Co ujawnił wyciek ze SplitVPN

Usługa VPN o nazwie SplitVPN, reklamowana jako narzędzie do omijania cenzury internetowej, znalazła się w centrum wycieku danych, który podważa samą obietnicę składaną użytkownikom. Według raportu Security Affairs, skradziona baza danych SQL o rozmiarze 17 GB, rzekomo powiązana ze SplitVPN, zawierała miliony rekordów użytkowników, urządzeń i płatności, a także 58 milionów logów połączeń. Ten ostatni szczegół ma największe znaczenie, ponieważ SplitVPN reklamował się jako usługa nieprowadząca logów, co oznacza, że twierdził, iż nie rejestruje danych o aktywności, które mogłyby powiązać tożsamość użytkownika z jego zachowaniem online.

Skala wycieku – dziesiątki milionów rekordów połączeń wraz z informacjami o płatnościach i urządzeniach – sugeruje, że nie było to drobne przeoczenie techniczne. Wskazuje to na systemową praktykę przechowywania dokładnie tych danych, które polityka braku logów ma wykluczać. W przypadku usługi stworzonej, by pomagać ludziom omijać cenzurę, często w regionach, gdzie inwigilacja cyfrowa niesie realne ryzyko osobiste, taki wyciek to więcej niż wpadka. To bezpośrednie zaprzeczenie obietnicy bezpieczeństwa, na której polegali użytkownicy.

Jak VPN „bez logów” skończył, logując wszystko

Rozbieżność między tym, co dostawcy VPN mówią w swoich materiałach marketingowych, a tym, co faktycznie dzieje się na ich serwerach, nie jest nowym problemem, ale sprawa SplitVPN jest jaskrawym przypomnieniem, jak duża może być ta przepaść. Twierdzenie o „braku logów” jest w swej istocie deklaracją polityki. Opisuje, czego firma – jak deklaruje – nie będzie robić. Nic w tym stwierdzeniu nie jest automatycznie weryfikowane przez mechanizm techniczny ani stronę zewnętrzną. Dopóki dostawca nie podda się niezależnej kontroli, to twierdzenie istnieje tylko na stronie internetowej.

Prawdopodobnie mieliśmy tu do czynienia z powszechnym schematem w branży VPN: metadane połączeń, znaczniki czasu, adresy IP, szczegóły sesji i informacje o koncie są gromadzone ze względów operacyjnych, takich jak rozwiązywanie problemów, zapobieganie oszustwom czy rozliczenia, a dane te nigdy nie są w pełni usuwane. Z czasem gromadzą się one, tworząc dokładnie taki profil, o jakim polityka braku logów mówi, że nie istnieje. Gdy taka baza danych zostanie naruszona lub pozostawiona bez zabezpieczenia, rozdźwięk między polityką a praktyką wychodzi na jaw w najgorszy możliwy sposób.

Dlaczego nieaudytowanym deklaracjom braku logów nie można ufać

Ten incydent jest użytecznym studium przypadku, dlaczego sama deklaracja braku logów nigdy nie powinna być traktowana jako dowód prywatności. Każdy dostawca VPN może napisać na swojej stronie głównej „nie rejestrujemy Twojej aktywności”. Twierdzenie to staje się wiarygodne dopiero wtedy, gdy jest poparte czymś zewnętrznym: audytem bezpieczeństwa przeprowadzonym przez stronę trzecią, sprawą sądową, w której władze zażądały logów, które faktycznie nie istniały, lub przejrzystą historią spójnych publicznych raportów. Bez takiej weryfikacji polityka braku logów jest deklaracją marketingową, a nie gwarancją.

Szersza lekcja wykracza poza VPN-y. Wiele narzędzi bezpieczeństwa i prywatności składa odważne obietnice, które brzmią uspokajająco, ale są trudne do zweryfikowania dla przeciętnego użytkownika. Ten sam sceptycyzm, który ma tu zastosowanie, warto stosować w innych miejscach w świecie bezpieczeństwa; na przykład raportowanie na temat płatności ransomware podobnie wykazało, że powszechne założenie – w tym przypadku, że zapłacenie okupu rozwiązuje problem – nie wytrzymuje konfrontacji z niezależnymi danymi. Twierdzenia potrzebują dowodów, a nie tylko intencji.

Jak zweryfikować politykę prywatności VPN, zanim jej zaufasz

Przed wykupieniem subskrypcji jakiegokolwiek VPN-a, szczególnie takiego reklamowanego do zastosowań wysokiego ryzyka, jak omijanie cenzury, warto przeprowadzić kilka konkretnych kontroli, zamiast przyjmować etykietę „brak logów” za dobrą monetę:

  • Szukaj ukończonego, opublikowanego audytu bezpieczeństwa przeprowadzonego przez stronę trzecią, a nie tylko niejasnej wzmianki o byciu „audytowanym”. Renomowani dostawcy podają nazwę firmy audytującej i publikują wyniki.
  • Sprawdź, czy dostawca ma udokumentowaną historię, najlepiej obejmującą przypadki, w których wnioski organów ścigania potwierdziły brak użytecznych logów.
  • Przeczytaj faktyczną politykę prywatności, a nie tylko strony marketingowe, aby zobaczyć, jakie kategorie danych są gromadzone do celów rozliczeniowych, rozwiązywania problemów lub zapobiegania oszustwom i jak długo te dane są przechowywane.
  • Zbadaj własność i jurysdykcję firmy, ponieważ obowiązki dotyczące przechowywania danych różnią się znacząco w zależności od kraju.

Co to oznacza dla Ciebie

Jeśli korzystasz ze SplitVPN lub jakiegokolwiek VPN-a, wyciek danych SplitVPN dotyczący braku logów jest przypomnieniem, aby okresowo ponownie oceniać, czy usługa, za którą płacisz, popiera swoje deklaracje prywatności realnymi dowodami. Jeśli Twój dostawca nigdy nie opublikował niezależnego audytu, warto to uznać za czerwoną flagę, a nie formalność. Dla użytkowników w regionach podatnych na cenzurę, gdzie naruszenie logów połączeń może nieść realne konsekwencje osobiste, ta kontrola nie jest opcjonalna – jest niezbędna.

Wnioski

Incydent ze SplitVPN podkreśla prostą prawdę: obietnica prywatności jest tylko tak silna, jak dowody, które za nią stoją. Zanim powierzysz jakiemukolwiek VPN-owi swoje dane o połączeniach, zweryfikuj jego deklarację braku logów poprzez niezależne audyty i raporty przejrzystości, zamiast polegać wyłącznie na języku marketingowym. Przejrzyj politykę swojego obecnego dostawcy, sprawdź weryfikację przez stronę trzecią i nie wahaj się zmienić usługi, jeśli dowody nie wytrzymują próby.