Wyciek danych powiązany z SplitVPN, dostawcą wirtualnej sieci prywatnej wcześniej znanym jako NotVPN, ujawnił dane 865 336 użytkowników i około 58 milionów logów połączeń. Incydent ten przyciąga uwagę, ponieważ SplitVPN, podobnie jak wiele usług VPN, reklamował się obietnicą prywatności: ścisłą polityką braku logów, która zapewniała użytkowników, że ich aktywność online nigdy nie będzie rejestrowana ani przechowywana. Wyciek sugeruje, że ta obietnica nie sprawdziła się w praktyce.

W branży opartej niemal wyłącznie na zaufaniu takie historie zmieniają sposób, w jaki ocenia się deklaracje dostawców VPN. Miliony osób korzystają z VPN właśnie po to, by uniknąć śledzenia lub przechowywania ich nawyków przeglądania. Kiedy praktyki logowania dostawcy stoją w sprzeczności z jego marketingiem, rodzi to trudne pytania nie tylko dla klientów SplitVPN, ale dla każdego, kto polega na etykiecie „brak logów” jako powodzie, by zaufać usłudze w kwestii swojego ruchu.

Co się stało w wycieku danych SplitVPN

Zgodnie z ujawnionymi informacjami, odsłonięte dane obejmowały 865 336 rekordów użytkowników oraz około 58 milionów logów połączeń. Taka ilość danych połączeń jest znacząca, ponieważ prawdziwy VPN bez logów nie powinien generować, a tym bardziej przechowywać, rejestrów połączeń użytkowników na taką skalę. Obecność dziesiątek milionów logów połączeń bezpośrednio podważa podstawowe zapewnienie prywatności, które SplitVPN reklamował wśród swojej bazy użytkowników.

SplitVPN wcześniej działał pod nazwą NotVPN, zanim przeszedł rebranding. Wyciek danych SplitVPN ujawniający 865 tys. rekordów i 58 mln logów już wywołał szerszą dyskusję na temat tego, jak firmy VPN weryfikują i egzekwują własne polityki prywatności, zwłaszcza mniejsi lub mniej znani dostawcy, którzy mogą nie przechodzić takiego samego poziomu niezależnego audytu jak większe, ugruntowane usługi.

Dlaczego twierdzenie o braku logów ma tak duże znaczenie

Cała wartość oferty VPN opiera się na zaufaniu. Użytkownicy przekierowują swój ruch przez serwer strony trzeciej właśnie po to, aby ich dostawca Internetu, administratorzy sieci ani inne podmioty nie mogli zobaczyć, co robią online. W zamian oddają tę samą widoczność w ręce dostawcy VPN. Polityka braku logów jest mechanizmem, który ma zapobiec temu, by sama firma VPN stała się punktem wycieku.

Gdy dostawca reklamuje brak logów, a później okazuje się, że przechowywał metadane połączeń, a te metadane zostają ujawnione w wyniku wycieku, niweczy to cel korzystania z usługi. Użytkownicy nie tylko mieli swoje dane ujawnione przez zewnętrznego atakującego – dane te istniały w formie, która według obietnic nigdy nie miała powstać. Dlatego regulatorzy, badacze bezpieczeństwa i orgędownicy prywatności konsekwentnie naciskają na niezależne audyty twierdzeń o braku logów, zamiast przyjmować język marketingowy za dobrą monetę.

Jakie dane zostały ujawnione

Wyciek danych SplitVPN podobno dotyczył rekordów kont użytkowników i logów połączeń liczonych w dziesiątkach milionów. Tego rodzaju logi połączeń mogą potencjalnie ujawniać wzorce, takie jak moment połączenia, czas trwania i inne metadane związane z sesjami VPN. Nawet bez pełnej historii przeglądania ten typ metadanych może być wykorzystany do wnioskowania o zachowaniach, czasie i nawykach, które użytkownicy uważali za prywatne.

Dla osób dotkniętych wyciekiem oznacza to, że informacje, które według ich założenia nigdy nie były gromadzone, zostały teraz powiązane z ich kontami i potencjalnie udostępnione nieupoważnionym stronom. To inny i prawdopodobnie bardziej szkodliwy scenariusz niż typowy wyciek danych, ponieważ niszczy on również podstawę zaufania, na której sprzedawano usługę.

Co to oznacza dla Ciebie

Jeśli kiedykolwiek korzystałeś z SplitVPN lub NotVPN, potraktuj to jako sygnał, aby przejrzeć swoje konto i zmienić wszystkie dane logowania powiązane z tą usługą, w tym ponownie użyte hasła na innych platformach. Szerzej, ten wyciek przypomina, że „brak logów” to twierdzenie, a nie gwarancja, o ile nie zostało niezależnie zweryfikowane. Zanim zaufasz jakiemukolwiek dostawcy VPN w kwestii swojego ruchu, szukaj dowodów w postaci audytów stron trzecich, raportów przejrzystości lub udokumentowanej historii stania za deklaracjami prywatności pod lupą.

To również dobry moment, aby ponownie ocenić, czego oczekujesz od VPN. Polityka braku logów powinna oznaczać, że nie ma czego wyciekać. Jeśli w wyniku wycieku ujawnione zostają miliony logów połączeń od dostawcy, który twierdził, że ich nie przechowuje, jest to znacząca czerwona flaga dotycząca tego, jak firma faktycznie działa za kulisami, niezależnie od tego, co głosi jej marketing.

Praktyczne wnioski

Jeśli jesteś obecnym lub byłym użytkownikiem SplitVPN lub NotVPN, natychmiast zmień hasło do konta i zaktualizuj je wszędzie tam, gdzie mogłeś je ponownie wykorzystać. Monitoruj swoją skrzynkę e-mail i konta płatnicze pod kątem podejrzanej aktywności w tygodniach po tym ujawnieniu. W przyszłości wybieraj dostawców VPN, którzy publikują niezależnie audytowane raporty o braku logów, zamiast polegać na niezweryfikowanych twierdzeniach. I traktuj każdą obietnicę prywatności od dowolnego dostawcy jako coś do zweryfikowania, a nie zakładania, ponieważ ten incydent pokazuje, jak szybko deklaracja braku logów może zostać złamana.