Ce a expus breșa de la SplitVPN
O breșă de date recent dezvăluită a pus SplitVPN, un furnizor de rețea privată virtuală, în centrul unei întrebări incomode care revine constant în industria VPN: ce se întâmplă când o companie care promite să nu înregistreze activitatea ta se dovedește că, totuși, a înregistrat-o.
Potrivit relatărilor despre incident, breșa a expus aproximativ 865.000 de înregistrări de utilizatori, împreună cu numere complete de carduri de plată. Doar asta ar fi un incident grav pentru orice serviciu online. Însă amploarea depășește cu mult informațiile de facturare. Baza de date expusă conținea, conform rapoartelor, conturi administrative complete cu hash-uri de parole, jurnale care urmăresc acțiunile operatorilor SplitVPN și detalii de infrastructură legate de furnizarea conturilor App Store. Cercetătorii de securitate care au analizat scurgerea au remarcat că prezența unor credențiale de nivel admin și a datelor operaționale interne sugerează că breșa ar putea fi mai extinsă decât ar indica doar înregistrările orientate către utilizatori.
Poate cel mai important detaliu este însă descoperirea a 58 de milioane de jurnale ascunse de conexiune în aceeași bază de date. Pentru un furnizor VPN, această cifră afectează încrederea mai mult decât expunerea cardurilor de plată sau scurgerea credențialelor de administrator la un loc.
De ce 58 de milioane de conexiuni înregistrate contrazic promisiunile „fără jurnale”
Întreaga propunere de valoare a unui VPN se bazează pe o promisiune simplă: furnizorul îți direcționează traficul, îl criptează și nu păstrează nicio evidență a ceea ce ai făcut sau când ai făcut. Furnizorii comercializează acest lucru ca „politică fără jurnale”, adesea fraza cea mai repetată din publicitatea VPN. Este motivul pentru care utilizatorii preocupați de confidențialitate plătesc pentru acest serviciu.
O bază de date care conține 58 de milioane de jurnale de conexiune nu este o tehnicitate ipotetică. Este o dovadă directă că politica pe care SplitVPN a promovat-o clienților săi nu corespundea cu ceea ce se întâmpla efectiv pe serverele sale. Jurnalele de conexiune de acest tip capturează, de obicei, informații precum marcaje temporale, durata sesiunii și adrese IP de origine sau destinație, exact metadatele pe care o arhitectură autentică fără jurnale este proiectată să evite să le rețină. Atunci când aceste date ajung să stea într-o bază de date SQL vulnerabilă, alături de informații de plată și credențiale de administrator, se confirmă că jurnalele au existat suficient de mult timp și într-un format suficient de recuperabil pentru a fi furate.
Nu este prima dată când marketingul „fără jurnale” al unui VPN este contrazis de o scurgere și nici ultima. Dar amploarea de aici – zeci de milioane de înregistrări de conexiune legate de sute de mii de conturi de utilizator – face din SplitVPN un studiu de caz grăitor al decalajului dintre ceea ce spun furnizorii și ceea ce stochează. Pentru o analiză mai detaliată a ceea ce conține baza de date scursă și de ce contradicția privind jurnalele contează, relatarea noastră anterioară despre breșa SplitVPN și promisiunile sale fără jurnale trece prin specificații mai amănunțit.
Cum să verifici practicile de securitate și de înregistrare ale unui furnizor VPN
Incidentul SplitVPN este un memento util că o afirmație „fără jurnale” tipărită pe o pagină de marketing nu este o verificare, ci o promisiune. Cititorii care evaluează orice furnizor VPN, indiferent dacă au folosit SplitVPN sau nu, ar trebui să caute câteva semne concrete de responsabilitate, în loc să ia textul politicii de bun.
Auditurile de securitate independente, realizate de terți, sunt cel mai apropiat lucru de o verificare reală disponibilă în prezent. Un furnizor care a angajat o firmă externă pentru a-i examina configurațiile serverelor și pentru a confirma că jurnalele nu sunt reținute oferă utilizatorilor ceva mai substanțial decât o politică scrisă. De asemenea, merită să verificați dacă un furnizor are un istoric documentat de rapoarte de transparență, breșe divulgate tratate deschis și un program clar de reținere a datelor pentru informațiile de facturare și de cont, deoarece datele de plată sunt adesea partea pe care utilizatorii o trec cu vederea atunci când se concentrează exclusiv pe jurnalele de navigare. Analiza contradicției fără jurnale a SplitVPN acoperă întrebări suplimentare care merită puse înainte de a avea încredere în promisiunile de confidențialitate ale oricărui furnizor.
Ce înseamnă asta pentru tine
Dacă ești utilizator actual sau fost al SplitVPN, tratează acest lucru ca pe un incident activ care necesită măsuri, nu doar ca pe un titlu pe care să-l răsfoiești. Expunerea numerelor de card de plată înseamnă că informațiile tale financiare ar putea fi expuse riscului de fraudă. Expunerea jurnalelor de conexiune înseamnă că activitatea pe care credeai că nu a fost niciodată înregistrată ar putea fi acum legată de contul tău. Iar expunerea credențialelor de administrator înseamnă că platforma de bază în sine poate să nu fie sigură până când SplitVPN confirmă remedierea.
Pași de urmat dacă ai fost utilizator SplitVPN
Anulează sau înlocuiește metoda de plată legată de contul tău SplitVPN și monitorizează cu atenție extrasele pentru tranzacții neautorizate. Schimbă imediat parola SplitVPN și, dacă ai reutilizat acea parolă în altă parte, schimb-o și acolo. Activează autentificarea cu doi factori pe orice cont unde este disponibilă. Fii atent la tentativele de phishing care fac referire la această breșă, deoarece atacatorii folosesc adesea date scurse pentru a crea escrocherii ulterioare convingătoare. În cele din urmă, dacă ești în căutarea unui nou VPN, prioritizează furnizorii cu politici „fără jurnale” auditate independent, mai degrabă decât doar cu politici auto-raportate.
Contradicția fără jurnale din breșa de date SplitVPN este un semnal clar că promisiunile de confidențialitate au nevoie de dovezi, nu doar de text de marketing. Utilizatorii merită furnizori care își pot demonstra afirmațiile, nu doar să le enunțe.
