O que a violação do SplitVPN expôs

Um serviço VPN chamado SplitVPN, comercializado como uma ferramenta para contornar a censura na internet, está no centro de uma exposição de dados que mina a própria promessa que vendeu aos utilizadores. De acordo com um relatório do Security Affairs, uma base de dados SQL roubada de 17 GB, alegadamente associada ao SplitVPN, continha milhões de registos de utilizadores, dispositivos e pagamentos, juntamente com 58 milhões de registos de ligação. Este último detalhe é o mais relevante, porque o SplitVPN se anunciava como um serviço no-logs, ou seja, afirmava não gravar o tipo de dados de atividade que poderiam associar a identidade de um utilizador ao seu comportamento online.

A dimensão da fuga — dezenas de milhões de registos de ligação, juntamente com informações de pagamento e dispositivos — sugere que não se tratou de um pequeno descuido técnico. Aponta para uma prática sistémica de retenção precisamente do tipo de dados que uma política no-logs deveria excluir. Para um serviço criado para ajudar pessoas a contornar a censura, muitas vezes em regiões onde a vigilância digital acarreta riscos pessoais reais, este tipo de exposição é mais do que um embaraço. É uma contradição direta da promessa de segurança na qual os utilizadores confiavam.

Como uma VPN "sem registos" acabou por registar tudo

O fosso entre o que os fornecedores de VPN afirmam no seu marketing e o que realmente acontece nos seus servidores não é um problema novo, mas o caso SplitVPN é um lembrete gritante da amplitude que esse fosso pode ter. Uma alegação no-logs é, na sua essência, uma declaração de política. Descreve o que uma empresa diz que não fará. Nada nessa afirmação é automaticamente verificado por um mecanismo técnico ou por uma entidade externa. A menos que um fornecedor se submeta a um escrutínio independente, essa alegação existe apenas numa página web.

O que provavelmente aconteceu aqui é um padrão comum na indústria das VPNs: metadados de ligação, carimbos de hora, endereços IP, detalhes de sessão e informações de conta são recolhidos por razões operacionais, como resolução de problemas, prevenção de fraude ou faturação, e esses dados nunca são totalmente eliminados. Com o tempo, acumulam-se exatamente no tipo de perfil que uma política no-logs afirma não existir. Quando uma base de dados destas é violada ou deixada exposta, a discrepância entre a política e a prática torna-se pública da pior forma possível.

Por que não se pode confiar em alegações no-logs não auditadas

Este incidente é um estudo de caso útil sobre por que razão uma alegação no-logs, por si só, nunca deve ser tratada como prova de privacidade. Qualquer fornecedor de VPN pode escrever "não registamos a sua atividade" na sua página inicial. A alegação só se torna credível quando é apoiada por algo externo: uma auditoria de segurança independente, um processo judicial em que as autoridades tenham solicitado registos que genuinamente não existiam, ou um histórico transparente de relatórios públicos consistentes. Sem esse tipo de verificação, uma política no-logs é uma afirmação de marketing, não uma garantia.

A lição mais ampla vai além das VPNs. Muitas ferramentas de segurança e privacidade fazem promessas ousadas que soam tranquilizadoras, mas são difíceis de verificar por um utilizador comum. O mesmo ceticismo que se aplica aqui vale a pena ser aplicado noutros lugares do mundo da segurança; por exemplo, reportagens sobre pagamentos de ransomware mostraram de forma semelhante que um pressuposto comum — neste caso, de que pagar um resgate resolve o problema — não se sustenta quando dados independentes são examinados. As alegações precisam de provas, não apenas de intenções.

Como avaliar a política de privacidade de uma VPN antes de confiar nela

Antes de subscrever qualquer VPN, especialmente uma comercializada para casos de uso de alto risco, como contornar a censura, vale a pena fazer algumas verificações concretas em vez de aceitar o rótulo no-logs pelo valor facial:

  • Procure uma auditoria de segurança independente concluída e publicada, não apenas uma vaga referência a ter sido "auditado". Fornecedores respeitáveis nomeiam a empresa de auditoria e publicam as conclusões.
  • Verifique se o fornecedor tem um histórico documentado, idealmente incluindo casos em que pedidos das autoridades policiais confirmaram que não existiam registos úteis.
  • Leia a política de privacidade real, não apenas as páginas de marketing, para ver que categorias de dados são recolhidas para faturação, resolução de problemas ou prevenção de fraude, e durante quanto tempo esses dados são retidos.
  • Investigue a propriedade e a jurisdição da empresa, uma vez que as obrigações de retenção de dados variam significativamente consoante o país.

O que isto significa para si

Se utiliza o SplitVPN, ou qualquer VPN, a fuga de dados no-logs do SplitVPN é um lembrete para reavaliar periodicamente se o serviço pelo qual paga sustenta as suas alegações de privacidade com provas reais. Se o seu fornecedor nunca publicou uma auditoria independente, isso deve ser tratado como um sinal de alerta, e não como um mero detalhe técnico. Para utilizadores em regiões propensas à censura, onde uma violação de registos de ligação pode ter consequências pessoais reais, este escrutínio não é opcional; é essencial.

Conclusões

O incidente do SplitVPN sublinha uma verdade simples: uma promessa de privacidade é apenas tão forte quanto as provas que a sustentam. Antes de confiar os seus dados de ligação a qualquer VPN, verifique a sua alegação no-logs através de auditorias independentes e relatórios de transparência, em vez de se basear apenas na linguagem de marketing. Reveja a política do seu fornecedor atual, verifique se existe verificação independente e não hesite em mudar se as provas não se sustentarem.