O que a Violação da SplitVPN Expôs

Uma violação de dados recentemente divulgada colocou a SplitVPN, um fornecedor de rede privada virtual, no centro de uma questão incómoda que continua a ressurgir na indústria das VPN: o que acontece quando uma empresa que promete não registar a sua atividade acaba por registá-la, de qualquer forma.

De acordo com as notícias sobre o incidente, a violação expôs cerca de 865.000 registos de utilizadores, juntamente com números completos de cartões de pagamento. Só isso seria um incidente grave para qualquer serviço online. Mas o âmbito vai muito além das informações de faturação. A base de dados exposta incluía, alegadamente, contas administrativas completas com hashes de palavras-passe, registos de atividade dos próprios operadores da SplitVPN e detalhes de infraestrutura relacionados com o aprovisionamento de contas da App Store. Os investigadores de segurança que analisaram a fuga de informações salientaram que a presença de credenciais de nível administrativo e dados operacionais internos sugere que a violação pode ir além do que apenas os registos voltados para o utilizador indicariam.

No entanto, o detalhe talvez mais consequente é a descoberta de 58 milhões de registos de conexão ocultos na mesma base de dados. Para um fornecedor de VPN, esse número, por si só, causa mais danos à confiança do que a exposição dos cartões de pagamento ou a fuga das credenciais de administrador combinadas.

Porque é que 58 Milhões de Ligações Registadas Contradizem as Alegações de Não Registo

Toda a proposta de valor de uma VPN assenta numa promessa simples: o seu fornecedor encaminha o seu tráfego, encripta-o e não mantém qualquer registo do que fez ou quando o fez. Os fornecedores comercializam-na como uma "política de não registo", frequentemente a frase mais repetida na publicidade das VPN. É por isso que os utilizadores preocupados com a privacidade pagam pelo serviço, em primeiro lugar.

Uma base de dados com 58 milhões de registos de conexão não é uma tecnicalidade hipotética. É uma prova direta de que a política que a SplitVPN anunciava aos seus clientes não correspondia ao que realmente acontecia nos seus servidores. Os registos de conexão deste tipo captam normalmente informações como marcas de tempo, duração da sessão e endereços IP de origem ou de destino, precisamente os metadados que uma arquitetura genuína de não registo foi concebida para evitar reter. Quando esses dados acabam por ficar armazenados numa base de dados SQL vulnerável a violações, juntamente com informações de pagamento e credenciais de administrador, confirma-se que os registos existiram tempo suficiente, e num formato suficientemente recuperável, para serem roubados.

Não é a primeira vez que o marketing de não registo de uma VPN é contradito por uma fuga de informação, e não será a última. Mas a escala aqui, dezenas de milhões de registos de conexão individuais associados a centenas de milhares de contas de utilizador, faz da SplitVPN um caso de estudo gritante sobre a diferença entre o que os fornecedores dizem e o que armazenam. Para uma análise mais detalhada do que a base de dados violada contém e da importância da contradição dos registos, a nossa cobertura anterior sobre a violação da SplitVPN e as suas alegações de não registo explica estes detalhes com mais pormenor.

Como Avaliar as Práticas de Segurança e de Registo de um Fornecedor de VPN

O incidente da SplitVPN é um lembrete útil de que uma alegação de não registo impressa numa página de marketing não é uma verificação, é uma promessa. Os leitores que avaliam qualquer fornecedor de VPN, independentemente de terem usado a SplitVPN ou não, devem procurar alguns sinais concretos de responsabilidade, em vez de aceitarem a linguagem da política pelo seu valor nominal.

As auditorias de segurança independentes realizadas por terceiros são o que mais se aproxima de uma verificação real atualmente disponível. Um fornecedor que tenha contratado uma empresa externa para examinar as suas configurações de servidor e confirmar que não são retidos registos oferece aos utilizadores algo mais substancial do que uma política escrita. Também vale a pena verificar se um fornecedor tem um histórico documentado de relatórios de transparência, violações divulgadas tratadas de forma aberta e um calendário claro de retenção de dados para informações de faturação e de conta, uma vez que os dados de pagamento são frequentemente a parte que os utilizadores ignoram quando se concentram apenas nos registos de navegação. A análise da contradição do não registo da SplitVPN aborda questões adicionais que vale a pena colocar antes de confiar nas alegações de privacidade de qualquer fornecedor.

O Que Isto Significa Para Si

Se é um utilizador atual ou antigo da SplitVPN, trate isto como um incidente ativo que exige ação, e não apenas como um título para passar os olhos. A exposição dos números dos cartões de pagamento significa que as suas informações financeiras podem estar em risco de fraude. A exposição dos registos de conexão significa que a atividade que julgava nunca ter sido registada pode agora estar associada à sua conta. E a exposição das credenciais de administrador significa que a própria plataforma subjacente pode não ser segura até que a SplitVPN confirme a correção.

Passos a Seguir Se Foi Utilizador da SplitVPN

Cancele ou substitua o método de pagamento associado à sua conta SplitVPN e monitorize atentamente os extratos para detetar cobranças não autorizadas. Altere imediatamente a sua palavra-passe da SplitVPN e, se reutilizou essa palavra-passe noutro local, altere-a também aí. Ative a autenticação de dois fatores em qualquer conta onde esteja disponível. Esteja atento a tentativas de phishing que façam referência a esta violação, uma vez que os atacantes utilizam frequentemente dados violados para criar burlas de seguimento convincentes. Por fim, se está a procurar uma nova VPN, dê prioridade a fornecedores com alegações de não registo auditadas de forma independente, em vez de se basear apenas em políticas auto-declaradas.

A contradição do não registo na violação de dados da SplitVPN é um sinal claro de que as promessas de privacidade precisam de provas, e não apenas de texto publicitário. Os utilizadores merecem fornecedores que possam demonstrar as suas alegações, e não apenas declará-las.