Um banco de dados SQL de 17 GB que agora circula no fórum de crimes cibernéticos Altenen colocou em evidência uma das promessas mais repetidas da indústria de VPN: a política de não manter registros. O banco de dados, alegadamente roubado do SplitVPN (anteriormente conhecido como NotVPN), uma VPN russa comercializada especificamente para contornar a censura na internet, supostamente contém cerca de 23,4 milhões de registros de usuários e aproximadamente 58 milhões de logs de conexão. Esse é um número impressionante para um serviço que construiu seu marketing em torno da ideia de que não mantém registros de forma alguma.

Esta não é apenas uma história sobre um provedor de VPN que foi hackeado. É um lembrete de que uma política de privacidade vale tanto quanto as práticas por trás dela, e que a violação das alegações de não manter registros no SplitVPN ilustra exatamente por que os usuários precisam olhar além do texto de marketing antes de confiar seu tráfego a um provedor.

O Que Aconteceu na Violação do SplitVPN

De acordo com reportagens do Security Affairs, um agente de ameaça começou a distribuir o banco de dados em um fórum conhecido de crimes cibernéticos, e pesquisadores do Mysterium obtiveram uma cópia e a verificaram em relação ao dump bruto. A análise deles confirmou a escala: milhões de contas de usuários, informações de dispositivos, detalhes de pagamento e metadados de conexão, tudo supostamente extraído de um serviço cuja proposta de valor se baseava em não reter exatamente esse tipo de dados.

Nós cobrimos a análise técnica detalhada do conjunto de dados exposto em nossa peça anterior sobre a violação do SplitVPN que expôs 58 milhões de logs, incluindo quais categorias de dados foram supostamente incluídas e como o vazamento foi verificado. Se você usa ou usou o SplitVPN, vale a pena ler essa cobertura na íntegra, pois ela expõe quais informações podem ter sido expostas e quais medidas os usuários afetados devem considerar.

A questão central não é apenas que ocorreu uma violação. Violações acontecem em empresas de todos os setores. A questão é a lacuna entre o que o SplitVPN informou aos usuários sobre suas práticas de dados e o que o banco de dados vazado parece mostrar. Se uma VPN se anuncia como uma ferramenta para contornar a censura sem registro de logs, e um banco de dados roubado mostra dezenas de milhões de registros de conexão, isso não é uma pequena discrepância. É uma contradição direta da promessa central do produto.

Por Que os Logs de Conexão Minam as Promessas de Não Manter Registros

Os logs de conexão não são o mesmo que o histórico de navegação, mas ainda podem ser profundamente reveladores. Um log de conexão normalmente registra quando um usuário se conectou a um servidor VPN, qual servidor ele usou, quanto tempo durou a sessão e, às vezes, o endereço IP de onde se conectou. Para uma VPN comercializada para pessoas que tentam contornar a censura na internet, esse tipo de metadado pode ser sensível por si só, já que potencialmente pode ser usado para estabelecer padrões de quando e como alguém acessou a internet, mesmo sem saber exatamente o que fez depois de conectado.

Uma política genuína de não manter registros significa que um provedor projeta seus sistemas para que essas informações simplesmente não sejam retidas, seja através de servidores apenas com RAM, dados de sessão descartados imediatamente ou infraestrutura que nunca grava metadados de conexão no disco. Quando uma violação revela milhões de logs de conexão armazenados em um banco de dados, isso sugere que o provedor estava coletando e armazenando exatamente o tipo de informação que seu marketing dizia que não faria. Esse é o problema central que o incidente do SplitVPN ilustra: a promessa e a prática aparentemente não coincidiam.

Como Verificar as Alegações de Não Manter Registros de uma VPN Antes de Confiar Nela

Páginas de marketing são fáceis de escrever. Provas verificáveis são mais difíceis de falsificar, e é isso que separa uma alegação confiável de não manter registros de uma vazia. Antes de confiar seu tráfego a uma VPN, procure alguns sinais concretos:

Auditorias independentes importam mais do que políticas autorrelatadas. Uma empresa de segurança terceirizada de renome revisando a configuração do servidor de um provedor e confirmando que nenhum log de identificação é armazenado tem muito mais peso do que um parágrafo em uma página de política de privacidade.

Casos judiciais e solicitações de autoridades policiais podem servir como testes do mundo real. Se um provedor foi anteriormente obrigado a entregar dados de usuários e simplesmente não tinha nenhum para fornecer, isso é um sinal mais forte do que uma alegação não verificada.

Relatórios de transparência, jurisdição e histórico de propriedade também são importantes. Um provedor sediado em um país com leis fortes de proteção de dados, que publica relatórios de transparência regulares e com uma estrutura de propriedade clara é geralmente mais fácil de responsabilizar do que um que obscurece quem o administra.

Lista de Verificação: Sinais de Alerta ao Escolher uma VPN Focada em Privacidade

Ao avaliar um provedor de VPN, preste atenção a estes sinais de alerta: nenhuma auditoria independente foi publicada ou a auditoria está desatualizada há anos; a propriedade ou jurisdição da empresa não é clara ou muda com frequência; a política de privacidade usa linguagem vaga sobre dados "anonimizados" ou "agregados" sem explicar o que realmente é coletado; não há relatório de transparência ou histórico de resposta a solicitações legais; e o serviço já mudou de marca anteriormente (como o SplitVPN fez a partir do NotVPN) sem uma explicação clara do que mudou operacionalmente.

O Que Isso Significa Para Você

Se você está usando atualmente o SplitVPN, trate isso como um sinal para revisar a cobertura sobre a violação do SplitVPN que expôs 58 milhões de logs e considere se as informações de sua conta, dispositivo ou pagamento podem ter sido incluídas no banco de dados exposto. De forma mais ampla, este incidente é um estímulo útil para reexaminar qualquer VPN em que você confia, não porque todos os provedores estão mentindo sobre suas práticas de registro, mas porque a confiança nesse espaço deve ser conquistada por meio de verificação, não presumida a partir de uma página de marketing.

A violação das alegações de não manter registros no SplitVPN não significa que as VPNs sem registros são um mito. Significa que o rótulo por si só não é prova. Provedores que podem apontar para auditorias independentes, relatórios de transparência consistentes e um histórico de proteger os dados dos usuários sob pressão legal conquistaram um nível diferente de confiança em relação àqueles que dependem apenas da linguagem de marketing.

Pontos Acionáveis

Verifique se o seu provedor de VPN passou por uma auditoria independente recente e publicamente disponível sobre suas alegações de não manter registros. Investigue a jurisdição e o histórico de propriedade do provedor, pois isso afeta quais dados podem ser legalmente exigidos deles. Leia os relatórios de transparência se o provedor os publicar e trate sua ausência como uma lacuna que vale a pena questionar. Se você era usuário do SplitVPN, revise os detalhes do conjunto de dados exposto e considere alterar quaisquer senhas reutilizadas ou informações de pagamento vinculadas a essa conta. E daqui para frente, escolha ferramentas de privacidade com base em evidências verificáveis, em vez de apenas promessas.