База даних SQL обсягом 17 ГБ, яка зараз циркулює на кіберзлочинному форумі Altenen, привернула увагу до однієї з найпоширеніших обіцянок VPN-індустрії: політики незбереження журналів. Як стверджується, базу даних викрали зі SplitVPN (раніше відомого як NotVPN), російського VPN, який рекламується саме як засіб обходу інтернет-цензури, і вона містить близько 23,4 мільйона записів користувачів та приблизно 58 мільйонів журналів підключень. Це вражаюча цифра для сервісу, який будував маркетинг навколо ідеї, що він взагалі не веде журналів.

Це не просто історія про злом одного VPN-провайдера. Це нагадування, що політика конфіденційності є такою ж хорошою, як і практики, що стоять за нею, і що порушення заяв про незбереження журналів у SplitVPN ілюструє, чому користувачам потрібно дивитися далі маркетингових текстів, перш ніж довіряти провайдеру свій трафік.

Що сталося у витоку SplitVPN

Згідно з повідомленням Security Affairs, зловмисник почав поширювати базу даних на відомому кіберзлочинному форумі, а дослідники з Mysterium отримали копію та перевірили її на основі сирого дампу. Їхній аналіз підтвердив масштаб: мільйони облікових записів користувачів, інформація про пристрої, платіжні дані та метадані підключень, і все це, ймовірно, витягнуто з сервісу, чия ціннісна пропозиція повністю ґрунтувалася на тому, щоб не зберігати саме такі дані.

Ми детально розглянули технічний розбір викритого набору даних у нашій попередній статті про витік SplitVPN, що викриває 58 мільйонів журналів, включаючи категорії даних, які, як повідомляється, були включені, і як витік було перевірено. Якщо ви користуєтесь або користувалися SplitVPN, варто повністю прочитати цей матеріал, оскільки в ньому викладено, яка інформація могла бути викрита та які кроки варто розглянути постраждалим користувачам.

Основна проблема не лише в тому, що стався витік. Витоки трапляються в компаніях у всіх галузях. Проблема в розриві між тим, що SplitVPN говорив користувачам про свої практики роботи з даними, і тим, що показує виток бази даних. Якщо VPN рекламує себе як інструмент обходу цензури без журналювання, а вкрадена база даних показує десятки мільйонів записів підключень — це не дрібна розбіжність. Це пряме протиріччя основній обіцянці продукту.

Чому журнали підключень підривають обіцянки про відсутність журналів

Журнали підключень — це не те саме, що історія переглядів, але вони все одно можуть бути дуже показовими. Журнал підключень зазвичай фіксує, коли користувач підключався до VPN-сервера, який сервер використовував, скільки тривала сесія і іноді IP-адресу, з якої він підключався. Для VPN, орієнтованого на людей, які намагаються обійти інтернет-цензуру, такі метадані можуть бути чутливими самі по собі, оскільки їх потенційно можна використовувати для встановлення шаблонів того, коли і як хтось виходив в інтернет, навіть не знаючи, що саме він робив після підключення.

Справжня політика незбереження журналів означає, що провайдер проектує свої системи так, щоб ця інформація просто не зберігалася — чи то завдяки серверам, які працюють лише в ОЗП, чи сесійним даним, які негайно видаляються, чи інфраструктурі, яка взагалі ніколи не записує метадані підключень на диск. Коли витік виявляє мільйони журналів підключень, що зберігаються в базі даних, це свідчить про те, що провайдер збирав і зберігав саме ту інформацію, яку, за його ж маркетингом, не мав би. Це центральна проблема, яку ілюструє інцидент зі SplitVPN: обіцянка і практика, очевидно, не збігалися.

Як перевірити заяви VPN про незбереження журналів, перш ніж довіряти

Маркетингові сторінки написати легко. Доказове підтвердження підробити важче, і саме воно відрізняє достовірну заяву про незбереження журналів від порожньої. Перш ніж довіряти VPN свій трафік, зверніть увагу на кілька конкретних сигналів:

Незалежні аудити важать більше, ніж самостійно заявлені політики. Перевірка конфігурації серверів провайдера авторитетною сторонньою фірмою з кібербезпеки, яка підтверджує, що ідентифікуючі журнали не зберігаються, має набагато більшу вагу, ніж абзац на сторінці політики конфіденційності.

Судові справи та запити правоохоронних органів можуть слугувати реальними тестами. Якщо провайдера раніше змушували передати дані користувачів, а йому просто не було чого надати — це сильніший сигнал, ніж неперевірена заява.

Звіти про прозорість, юрисдикція та історія власності також мають значення. Провайдер, що базується в країні з сильними законами про захист даних, публікує регулярні звіти про прозорість і має чітку структуру власності, як правило, легше притягнути до відповідальності, ніж того, хто приховує, хто ним керує.

Чек-лист: червоні прапорці при виборі VPN, орієнтованого на приватність

Оцінюючи VPN-провайдера, звертайте увагу на ці попереджувальні знаки: жодного незалежного аудиту не було опубліковано або аудит застарілий на роки; право власності чи юрисдикція компанії незрозумілі або часто змінюються; політика конфіденційності використовує розмиті формулювання про «анонімізовані» чи «агреговані» дані без пояснення, що насправді збирається; немає звіту про прозорість або історії реагування на юридичні запити; а сервіс раніше пройшов ребрендинг (як SplitVPN з NotVPN) без чіткого пояснення, що змінилося в роботі.

Що це означає для вас

Якщо ви зараз користуєтесь SplitVPN, сприйміть це як сигнал переглянути матеріал про витік SplitVPN, що викриває 58 мільйонів журналів і подумайте, чи могли ваш обліковий запис, пристрій або платіжна інформація потрапити до викритої бази даних. У ширшому сенсі цей інцидент є корисним приводом переглянути будь-який VPN, на який ви покладаєтеся, не тому, що кожен провайдер бреше про свої практики журналювання, а тому, що довіра в цій сфері повинна заслуговуватися через перевірку, а не вважатися даністю з маркетингової сторінки.

Порушення заяв про незбереження журналів у SplitVPN не означає, що VPN без журналів — це міф. Це означає, що сам по собі ярлик не є доказом. Провайдери, які можуть вказати на незалежні аудити, послідовне звітування про прозорість і перевірену історію захисту даних користувачів під юридичним тиском, заслужили інший рівень довіри, ніж ті, хто покладається лише на маркетингові формулювання.

Практичні висновки

Перевірте, чи проходив ваш VPN-провайдер нещодавній, публічно доступний незалежний аудит своїх заяв про незбереження журналів. Дослідіть юрисдикцію провайдера та історію власності, оскільки це впливає на те, які дані можуть бути законно витребувані у них. Читайте звіти про прозорість, якщо провайдер їх публікує, і сприймайте їхню відсутність як прогалину, яку варто поставити під сумнів. Якщо ви були користувачем SplitVPN, перегляньте деталі викритого набору даних і подумайте про зміну паролів, які використовувалися повторно, або платіжної інформації, пов’язаної з цим обліковим записом. І надалі обирайте інструменти приватності на основі доказів, які можна перевірити, а не лише на обіцянках.