ฐานข้อมูลของ VPN 'ไม่เก็บบันทึก' ปรากฏออนไลน์

ฐานข้อมูล SQL ขนาด 17 GB ที่ถูกขโมยซึ่งกล่าวหาว่าเป็นของ SplitVPN บริการ VPN ที่เคยรู้จักในชื่อ NotVPN ได้ปรากฏขึ้นทางออนไลน์ และเนื้อหาขัดแย้งโดยตรงกับคำมั่นสัญญาความเป็นส่วนตัวแบบไม่เก็บบันทึกข้อมูล (no-logs) ที่มีมายาวนานของบริษัท จากการวิเคราะห์ข้อมูลที่รั่วไหล ฐานข้อมูลประกอบด้วยบันทึกผู้ใช้ประมาณ 23.4 ล้านรายการ บันทึกอุปกรณ์ 13.6 ล้านรายการ และบันทึกการชำระเงิน 2.6 ล้านรายการ การรวมกันของข้อมูลส่วนบุคคล อุปกรณ์ และการเงินดังกล่าวเป็นสิ่งที่บริการ VPN แบบไม่เก็บบันทึกอย่างแท้จริงไม่ควรจัดเก็บได้เลย นับประสาอะไรกับการสูญเสียจากเหตุรั่วไหล

รายงานระบุว่าข้อมูลรั่วไหลเริ่มแพร่กระจายในฟอรั่มอาชญากรรมไซเบอร์ Altenen ซึ่งเป็นสถานที่ที่มักใช้ในการแจกจ่ายฐานข้อมูลที่ถูกขโมยก่อนจะถูกขายต่อหรือเจาะข้อมูลโดยผู้ไม่หวังดีรายอื่น เมื่อชุดข้อมูลเช่นนี้ไปถึงฟอรั่มประเภทนั้น มันมักจะแพร่กระจายอย่างรวดเร็วไปยังตลาดมืดอื่น ๆ ทำให้การสกัดกั้นแทบเป็นไปไม่ได้ สำหรับผู้ให้บริการ VPN ซึ่งคุณค่าทั้งหมดวางอยู่บนคำมั่นสัญญาว่าจะไม่เก็บบันทึกกิจกรรมหรือข้อมูลระบุตัวตนของผู้ใช้ การเปิดเผยในลักษณะนี้ถือว่าสร้างความเสียหายได้มากที่สุดเท่าที่จะเป็นไปได้

เหตุใดคำกล่าวอ้าง 'ไม่เก็บบันทึก' จึงเป็นที่กังขา

ผู้ให้บริการ VPN ทำตลาดนโยบายไม่เก็บบันทึกเป็นจุดขายหลัก แนวคิดที่ว่าหากรัฐบาลหรือผู้โจมตีเรียกร้องข้อมูลผู้ใช้ จะไม่มีอะไรให้ส่งมอบ สถานการณ์ของ SplitVPN แสดงให้เห็นว่าเหตุใดคำกล่าวอ้างเหล่านั้นจึงควรได้รับการตรวจสอบมากกว่าความเชื่อแบบไม่ลืมหูลืมตา การวิเคราะห์แยกต่างหากของเหตุการณ์เดียวกันพบว่าข้อมูลที่เปิดเผยยังรวมถึงบันทึกการเชื่อมต่อนับสิบล้านรายการตามที่ระบุในรายงานที่เกี่ยวข้องเรื่อง การเปิดเผยบันทึก 58 ล้านรายการของ SplitVPN แม้มีคำปฏิญาณไม่เก็บบันทึก บันทึกการเชื่อมต่อ ตัวระบุอุปกรณ์ และบันทึกการชำระเงินไม่ใช่ข้อมูลที่ผู้ให้บริการจะอ้างได้ว่าตนไม่เคยจัดเก็บ

ช่องว่างระหว่างภาษาทางการตลาดกับแนวปฏิบัติด้านข้อมูลจริงไม่ได้เกิดขึ้นเฉพาะกับ SplitVPN แต่ขนาดของเหตุการณ์นี้ทำให้เป็นกรณีศึกษาที่น่าสังเกต ผู้ใช้หลายล้านคนเลือกใช้บริการนี้โดยเฉพาะเพราะมันสัญญาเรื่องความเป็นส่วนตัว และหลายคนอาจใช้ในภูมิภาคที่การไม่เปิดเผยตัวตนมีความสำคัญต่อความปลอดภัยส่วนบุคคล ไม่ใช่แค่ความสะดวกสบาย เมื่อแนวปฏิบัติภายในของผู้ให้บริการไม่ตรงกับคำกล่าวอ้างต่อสาธารณะ ผลที่ตามมาขยายวงไปไกลกว่าความอับอาย มันอาจทำให้ผู้คนจริง ๆ ตกอยู่ในความเสี่ยง โดยเฉพาะผู้ที่พึ่งพาบริการเพื่อปกปิดตัวตนหรือสถานที่ของตน

การตรวจสอบฐานข้อมูลที่รั่วไหลและต้นกำเนิดอย่างใกล้ชิดควรค่าแก่การอ่านอย่างเต็มที่ รวมถึงสาเหตุที่คำกล่าวอ้างไม่เก็บบันทึกถูกโจมตีตั้งแต่แรก การเจาะลึกคำถามดังกล่าวมีอยู่ใน บทวิเคราะห์ว่าทำไมคำกล่าวอ้างไม่เก็บบันทึกของ SplitVPN จึงต้องได้รับการยืนยัน ซึ่งอธิบายความไม่สอดคล้องระหว่างนโยบายที่ SplitVPN โฆษณากับข้อมูลที่ดูเหมือนว่ามันเก็บไว้จริง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเคยใช้ SplitVPN หรือรุ่นก่อนหน้าอย่าง NotVPN ให้ถือว่านี่เป็นสัญญาณให้ลงมือทำ ไม่ใช่แค่อ่าน ชุดข้อมูลที่เปิดเผยรายงานว่ารวมถึงบันทึกการชำระเงิน หมายความว่ารายละเอียดทางการเงินที่ผูกกับบัญชีของคุณอาจเป็นส่วนหนึ่งของข้อมูลรั่วไหล บันทึกอุปกรณ์บ่งชี้ว่าตัวระบุที่เชื่อมโยงกับฮาร์ดแวร์เฉพาะของคุณอาจถูกเปิดเผยด้วย ซึ่งทำให้ผู้ไม่ประสงค์ดีเชื่อมโยงการใช้ VPN ของคุณกับตัวตนจริงของคุณผ่านบริการอื่นได้ง่ายขึ้น

ในวงกว้างขึ้น การรั่วไหลนี้เป็นเครื่องเตือนใจว่านโยบายความเป็นส่วนตัวของ VPN นั้นดีเท่ากับโครงสร้างพื้นฐานและแนวปฏิบัติด้านความปลอดภัยที่แท้จริงของบริษัทเท่านั้น คำกล่าวอ้างไม่เก็บบันทึกที่พิมพ์บนเว็บไซต์เป็นข้อความทางการตลาด ไม่ใช่การรับประกันทางเทคนิค ผู้ให้บริการที่จริงจังกับคำมั่นมักจะผ่านการตรวจสอบระบบโดยอิสระ และถึงกระนั้น การรั่วไหลจากระบบเรียกเก็บเงินหรือข้อมูลเมตาของอุปกรณ์ก็ยังอาจเกิดขึ้นได้หากบริษัทรวบรวมข้อมูลมากกว่าที่ควรเพื่อวัตถุประสงค์ในการสนับสนุนหรือป้องกันการทุจริต

ผู้ใช้ SplitVPN ควรทำอะไรตอนนี้

เริ่มด้วยการสันนิษฐานว่าที่อยู่อีเมลของคุณและอาจรวมถึงข้อมูลการชำระเงินได้ถูกเปิดเผย เปลี่ยนรหัสผ่านบัญชี SplitVPN ของคุณทันที และอัปเดตรหัสผ่านที่อื่น ๆ ที่คุณอาจใช้ซ้ำ เนื่องจากการใช้ข้อมูลประจำตัวซ้ำเป็นหนึ่งในวิธีที่พบได้บ่อยที่สุดที่การรั่วไหลครั้งเดียวจะกลายเป็นการบุกรุกหลายบัญชี หากคุณชำระเงินผ่านบัตรเครดิต ให้ตรวจสอบรายการเคลื่อนไหวอย่างใกล้ชิดเพื่อหาค่าใช้จ่ายที่ไม่ได้รับอนุญาต และพิจารณาติดต่อผู้ออกบัตรหากมีสิ่งใดดูไม่คุ้นเคย

นอกจากนี้ยังควรทบทวนว่าคุณต้องการใช้บริการนี้ต่อไปหรือไม่ การรั่วไหลในระดับนี้ซึ่งเกี่ยวข้องกับข้อมูลที่ผู้ให้บริการแบบไม่เก็บบันทึกไม่ควรเก็บไว้แต่แรก ถือเป็นเหตุผลที่สมควรในการมองหาที่อื่น เมื่อประเมิน VPN ใด ๆ ในอนาคต ให้มองหาผู้ให้บริการที่เผยแพร่ผลการตรวจสอบจากบุคคลที่สามที่เป็นอิสระของคำกล่าวอ้างไม่เก็บบันทึกของตน แทนที่จะพึ่งพาข้อความทางการตลาดเพียงอย่างเดียว

ภาพรวมที่ใหญ่กว่าว่าด้วยความไว้วางใจใน VPN

เหตุการณ์ SplitVPN เกิดขึ้นในขณะที่การใช้งาน VPN ยังคงเติบโตในหมู่ผู้คนที่มองหาการปกป้องความเป็นส่วนตัวขั้นพื้นฐานทางออนไลน์ การเติบโตนั้นทำให้เหตุการณ์เช่นนี้มีผลกระทบมากขึ้น ไม่ใช่น้อยลง การรั่วไหลเพียงครั้งเดียวที่กระทบบันทึกนับสิบล้านรายการกัดกร่อนความไว้วางใจไม่เฉพาะแค่ผู้ให้บริการรายเดียว แต่ยังกระทบแนวคิดที่กว้างขึ้นที่ว่าการสมัครสมาชิก VPN หมายถึงความเป็นส่วนตัวโดยอัตโนมัติ ซึ่งไม่เป็นเช่นนั้น ความเป็นส่วนตัวขึ้นอยู่กับสิ่งที่บริษัททำอยู่เบื้องหลังจริง ๆ ไม่ใช่สิ่งที่กล่าวอ้างบนหน้าแรก

ในตอนนี้ ผู้ใช้ที่ได้รับผลกระทบควรให้ความสำคัญกับการรักษาความปลอดภัยบัญชีและการเงินของตน และคนอื่น ๆ ควรใช้สิ่งนี้เป็นตัวกระตุ้นให้ถามคำถามที่ยากขึ้นก่อนจะไว้วางใจผู้ให้บริการใด ๆ ด้วยข้อมูลของตน การอ่านผลตรวจสอบอิสระ ตรวจสอบประวัติการรั่วไหลของบริษัท และการทำความเข้าใจให้ชัดเจนว่าบริการรวบรวมข้อมูลอะไรบ้างเป็นขั้นตอนง่าย ๆ ที่ช่วยได้มากในการหลีกเลี่ยงพาดหัวข่าวแบบนี้ในอนาคต