Uma violação de dados associada ao SplitVPN, um fornecedor de rede privada virtual anteriormente conhecido como NotVPN, expôs 865.336 utilizadores e cerca de 58 milhões de registos de ligação. O incidente está a gerar um escrutínio porque o SplitVPN, como muitos serviços de VPN, se promovia com base numa promessa de privacidade: uma política rigorosa de ausência de registos que assegurava aos utilizadores que a sua atividade online nunca seria gravada ou armazenada. A violação sugere que essa promessa não se sustentou na prática.
Para uma indústria construída quase inteiramente sobre a confiança, este é o tipo de história que reformula a forma como as pessoas avaliam as alegações de um fornecedor de VPN. Milhões de pessoas usam VPN precisamente para evitar que os seus hábitos de navegação sejam rastreados ou retidos em qualquer lugar. Quando as próprias práticas de registo de um fornecedor contradizem o seu marketing, levantam-se questões difíceis não só para os clientes do SplitVPN, mas para qualquer pessoa que confie num rótulo de "ausência de registos" como razão para confiar o seu tráfego a um serviço.
O que Aconteceu na Violação do SplitVPN
De acordo com a divulgação, os dados expostos incluíam 865.336 registos de utilizadores, juntamente com aproximadamente 58 milhões de registos de ligação. Esse volume de dados de ligação é significativo porque uma VPN genuinamente sem registos não deveria estar a gerar, quanto mais a armazenar, registos de ligações de utilizadores nessa escala. A presença de dezenas de milhões de registos de ligação mina diretamente a garantia central de privacidade que o SplitVPN anunciava à sua base de utilizadores.
O SplitVPN operou anteriormente sob o nome NotVPN antes de mudar de marca. A violação do SplitVPN expondo 865 mil registos e 58 milhões de logs já provocou uma conversa mais ampla sobre a forma como as empresas de VPN verificam e aplicam as suas próprias políticas de privacidade, especialmente os fornecedores mais pequenos ou menos conhecidos que podem não ser submetidos ao mesmo nível de auditoria independente que os serviços maiores e estabelecidos.
Porque é que a Alegação de Ausência de Registos é Tão Importante
Toda a proposta de valor de uma VPN assenta na confiança. Os utilizadores encaminham o seu tráfego através de um servidor de terceiros precisamente para que o seu fornecedor de acesso à Internet, administradores de rede ou outros observadores não possam ver o que estão a fazer online. Em troca, colocam essa mesma visibilidade nas mãos do fornecedor de VPN. Uma política de ausência de registos é o mecanismo que supostamente impede que a própria empresa de VPN se torne o ponto de exposição.
Quando um fornecedor anuncia a ausência de registos, mas mais tarde se descobre que reteve metadados de ligação, e esses metadados são depois expostos numa violação, anula o propósito de usar o serviço em primeiro lugar. Os utilizadores não tiveram apenas os seus dados expostos por um atacante externo; tiveram os seus dados a existir numa forma que foi prometido que nunca seria criada. É por isso que os reguladores, investigadores de segurança e defensores da privacidade pressionam consistentemente por auditorias independentes às alegações de ausência de registos, em vez de aceitarem a linguagem de marketing pelo seu valor nominal.
Que Dados Foram Expostos
A violação do SplitVPN envolveu, alegadamente, registos de contas de utilizador e registos de ligação na casa das dezenas de milhões. Registos de ligação deste tipo podem potencialmente revelar padrões como quando um utilizador se ligou, durante quanto tempo e outros metadados associados às suas sessões de VPN. Mesmo sem o histórico de navegação completo, este tipo de metadados pode ser usado para inferir comportamentos, horários e hábitos que os utilizadores acreditavam estar a ser mantidos privados.
Para os indivíduos afetados, a exposição significa que informações que eles assumiam nunca terem sido recolhidas foram agora associadas às suas contas e potencialmente tornadas acessíveis a partes não autorizadas. Este é um cenário diferente e, possivelmente, mais prejudicial do que uma violação de dados típica, porque também destrói a base de confiança sobre a qual o serviço foi vendido.
O que Isto Significa Para Si
Se alguma vez usou o SplitVPN ou o NotVPN, vale a pena encarar isto como um sinal para rever a sua conta e alterar quaisquer credenciais associadas ao serviço, incluindo palavras-passe reutilizadas noutras plataformas. De forma mais ampla, esta violação é um lembrete de que "ausência de registos" é uma alegação, não uma garantia, a menos que tenha sido verificada de forma independente. Antes de confiar o seu tráfego a qualquer fornecedor de VPN, procure provas de auditorias de terceiros, relatórios de transparência ou um historial documentado de defesa das alegações de privacidade sob escrutínio.
Também é um bom momento para reavaliar o que espera de uma VPN. Uma política de ausência de registos deve significar que não há nada para vazar em primeiro lugar. Se uma violação produz milhões de registos de ligação de um fornecedor que afirmava não os manter, esse é um sinal de alerta significativo sobre a forma como a empresa realmente opera nos bastidores, independentemente do que o seu marketing afirma.
Medidas Práticas a Tomar
Se é um utilizador atual ou antigo do SplitVPN ou do NotVPN, altere imediatamente a palavra-passe da sua conta e atualize-a em qualquer outro local onde a possa ter reutilizado. Monitorize as suas contas de email e de pagamento para detetar atividades suspeitas nas semanas seguintes a esta divulgação. Daqui para a frente, escolha fornecedores de VPN que publiquem relatórios de ausência de registos auditados de forma independente, em vez de confiar em alegações não verificadas. E trate qualquer promessa de privacidade, de qualquer fornecedor, como algo a verificar e não a assumir, uma vez que este incidente mostra a rapidez com que uma alegação de ausência de registos pode ser quebrada.
