Baza danych VPN-a „No-Logs” pojawia się w sieci

Skradziona baza danych SQL o rozmiarze 17 GB, rzekomo należąca do SplitVPN, usługi VPN wcześniej znanej jako NotVPN, pojawiła się w sieci, a jej zawartość stoi w jawnej sprzeczności z długoletnią obietnicą prywatności opartą na braku logów. Zgodnie z analizą wyciekłych danych, baza zawiera około 23,4 miliona rekordów użytkowników, 13,6 miliona rekordów urządzeń i 2,6 miliona rekordów płatności. Ta kombinacja danych osobowych, sprzętowych i finansowych to dokładnie to, czego prawdziwa usługa VPN typu no-logs nigdy nie powinna być w stanie zebrać, a co dopiero stracić w wyniku naruszenia.

Wyciek podobno zaczął krążyć na forum cyberprzestępczym Altenen, które jest często wykorzystywane do dystrybucji skradzionych baz danych, zanim zostaną one odsprzedane lub rozszarpane przez innych cyberprzestępców. Gdy zbiór danych trafia na tego rodzaju forum, zazwyczaj szybko rozprzestrzenia się na inne rynki przestępcze, przez co jego powstrzymanie jest praktycznie niemożliwe. Dla dostawcy VPN, którego cała wartość opiera się na obietnicy nieprzechowywania danych o aktywności lub tożsamości użytkowników, taki wyciek jest tak szkodliwy, jak to tylko możliwe.

Dlaczego twierdzenie „No-Logs” jest teraz pod znakiem zapytania

Dostawcy VPN reklamują politykę braku logów jako kluczowy atut sprzedaży: chodzi o to, że nawet jeśli rząd lub atakujący zażąda danych użytkownika, nie będzie czego przekazywać. Sytuacja SplitVPN pokazuje, dlaczego takie twierdzenia zasługują na kontrolę, a nie na ślepe zaufanie. Osobna analiza tego samego incydentu wykazała, że ujawnione dane zawierały również dziesiątki milionów logów połączeń, co szczegółowo opisano w powiązanym raporcie na temat ujawnienia 58 milionów logów przez SplitVPN mimo przyrzeczenia braku logów. Logi połączeń, identyfikatory urządzeń i rekordy płatności nie są informacjami, o których dostawca mógłby wiarygodnie twierdzić, że nigdy ich nie przechowywał.

Ta rozbieżność między językiem marketingowym a rzeczywistymi praktykami dotyczącymi danych nie jest cechą wyłącznie SplitVPN, ale skala tutaj czyni ten przypadek godnym uwagi studium. Miliony użytkowników wybrało tę usługę właśnie dlatego, że obiecywała prywatność, a wielu zapewne korzystało z niej w regionach, gdzie anonimowość ma znaczenie dla bezpieczeństwa osobistego, a nie tylko dla wygody. Gdy wewnętrzne praktyki dostawcy nie pokrywają się z jego publicznymi deklaracjami, konsekwencje wykraczają poza wstyd. Mogą narazić realnych ludzi na ryzyko, zwłaszcza tych, którzy polegają na usłudze, aby ukryć swoją tożsamość lub lokalizację.

Bliższe przyjrzenie się wyciekłej bazie danych i jej źródłom warto przeczytać w całości, w tym o tym, jak twierdzenie o braku logów zostało po raz pierwszy podważone. Głębszą analizę tego zagadnienia można znaleźć w tej analizie, dlaczego twierdzenia SplitVPN o braku logów wymagają weryfikacji, która przeprowadza przez rozbieżność między polityką reklamowaną przez SplitVPN a danymi, które najwyraźniej przechowywała.

Co to oznacza dla Ciebie

Jeśli kiedykolwiek korzystałeś z SplitVPN lub jego poprzednika, NotVPN, potraktuj to jako sygnał do działania, a nie tylko do przeczytania. Ujawniony zbiór danych podobno zawiera rekordy płatności, co oznacza, że dane finansowe powiązane z Twoim kontem mogą być częścią wycieku. Rekordy urządzeń sugerują, że identyfikatory związane z Twoim konkretnym sprzętem również mogą być ujawnione, co może ułatwić złośliwym podmiotom skorelowanie Twojego korzystania z VPN z Twoją prawdziwą tożsamością w innych usługach.

W szerszym ujęciu, to naruszenie jest przypomnieniem, że polityka prywatności VPN jest tak dobra, jak faktyczna infrastruktura i praktyki bezpieczeństwa firmy. Twierdzenie o braku logów wydrukowane na stronie internetowej to deklaracja marketingowa, a nie gwarancja techniczna. Dostawcy, którzy poważnie podchodzą do tej obietnicy, zwykle poddają się niezależnym audytom swoich systemów, a nawet wtedy naruszenia systemów rozliczeniowych lub metadanych urządzeń wciąż mogą mieć miejsce, jeśli firma zbiera więcej, niż powinna, do celów wsparcia lub zapobiegania oszustwom.

Co powinni teraz zrobić użytkownicy SplitVPN

Zacznij od założenia, że Twój adres e-mail, a być może także dane płatności, zostały ujawnione. Natychmiast zmień hasło do konta SplitVPN, a także zaktualizuj hasło wszędzie tam, gdzie mogłeś je ponownie wykorzystać, ponieważ ponowne używanie haseł to jeden z najczęstszych sposobów, w jaki pojedyncze naruszenie prowadzi do wielu przejęć kont. Jeśli płaciłeś kartą kredytową, dokładnie monitoruj wyciągi pod kątem nieautoryzowanych obciążeń i rozważ kontakt z wystawcą karty, jeśli zauważysz coś nieznanego.

Warto również zastanowić się, czy w ogóle chcesz nadal korzystać z tej usługi. Naruszenie na taką skalę, obejmujące dane, których dostawca typu no-logs nie powinien w ogóle przechowywać, jest uzasadnionym powodem, by poszukać czegoś innego. Przy ocenie każdego VPN w przyszłości szukaj dostawców, którzy opublikowali niezależne audyty swoich twierdzeń o braku logów, zamiast polegać wyłącznie na treściach marketingowych.

Szerszy obraz zaufania do VPN-ów

Incydent z SplitVPN ma miejsce w momencie, gdy adopcja VPN-ów stale rośnie wśród osób poszukujących podstawowej ochrony prywatności w sieci. Ten wzrost sprawia, że takie incydenty są tym bardziej brzemienne w skutki, a nie mniej. Pojedyncze naruszenie dotyczące dziesiątek milionów rekordów podważa zaufanie nie tylko do jednego dostawcy, ale do szerszego przekonania, że subskrypcja VPN automatycznie oznacza prywatność. To nieprawda. Prywatność zależy od tego, co firma faktycznie robi za kulisami, a nie od tego, co deklaruje na swojej stronie głównej.

Na razie poszkodowani użytkownicy powinni skupić się na zabezpieczeniu swoich kont i finansów, a cała reszta powinna potraktować to jako bodziec do zadawania trudniejszych pytań, zanim powierzy się jakiemukolwiek dostawcy swoje dane. Czytanie niezależnych audytów, sprawdzanie historii naruszeń firmy i zrozumienie, jakie dokładnie dane gromadzi usługa, to proste kroki, które znacznie pomagają uniknąć kolejnego nagłówka takiego jak ten.