En 17 GB SQL-databas som nu cirkulerar på cyberbrottsforumet Altenen har satt strålkastarljuset på ett av VPN-branschens mest upprepade löften: policyn om noll loggar. Databasen, som påstås vara stulen från SplitVPN (tidigare känt som NotVPN), ett ryskt VPN som marknadsförs särskilt för att kringgå internetscensur, sägs innehålla cirka 23,4 miljoner användarposter och ungefär 58 miljoner anslutningsloggar. Det är ett slående antal för en tjänst som byggde sin marknadsföring kring idén att den inte sparar några loggar alls.

Det här är inte bara en historia om en VPN-leverantör som blir hackad. Det är en påminnelse om att en integritetspolicy bara är lika bra som praxisen bakom den, och att intrånget i SplitVPN:s påståenden om noll loggar illustrerar exakt varför användare måste se bortom marknadsföringstexter innan de anförtror en leverantör sin trafik.

Vad som hände i SplitVPN-intrånget

Enligt rapportering från Security Affairs började en hotaktör distribuera databasen på ett känt cyberbrottsforum, och forskare på Mysterium fick tag i en kopia och verifierade den mot den råa dumpen. Deras analys bekräftade omfattningen: miljontals användarkonton, enhetsinformation, betalningsuppgifter och anslutningsmetadata, allt påstått hämtat från en tjänst vars hela värdeerbjudande vilade på att inte behålla exakt den här typen av data.

Vi täckte den tekniska nedbrytningen av det exponerade datasetet i detalj i vårt tidigare inlägg om SplitVPN-intrånget som exponerade 58 miljoner loggar, inklusive vilka datakategorier som rapporterades vara inkluderade och hur läckan verifierades. Om du använder eller har använt SplitVPN är den bevakningen värd att läsa i sin helhet, eftersom den redogör för vilken information som kan ha exponerats och vilka steg drabbade användare bör överväga.

Kärnfrågan är inte bara att ett intrång inträffade. Intrång händer företag inom alla branscher. Frågan är glappet mellan vad SplitVPN berättade för användarna om sin datapraxis och vad den läckta databasen verkar visa. Om ett VPN marknadsför sig som ett censur-kringgående verktyg utan loggning, och en stulen databas visar tiotals miljoner anslutningsposter, är det inte en mindre avvikelse. Det är en direkt motsägelse av produktens kärnlöfte.

Varför anslutningsloggar undergräver löften om noll loggar

Anslutningsloggar är inte samma sak som webbhistorik, men de kan ändå vara djupt avslöjande. En anslutningslogg registrerar vanligtvis när en användare anslöt till en VPN-server, vilken server de använde, hur länge sessionen varade, och ibland IP-adressen de anslöt från. För ett VPN som marknadsförs mot personer som försöker kringgå internetscensur kan den typen av metadata vara känslig i sig, eftersom den potentiellt kan användas för att etablera mönster för när och hur någon kom åt internet, även utan att veta exakt vad de gjorde när de väl var anslutna.

En genuin policy om noll loggar innebär att en leverantör arkitekturerar sina system så att denna information helt enkelt inte behålls, vare sig genom RAM-baserade servrar, sessionsdata som kastas omedelbart, eller infrastruktur som aldrig skriver anslutningsmetadata till disk överhuvudtaget. När ett intrång avslöjar miljontals anslutningsloggar som ligger i en databas, antyder det att leverantören samlade in och lagrade exakt den typ av information som deras marknadsföring sa att de inte skulle. Det är det centrala problemet som SplitVPN-incidenten illustrerar: löftet och praktiken stämde uppenbarligen inte överens.

Hur du verifierar ett VPN:s påståenden om noll loggar innan du litar på det

Marknadsföringssidor är lätta att skriva. Verifierbara bevis är svårare att förfalska, och det är vad som skiljer ett trovärdigt påstående om noll loggar från ett tomt sådant. Innan du anförtror ett VPN din trafik, leta efter några konkreta signaler:

Oberoende revisioner betyder mer än självrapporterade policyer. Att ett ansedd tredjeparts-säkerhetsföretag granskar en leverantörs serverkonfiguration och bekräftar att inga identifierande loggar lagras väger betydligt tyngre än ett stycke på en integritetspolicysida.

Rättsfall och begäranden från brottsbekämpande myndigheter kan fungera som verkliga tester. Om en leverantör tidigare har tvingats överlämna användardata och helt enkelt inte hade någon att ge, är det en starkare signal än ett overifierat påstående.

Transparensrapporter, jurisdiktion och ägarhistorik spelar också roll. En leverantör baserad i ett land med starka dataskyddslagar, som publicerar regelbundna transparensrapporter och med en tydlig ägarstruktur är generellt sett lättare att hålla ansvarig än en som döljer vem som driver den.

Checklista: Varningsflaggor vid val av ett integritetsfokuserat VPN

När du utvärderar en VPN-leverantör, håll utkik efter dessa varningstecken: ingen oberoende revision har någonsin publicerats eller revisionen är flera år föråldrad; företagets ägarskap eller jurisdiktion är oklar eller ändras ofta; integritetspolicyn använder vagt språk om "anonymiserad" eller "aggregerad" data utan att förklara vad som faktiskt samlas in; det finns ingen transparensrapport eller historik av att svara på juridiska förfrågningar; och tjänsten har tidigare bytt varumärke (som SplitVPN gjorde från NotVPN) utan en tydlig förklaring av vad som förändrades operativt.

Vad detta betyder för dig

Om du för närvarande använder SplitVPN, behandla detta som en signal att granska bevakningen om SplitVPN-intrånget som exponerade 58 miljoner loggar och överväg om ditt konto, din enhet eller dina betalningsuppgifter kan ha inkluderats i den exponerade databasen. Mer allmänt är denna incident en användbar anledning att ompröva vilket VPN du än förlitar dig på, inte för att varje leverantör ljuger om sin loggningspraxis, utan för att förtroende i detta utrymme bör förtjänas genom verifiering, inte antas från en marknadsföringssida.

SplitVPN-intrånget kring påståenden om noll loggar betyder inte att VPN med noll loggar är en myt. Det betyder att etiketten ensam inte är bevis. Leverantörer som kan peka på oberoende revisioner, konsekvent transparensrapportering och en historik av att skydda användardata under juridiskt tryck har förtjänat en annan nivå av förtroende än de som enbart förlitar sig på marknadsföringsspråk.

Praktiska slutsatser

Kontrollera om din VPN-leverantör har genomgått en nyligen genomförd, offentligt tillgänglig oberoende revision av sina påståenden om noll loggar. Undersök leverantörens jurisdiktion och ägarhistorik, eftersom dessa påverkar vilken data som lagligen kan krävas från dem. Läs transparensrapporter om leverantören publicerar sådana, och behandla deras frånvaro som en lucka värd att ifrågasätta. Om du var en SplitVPN-användare, granska detaljerna i det exponerade datasetet och överväg att ändra eventuella återanvända lösenord eller betalningsuppgifter kopplade till det kontot. Och framöver, välj integritetsverktyg baserat på verifierbara bevis snarare än enbart löften.