Vad SplitVPN-läckan avslöjade

En VPN-tjänst vid namn SplitVPN, marknadsförd som ett verktyg för att kringgå internetcensur, står i centrum för en dataläcka som undergräver själva löftet man sålde till användarna. Enligt en rapport från Security Affairs innehöll en stulen SQL-databas på 17 GB, som påstods vara kopplad till SplitVPN, miljontals användar-, enhets- och betalningsuppgifter tillsammans med 58 miljoner anslutningsloggar. Den sistnämnda detaljen är den som väger tyngst, eftersom SplitVPN marknadsförde sig som en tjänst utan loggar, vilket innebär att man hävdade att man inte registrerade den typ av aktivitetsdata som kan koppla en användares identitet till deras onlinebeteende.

Läckans omfattning – tiotals miljoner anslutningsposter tillsammans med betalnings- och enhetsinformation – tyder på att detta inte var ett litet tekniskt förbiseende. Det pekar på en systematisk praxis att behålla just den data som en policy om ingen loggning är tänkt att utesluta. För en tjänst som byggts för att hjälpa människor att kringgå censur, ofta i regioner där digital övervakning medför verkliga personliga risker, är en sådan exponering mer än en pinsamhet. Det är en direkt motsägelse till det säkerhetslöfte som användarna förlitade sig på.

Hur en VPN som lovade ’inga loggar’ slutade med att logga allt

Klyftan mellan vad VPN-leverantörer säger i sin marknadsföring och vad som faktiskt sker på deras servrar är inget nytt problem, men fallet SplitVPN är en skarp påminnelse om hur bred den klyftan kan vara. Ett påstående om ’inga loggar’ är i grunden en policyförklaring. Det beskriver vad ett företag säger att det inte ska göra. Ingenting i det påståendet verifieras automatiskt av en teknisk mekanism eller en extern part. Såvida inte en leverantör underkastar sig oberoende granskning finns det påståendet bara på en webbsida.

Det som sannolikt har hänt här är ett vanligt mönster i VPN-branschen: anslutningsmetadata, tidsstämplar, IP-adresser, sessionsdetaljer och kontoinformation samlas in av operativa skäl som felsökning, bedrägeriförebyggande eller fakturering, och dessa data rensas aldrig helt. Med tiden ackumuleras de till just den typ av profil som en policy om ingen loggning hävdar inte existerar. När en sådan databas drabbas av ett intrång eller lämnas exponerad blir diskrepansen mellan policy och praktik offentlig på värsta tänkbara sätt.

Varför ogranskade påståenden om ingen loggning inte går att lita på

Denna händelse är en lärorik fallstudie i varför ett påstående om ingen loggning i sig aldrig bör betraktas som bevis för sekretess. Vilken VPN-leverantör som helst kan skriva ”vi loggar inte din aktivitet” på sin startsida. Påståendet blir bara trovärdigt när det backas upp av något externt: en tredjeparts säkerhetsrevision, ett rättsfall där myndigheter begärde loggar som faktiskt inte fanns, eller en transparent historik av konsekvent offentlig rapportering. Utan den typen av verifiering är en policy om ingen loggning ett marknadsföringsuttalande, inte en garanti.

Den bredare läxan sträcker sig bortom VPN. Många säkerhets- och integritetsverktyg ger djärva löften som låter betryggande men är svåra för en vanlig användare att verifiera. Samma skepsis som är på sin plats här är värd att tillämpa på andra håll i säkerhetsvärlden; till exempel har rapportering om ransomware-betalningar på liknande sätt visat att ett vanligt antagande, i det fallet att en betalning av lösen löser problemet, inte håller när oberoende data granskas. Påståenden kräver bevis, inte bara avsikt.

Så granskar du en VPN:s integritetspolicy innan du litar på den

Innan du prenumererar på en VPN, särskilt en som marknadsförs för riskfyllda användningsområden som att kringgå censur, är det värt att göra några konkreta kontroller i stället för att ta etiketten ”inga loggar” för given:

  • Leta efter en genomförd, publicerad tredjeparts säkerhetsrevision, inte bara en vag hänvisning till att vara ”granskad”. Seriösa leverantörer namnger revisionsfirman och publicerar resultaten.
  • Kontrollera om leverantören har en dokumenterad historik, helst inklusive fall där begäranden från brottsbekämpande myndigheter bekräftade att inga användbara loggar fanns.
  • Läs den faktiska integritetspolicyn, inte bara marknadsföringssidorna, för att se vilka datakategorier som samlas in för fakturering, felsökning eller bedrägeriförebyggande, och hur länge dessa data sparas.
  • Undersök företagets ägande och jurisdiktion, eftersom skyldigheterna för datalagring varierar kraftigt mellan länder.

Vad detta innebär för dig

Om du använder SplitVPN, eller någon VPN, är dataläckan från SplitVPN, som avslöjade loggar trots löfte om ingen loggning, en påminnelse om att regelbundet omvärdera om den tjänst du betalar för backar upp sina sekretesspåståenden med verklig bevisning. Om din leverantör aldrig har publicerat en oberoende revision är det värt att behandla som en varningsflagga snarare än en formalitet. För användare i censurutsatta regioner, där en läcka av anslutningsloggar kan få verkliga personliga konsekvenser, är denna granskning inte frivillig – den är nödvändig.

Att ta med sig

SplitVPN-incidenten understryker en enkel sanning: ett integritetslöfte är bara så starkt som bevisen bakom det. Innan du anförtror någon VPN dina anslutningsdata, verifiera dess påstående om ingen loggning genom oberoende revisioner och transparensrapporter i stället för att enbart förlita dig på marknadsföringsspråk. Granska din nuvarande leverantörs policy, kontrollera efter tredjepartsverifiering och tveka inte att byta om bevisen inte håller.