudd på sikkerhetsløftet brukerne stolte på.

Hvordan en 'ingen logger'-VPN endte opp med å logge alt

Avstanden mellom det VPN-leverandører sier i markedsføringen og det som faktisk skjer på serverne deres er ikke et nytt problem, men SplitVPN-saken er en sterk påminnelse om hvor stor den avstanden kan være. Et «ingen logger»-løfte er i bunn og grunn en policyerklæring. Den beskriver hva et selskap sier det ikke vil gjøre. Ingenting ved denne erklæringen blir automatisk verifisert av en teknisk mekanisme eller en ekstern part. Med mindre en leverandør underkaster seg uavhengig gransking, eksisterer påstanden kun på en nettside.

Det som sannsynligvis har skjedd her, er et vanlig mønster i VPN-bransjen: tilkoblingsmetadata, tidsstempler, IP-adresser, sesjonsdetaljer og kontoinformasjon samles inn av driftsmessige årsaker som feilsøking, svindelforebygging eller fakturering, og disse dataene blir aldri helt slettet. Over tid akkumuleres de til akkurat den typen profil en no-logs-policy hevder ikke finnes. Når en slik database blir hacket eller ligger eksponert, blir misforholdet mellom policy og praksis offentlig på verst tenkelige måte.

Hvorfor ureviderte ingen-logg-påstander ikke kan stole på

Denne hendelsen er en nyttig case-studie i hvorfor en no-logs-påstand i seg selv aldri bør behandles som et bevis på personvern. Enhver VPN-leverandør kan skrive «vi logger ikke aktiviteten din» på hjemmesiden sin. Påstanden blir troverdig først når den underbygges av noe eksternt: en tredjeparts sikkerhetsrevisjon, en rettssak der myndighetene ba om logger som faktisk ikke fantes, eller en transparent historikk med konsekvent offentlig rapportering. Uten den typen verifisering er en no-logs-policy et markedsføringsutsagn, ikke en garanti.

Den bredere lærdommen strekker seg utover VPN-er. Mange sikkerhets- og personvernverktøy kommer med dristige løfter som høres betryggende ut, men som er vanskelige for en vanlig bruker å bekrefte. Den samme skepsisen som gjelder her, er verdt å bruke andre steder i sikkerhetsverdenen; for eksempel har rapportering om løsepengeutbetalinger på lignende vis vist at en vanlig antakelse – i det tilfellet at betaling av løsepenger løser problemet – ikke holder mål når uavhengige data undersøkes. Påstander trenger bevis, ikke bare intensjon.

Hvordan vurdere en VPNs personvernpolicy før du stoler på den

Før du abonnerer på en VPN, særlig en som markedsføres for innsatskrevende bruksområder som å omgå sensur, er det verdt å gjøre noen konkrete kontroller i stedet for å ta no-logs-merkelappen for god fisk:

  • Se etter en fullført, publisert tredjeparts sikkerhetsrevisjon, ikke bare en vag henvisning til å være «revidert». Seriøse leverandører navngir revisjonsfirmaet og publiserer funnene.
  • Sjekk om leverandøren har en dokumentert historikk, helst med tilfeller der forespørsler fra politi eller myndigheter bekreftet at det ikke fantes noen nyttige logger.
  • Les den faktiske personvernpolicyen, ikke bare markedssidene, for å se hvilke datakategorier som samles inn for fakturering, feilsøking eller svindelforebygging, og hvor lenge disse dataene beholdes.
  • Undersøk selskapets eierskap og jurisdiksjon, ettersom pliktene til datalagring varierer betydelig fra land til land.

Hva dette betyr for deg

Hvis du bruker SplitVPN, eller en hvilken som helst VPN, er SplitVPNs lekkasje av loggdata en påminnelse om med jevne mellomrom å revurdere om tjenesten du betaler for, underbygger personvernløftene sine med reelle bevis. Hvis leverandøren din aldri har publisert en uavhengig revisjon, er det verdt å behandle som et faresignal snarere enn en formalitet. For brukere i sensurutsatte regioner, der en lekkasje av tilkoblingslogger kan få reelle personlige konsekvenser, er denne granskningen ikke valgfri; den er avgjørende.

Hovedpunkter

SplitVPN-hendelsen understreker en enkel sannhet: et personvernløfte er bare så sterkt som bevisene bak det. Før du stoler på en VPN med tilkoblingsdataene dine, må du bekrefte no-logs-påstanden gjennom uavhengige revisjoner og åpenhetsrapporter, i stedet for å stole på markedsføringsspråket alene. Gå gjennom din nåværende leverandørs policy, se etter tredjepartsverifisering, og ikke nøl med å bytte hvis bevisene ikke holder mål.