Co ujawnił wyciek SplitVPN

Nowo ujawniony wyciek danych postawił SplitVPN, dostawcę wirtualnej sieci prywatnej, w centrum niewygodnego pytania, które wciąż powraca w branży VPN: co się dzieje, gdy firma, która obiecuje nie rejestrować twojej aktywności, i tak ją rejestruje?

Według doniesień o incydencie, wyciek ujawnił około 865 tysięcy rekordów użytkowników wraz z pełnymi numerami kart płatniczych. Samo to byłoby poważnym incydentem dla każdej usługi online. Jednak zakres wykracza daleko poza dane rozliczeniowe. Odsłonięta baza danych zawierała podobno konta administracyjne z hashami haseł, logi śledzące działania samych operatorów SplitVPN oraz szczegóły infrastruktury związane z udostępnianiem kont App Store. Badacze bezpieczeństwa, którzy przeanalizowali przeciek, zauważyli, że obecność poświadczeń na poziomie administratora i wewnętrznych danych operacyjnych sugeruje, iż naruszenie może sięgać dalej, niż wskazywałyby same rekordy użytkowników.

Być może jednak najbardziej znaczącym szczegółem jest odkrycie 58 milionów ukrytych logów połączeń w tej samej bazie danych. Dla dostawcy VPN ta jedna liczba niszczy zaufanie bardziej niż ujawnienie danych kart płatniczych czy wyciek poświadczeń administratora razem wzięte.

Dlaczego 58 milionów logowanych połączeń przeczy deklaracjom o braku logów

Cała propozycja wartości VPN opiera się na prostej obietnicy: twój dostawca kieruje twój ruch, szyfruje go i nie przechowuje rejestru tego, co robiłeś ani kiedy to robiłeś. Dostawcy sprzedają to jako „politykę braku logów”, często najczęściej powtarzane hasło w reklamach VPN. To właśnie z tego powodu świadomi prywatności użytkownicy płacą za tę usługę.

Baza danych zawierająca 58 milionów logów połączeń nie jest hipotetycznym szczegółem technicznym. To bezpośredni dowód na to, że jakakolwiek polityka reklamowana przez SplitVPN swoim klientom nie odpowiadała temu, co faktycznie działo się na jego serwerach. Tego rodzaju logi połączeń zazwyczaj rejestrują informacje takie jak znaczniki czasu, czas trwania sesji i adresy IP źródłowe lub docelowe — dokładnie te metadane, których przechowywania ma unikać prawdziwa architektura no-logs. Kiedy takie dane trafiają do podatnej na naruszenie bazy SQL obok informacji płatniczych i poświadczeń administratora, potwierdza to, że logi istniały wystarczająco długo i w formacie umożliwiającym ich odzyskanie, aby mogły zostać skradzione.

To nie pierwszy raz, gdy marketingowy przekaz VPN o braku logów został podważony przez przeciek i nie będzie ostatni. Jednak skala — dziesiątki milionów indywidualnych rekordów połączeń powiązanych z setkami tysięcy kont użytkowników — czyni ze SplitVPN jaskrawe studium przypadku rozbieżności między tym, co dostawcy deklarują, a tym, co przechowują. Aby uzyskać dokładniejszy opis tego, co dokładnie zawiera wyciekła baza danych i dlaczego sprzeczność z brakiem logów ma znaczenie, nasze wcześniejsze omówienie wycieku SplitVPN i jego twierdzeń o braku logów analizuje szczegóły bardziej szczegółowo.

Jak zweryfikować bezpieczeństwo i praktyki logowania dostawcy VPN

Incydent SplitVPN jest użytecznym przypomnieniem, że deklaracja o braku logów wydrukowana na stronie marketingowej to nie weryfikacja, lecz obietnica. Czytelnicy oceniający dowolnego dostawcę VPN, niezależnie od tego, czy korzystali ze SplitVPN, czy nie, powinni szukać kilku konkretnych oznak odpowiedzialności, zamiast przyjmować język polityki za dobrą monetę.

Niezależne, zewnętrzne audyty bezpieczeństwa są obecnie najbliższe prawdziwej weryfikacji. Dostawca, który zlecił zewnętrznej firmie sprawdzenie konfiguracji swoich serwerów i potwierdzenie, że logi nie są przechowywane, daje użytkownikom coś bardziej istotnego niż pisemną politykę. Warto też sprawdzić, czy dostawca ma udokumentowaną historię raportów przejrzystości, otwarcie obsługuje ujawnione naruszenia i posiada jasny harmonogram przechowywania danych dla informacji rozliczeniowych i konta, ponieważ dane płatnicze to często ten element, który użytkownicy pomijają, skupiając się wyłącznie na logach przeglądania. Analiza sprzeczności w polityce no-logs SplitVPN omawia dodatkowe pytania, które warto zadać przed zaufaniem jakimkolwiek deklaracjom prywatności dostawcy.

Co to oznacza dla Ciebie

Jeśli jesteś obecnym lub byłym użytkownikiem SplitVPN, potraktuj to jako aktywny incydent wymagający działania, a nie tylko nagłówek wart przejrzenia. Ujawnienie numerów kart płatniczych oznacza, że twoje informacje finansowe mogą być zagrożone oszustwem. Ujawnienie logów połączeń oznacza, że aktywność, o której sądziłeś, iż nigdy nie została zarejestrowana, może teraz być powiązana z twoim kontem. A ujawnienie poświadczeń administratora oznacza, że sama platforma może nie być bezpieczna, dopóki SplitVPN nie potwierdzi działań naprawczych.

Kroki do podjęcia, jeśli byłeś użytkownikiem SplitVPN

Anuluj lub wymień metodę płatności powiązaną z kontem SplitVPN i uważnie monitoruj wyciągi pod kątem nieautoryzowanych obciążeń. Natychmiast zmień hasło do SplitVPN, a jeśli używałeś go gdziekolwiek indziej, zmień je również tam. Włącz uwierzytelnianie dwuskładnikowe na każdym koncie, na którym jest dostępne. Uważaj na próby phishingu, które odwołują się do tego wycieku, ponieważ atakujący często wykorzystują wykradzione dane do tworzenia przekonujących oszustw następczych. Wreszcie, jeśli szukasz nowego VPN, priorytetowo traktuj dostawców z niezależnie audytowanymi deklaracjami braku logów, a nie tylko deklaracjami własnymi.

Sprzeczność w polityce no-logs ujawniona w wycieku danych SplitVPN jest wyraźnym sygnałem, że obietnice prywatności potrzebują dowodów, a nie tylko marketingowych haseł. Użytkownicy zasługują na dostawców, którzy potrafią wykazać swoje twierdzenia, a nie tylko je ogłaszać.