การรั่วไหลของข้อมูลที่เชื่อมโยงกับ SplitVPN ผู้ให้บริการเครือข่ายส่วนตัวเสมือนซึ่งเดิมรู้จักในชื่อ NotVPN ได้เปิดเผยข้อมูลผู้ใช้ 865,336 รายและบันทึกการเชื่อมต่อประมาณ 58 ล้านรายการ เหตุการณ์นี้กำลังถูกจับตามองเนื่องจาก SplitVPN ก็เหมือนกับบริการ VPN หลายแห่ง ที่ทำการตลาดด้วยคำมั่นสัญญาเรื่องความเป็นส่วนตัว นั่นคือนโยบายไม่เก็บบันทึกอย่างเคร่งครัด ซึ่งบอกผู้ใช้ว่ากิจกรรมออนไลน์ของพวกเขาจะไม่ถูกบันทึกหรือจัดเก็บใดๆ ทั้งสิ้น การรั่วไหลครั้งนี้ชี้ให้เห็นว่าคำมั่นสัญญาดังกล่าวไม่เป็นจริงในทางปฏิบัติ

สำหรับอุตสาหกรรมที่สร้างขึ้นบนความไว้วางใจแทบทั้งหมด นี่คือเรื่องราวที่จะเปลี่ยนมุมมองที่ผู้คนใช้ประเมินคำกล่าวอ้างของผู้ให้บริการ VPN ผู้คนนับล้านใช้ VPN โดยมีจุดประสงค์เพื่อหลีกเลี่ยงไม่ให้พฤติกรรมการท่องเว็บของตนถูกติดตามหรือเก็บรักษาไว้ที่ใดก็ตาม เมื่อแนวปฏิบัติในการเก็บบันทึกของผู้ให้บริการขัดแย้งกับการตลาดของตนเอง มันย่อมก่อให้เกิดคำถามที่ยากขึ้น ไม่ใช่เฉพาะกับลูกค้าของ SplitVPN เท่านั้น แต่กับใครก็ตามที่พึ่งพาฉลาก "ไม่เก็บบันทึก" เป็นเหตุผลในการไว้วางใจให้บริการนั้นจัดการข้อมูลการใช้งานของตน

เกิดอะไรขึ้นในการรั่วไหลของข้อมูล SplitVPN

ตามที่เปิดเผย ข้อมูลที่หลุดออกมาประกอบด้วยระเบียนผู้ใช้ 865,336 รายการ พร้อมกับบันทึกการเชื่อมต่อประมาณ 58 ล้านรายการ ปริมาณข้อมูลการเชื่อมต่อจำนวนมหาศาลนี้มีความสำคัญ เพราะ VPN ที่ไม่เก็บบันทึกอย่างแท้จริงไม่ควรสร้าง และไม่ควรเก็บรักษาบันทึกการเชื่อมต่อของผู้ใช้ในระดับนั้น การมีอยู่ของบันทึกการเชื่อมต่อหลายสิบล้านรายการ บั่นทอนการรับประกันความเป็นส่วนตัวหลักที่ SplitVPN โฆษณาต่อฐานผู้ใช้โดยตรง

ก่อนหน้านี้ SplitVPN ดำเนินการภายใต้ชื่อ NotVPN ก่อนที่จะเปลี่ยนแบรนด์ การรั่วไหลของข้อมูล SplitVPN ที่เปิดเผยระเบียน 865,000 รายการและบันทึก 58 ล้านรายการ ได้จุดประเด็นการถกเถียงในวงกว้างแล้วว่า บริษัท VPN ตรวจสอบและบังคับใช้นโยบายความเป็นส่วนตัวของตนเองได้อย่างไร โดยเฉพาะอย่างยิ่งผู้ให้บริการรายเล็กหรือที่ไม่ค่อยเป็นที่รู้จัก ซึ่งอาจไม่ผ่านการตรวจสอบอิสระในระดับเดียวกับบริการรายใหญ่ที่ดำเนินการมานาน

เหตุใดคำกล่าวอ้างเรื่องไม่เก็บบันทึกจึงสำคัญอย่างยิ่ง

คุณค่าทั้งหมดของ VPN ขึ้นอยู่กับความไว้วางใจ ผู้ใช้กำหนดเส้นทางการรับส่งข้อมูลของตนผ่านเซิร์ฟเวอร์ของบุคคลที่สามก็เพื่อไม่ให้ผู้ให้บริการอินเทอร์เน็ต ผู้ดูแลระบบเครือข่าย หรือผู้สังเกตการณ์อื่น ๆ สามารถเห็นได้ว่าพวกเขากำลังทำอะไรทางออนไลน์ เพื่อแลกเปลี่ยน พวกเขาวางการมองเห็นนั้นไว้ในมือของผู้ให้บริการ VPN นโยบายไม่เก็บบันทึกคือกลไกที่ควรป้องกันไม่ให้บริษัท VPN กลายเป็นจุดรั่วไหลเสียเอง

เมื่อผู้ให้บริการโฆษณาว่าไม่เก็บบันทึก แต่ภายหลังถูกพบว่ามีการเก็บรักษาข้อมูลอภิพันธุ์การเชื่อมต่อ และข้อมูลอภิพันธุ์นั้นก็ถูกเปิดเผยในการรั่วไหล มันก็ทำลายจุดประสงค์ของการใช้บริการตั้งแต่แรก ผู้ใช้ไม่ได้เพียงแค่ถูกเปิดเผยข้อมูลโดยผู้โจมตีจากภายนอก แต่ข้อมูลของพวกเขายังมีอยู่ในรูปแบบที่สัญญาไว้ว่าจะไม่มีวันถูกสร้างขึ้น นี่คือเหตุผลที่หน่วยงานกำกับดูแล นักวิจัยด้านความปลอดภัย และผู้สนับสนุนด้านความเป็นส่วนตัว จึงผลักดันให้มีการตรวจสอบอิสระสำหรับคำกล่าวอ้างเรื่องไม่เก็บบันทึกอยู่เสมอ แทนที่จะยอมรับภาษาทางการตลาดตามที่เห็น

ข้อมูลใดบ้างที่ถูกเปิดเผย

มีรายงานว่าการรั่วไหลของ SplitVPN เกี่ยวข้องกับระเบียนบัญชีผู้ใช้และบันทึกการเชื่อมต่อจำนวนหลายสิบล้านรายการ บันทึกการเชื่อมต่อในลักษณะนี้ อาจเปิดเผยรูปแบบต่าง ๆ เช่น เวลาที่ผู้ใช้เชื่อมต่อ ระยะเวลาที่ใช้ และข้อมูลอภิพันธุ์อื่น ๆ ที่เกี่ยวข้องกับช่วงเวลา VPN ของพวกเขา แม้จะไม่มีประวัติการท่องเว็บทั้งหมด แต่ข้อมูลอภิพันธุ์ประเภทนี้สามารถถูกนำไปใช้เพื่ออนุมานพฤติกรรม ช่วงเวลา และนิสัยที่ผู้ใช้เชื่อว่าถูกเก็บเป็นส่วนตัว

สำหรับบุคคลที่ได้รับผลกระทบ การเปิดเผยนี้หมายความว่า ข้อมูลที่พวกเขาคิดว่าไม่เคยถูกเก็บรวบรวม ได้ถูกผูกโยงกับบัญชีของพวกเขา และอาจถูกเข้าถึงโดยฝ่ายที่ไม่ได้รับอนุญาต นั่นเป็นสถานการณ์ที่แตกต่างและอาจสร้างความเสียหายมากกว่าการรั่วไหลของข้อมูลทั่วไป เพราะมันยังทำลายพื้นฐานความไว้วางใจซึ่งเป็นจุดขายของบริการอีกด้วย

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณเคยใช้ SplitVPN หรือ NotVPN ควรถือว่านี่เป็นสัญญาณให้ตรวจสอบบัญชีของคุณ และเปลี่ยนข้อมูลประจำตัวใด ๆ ที่เกี่ยวข้องกับบริการ รวมถึงรหัสผ่านที่ใช้ซ้ำบนแพลตฟอร์มอื่น ในมุมกว้าง การรั่วไหลครั้งนี้เป็นเครื่องเตือนใจว่า "ไม่เก็บบันทึก" เป็นเพียงคำกล่าวอ้าง ไม่ใช่การรับประกัน เว้นแต่จะได้รับการตรวจสอบโดยอิสระแล้ว ก่อนไว้วางใจให้ผู้ให้บริการ VPN จัดการข้อมูลการใช้งานของคุณ ควรมองหาหลักฐานการตรวจสอบจากบุคคลที่สาม รายงานความโปร่งใส หรือประวัติที่บันทึกไว้ในการยืนหยัดเบื้องหลังคำกล่าวอ้างเรื่องความเป็นส่วนตัวภายใต้การตรวจสอบข้อเท็จจริง

นอกจากนี้ นี่เป็นช่วงเวลาที่ดีในการประเมินใหม่ว่าคุณคาดหวังอะไรจาก VPN นโยบายไม่เก็บบันทึกควรหมายความว่า ไม่มีอะไรให้รั่วไหลตั้งแต่แรก หากการรั่วไหลก่อให้เกิดบันทึกการเชื่อมต่อหลายล้านรายการจากผู้ให้บริการที่อ้างว่าไม่เก็บข้อมูล นั่นคือสัญญาณอันตรายที่มีนัยสำคัญว่าบริษัทดำเนินการเบื้องหลังอย่างไร โดยไม่สนใจว่าการตลาดจะระบุว่าอย่างไร

แนวทางปฏิบัติที่นำไปใช้ได้จริง

หากคุณเป็นผู้ใช้ SplitVPN หรือ NotVPN ทั้งในปัจจุบันหรืออดีต ให้เปลี่ยนรหัสผ่านบัญชีของคุณทันที และเปลี่ยนในที่อื่น ๆ ที่คุณอาจใช้ซ้ำ ตรวจสอบกิจกรรมที่น่าสงสัยในอีเมลและบัญชีการชำระเงินในช่วงหลายสัปดาห์หลังการเปิดเผยนี้ ต่อจากนี้ไป เลือกผู้ให้บริการ VPN ที่เผยแพร่รายงานการตรวจสอบนโยบายไม่เก็บบันทึกที่เป็นอิสระ แทนที่จะพึ่งพาคำกล่าวอ้างที่ไม่ผ่านการตรวจสอบ และถือว่าคำมั่นสัญญาเรื่องความเป็นส่วนตัวใด ๆ จากผู้ให้บริการใด ๆ เป็นสิ่งที่ต้องตรวจสอบ แทนที่จะทึกทักเอาเอง เพราะเหตุการณ์นี้แสดงให้เห็นว่าคำกล่าวอ้างเรื่องไม่เก็บบันทึกนั้นถูกทำลายได้รวดเร็วเพียงใด