Banco de Dados de uma VPN 'No-Logs' Aparece Online

Um banco de dados SQL roubado de 17 GB supostamente pertencente ao SplitVPN, serviço de VPN anteriormente conhecido como NotVPN, apareceu online, e o conteúdo contradiz diretamente a promessa de privacidade de longa data de não manter registros (no-logs) da empresa. De acordo com uma análise dos dados vazados, o banco de dados contém aproximadamente 23,4 milhões de registros de usuários, 13,6 milhões de registros de dispositivos e 2,6 milhões de registros de pagamento. Essa combinação de dados pessoais, de dispositivo e financeiros é exatamente o que um serviço de VPN genuinamente no-logs jamais deveria ser capaz de coletar, muito menos perder em um vazamento.

O vazamento teria começado a circular no fórum de crimes cibernéticos Altenen, um local frequentemente usado para distribuir bancos de dados roubados antes que sejam revendidos ou explorados por outros agentes maliciosos. Quando um conjunto de dados como esse chega a esse tipo de fórum, tende a se espalhar rapidamente por outros mercados criminosos, tornando a contenção quase impossível. Para um provedor de VPN, cuja proposta de valor inteira se baseia na promessa de não reter dados de atividade ou identidade do usuário, esse tipo de exposição é o mais prejudicial possível.

Por que a Alegação de 'No-Logs' Agora Está em Questão

Os provedores de VPN comercializam políticas de no-logs como um ponto central de venda: a ideia de que, mesmo que um governo ou invasor exigisse dados do usuário, não haveria nada a entregar. A situação do SplitVPN mostra por que essas alegações merecem escrutínio, e não confiança cega. Uma análise separada do mesmo incidente descobriu que os dados expostos também incluíam dezenas de milhões de registros de conexão, conforme detalhado em um relatório relacionado sobre a exposição de 58 milhões de logs do SplitVPN apesar de sua promessa de no-logs. Registros de conexão, identificadores de dispositivos e registros de pagamento não são o tipo de informação que um provedor pode alegar plausivelmente que nunca armazenou.

Essa lacuna entre a linguagem de marketing e as práticas reais de dados não é exclusiva do SplitVPN, mas a escala aqui o torna um estudo de caso notável. Milhões de usuários escolheram o serviço especificamente porque ele prometia privacidade, e muitos provavelmente o usaram em regiões onde o anonimato é importante para a segurança pessoal, não apenas por conveniência. Quando as práticas internas de um provedor não correspondem às suas alegações públicas, as consequências vão além do constrangimento. Elas podem colocar pessoas reais em risco, particularmente aquelas que dependem do serviço para mascarar sua identidade ou localização.

Vale a pena ler na íntegra um olhar mais atento ao banco de dados vazado e suas origens, incluindo como a alegação de no-logs foi questionada em primeiro lugar. Um exame mais aprofundado dessa questão está disponível em esta análise sobre por que as alegações de no-logs do SplitVPN precisam de verificação, que percorre a desconexão entre a política que o SplitVPN anunciava e os dados que aparentemente retinha.

O Que Isso Significa Para Você

Se você já usou o SplitVPN ou seu antecessor, NotVPN, trate isso como um sinal para agir, não apenas para ler sobre o ocorrido. O conjunto de dados exposto supostamente inclui registros de pagamento, o que significa que detalhes financeiros vinculados à sua conta podem fazer parte do vazamento. Registros de dispositivos sugerem que identificadores ligados ao seu hardware específico também podem ter sido expostos, o que pode facilitar a correlação entre o uso da VPN e sua identidade real em outros serviços por parte de agentes mal-intencionados.

De forma mais ampla, este vazamento é um lembrete de que a política de privacidade de uma VPN só é tão boa quanto a infraestrutura e as práticas de segurança reais da empresa. Uma alegação de no-logs impressa em um site é uma declaração de marketing, não uma garantia técnica. Provedores que levam a sério essa promessa geralmente passam por auditorias independentes de seus sistemas e, mesmo assim, vazamentos de sistemas de cobrança ou metadados de dispositivos ainda podem acontecer se uma empresa coletar mais dados do que deveria para fins de suporte ou prevenção de fraudes.

O Que os Usuários do SplitVPN Devem Fazer Agora

Comece presumindo que seu endereço de e-mail, e possivelmente informações de pagamento, foram expostos. Altere a senha da sua conta do SplitVPN imediatamente e atualize a senha em qualquer outro lugar onde você possa tê-la reutilizado, já que a reutilização de credenciais é uma das formas mais comuns de um único vazamento se transformar em múltiplos comprometimentos de conta. Se você pagou com cartão de crédito, monitore seus extratos de perto em busca de cobranças não autorizadas e considere entrar em contato com a administradora do cartão se algo parecer estranho.

Também vale a pena avaliar se você ainda deseja usar o serviço. Um vazamento dessa escala, envolvendo dados que um provedor no-logs não deveria ter retido em primeiro lugar, é um motivo legítimo para buscar outra opção. Ao avaliar qualquer VPN daqui para frente, procure provedores que tenham publicado auditorias independentes de terceiros de suas alegações de no-logs, em vez de confiar apenas no texto de marketing.

O Quadro Mais Amplo da Confiança em VPNs

O incidente do SplitVPN chega em um momento em que a adoção de VPNs continua crescendo entre pessoas que buscam proteções básicas de privacidade online. Esse crescimento torna incidentes como este mais consequentes, não menos. Um único vazamento que afeta dezenas de milhões de registros corrói a confiança não apenas em um provedor, mas na ideia mais ampla de que uma assinatura de VPN automaticamente significa privacidade. Não significa. A privacidade depende do que uma empresa realmente faz nos bastidores, não do que ela alega em sua página inicial.

Por enquanto, os usuários afetados devem se concentrar em proteger suas contas e finanças, e todos os outros devem encarar isso como um incentivo para fazer perguntas mais rigorosas antes de confiar seus dados a qualquer provedor. Ler auditorias independentes, verificar o histórico de vazamentos de uma empresa e entender exatamente quais dados um serviço coleta são passos simples que ajudam muito a evitar a próxima manchete como esta.