Cơ sở dữ liệu của VPN 'Không lưu nhật ký' xuất hiện trực tuyến
Một cơ sở dữ liệu SQL bị đánh cắp nặng 17 GB được cho là của SplitVPN, dịch vụ VPN trước đây có tên NotVPN, đã xuất hiện trực tuyến, và nội dung bên trong hoàn toàn mâu thuẫn với lời hứa bảo mật không lưu nhật ký từ lâu của công ty. Theo phân tích dữ liệu bị rò rỉ, cơ sở dữ liệu chứa khoảng 23,4 triệu bản ghi người dùng, 13,6 triệu bản ghi thiết bị và 2,6 triệu bản ghi thanh toán. Sự kết hợp giữa dữ liệu cá nhân, thiết bị và tài chính đó chính xác là những gì một dịch vụ VPN thực sự không lưu nhật ký không bao giờ được phép thu thập, chứ đừng nói đến để mất trong một vụ rò rỉ.
Vụ rò rỉ được cho là bắt đầu lan truyền trên diễn đàn tội phạm mạng Altenen, một địa điểm thường được sử dụng để phân phối các cơ sở dữ liệu bị đánh cắp trước khi chúng bị bán lại hoặc bị các tác nhân đe dọa khác khai thác. Một khi tập dữ liệu như thế này đến được loại diễn đàn đó, nó có xu hướng lan truyền nhanh chóng qua các chợ đen mạng khác, khiến việc ngăn chặn gần như là không thể. Đối với một nhà cung cấp VPN, nơi toàn bộ giá trị cốt lõi dựa trên lời hứa không lưu giữ dữ liệu hoạt động hoặc danh tính người dùng, thì kiểu phơi bày này gây thiệt hại nặng nề hết mức có thể.
Tại sao tuyên bố 'Không lưu nhật ký' hiện đang bị nghi ngờ
Các nhà cung cấp VPN tiếp thị chính sách không lưu nhật ký như một điểm bán hàng cốt lõi: ý tưởng rằng ngay cả khi chính phủ hoặc kẻ tấn công yêu cầu dữ liệu người dùng, họ cũng sẽ không có gì để giao nộp. Tình huống của SplitVPN cho thấy lý do tại sao những tuyên bố đó xứng đáng bị soi xét thay vì tin tưởng mù quáng. Một phân tích riêng biệt về cùng sự cố đã phát hiện ra rằng dữ liệu bị lộ cũng bao gồm hàng chục triệu nhật ký kết nối, như được nêu chi tiết trong một báo cáo liên quan về SplitVPN để lộ 58 triệu nhật ký bất chấp lời thề không lưu nhật ký. Nhật ký kết nối, mã định danh thiết bị và hồ sơ thanh toán không phải là loại thông tin mà một nhà cung cấp có thể tuyên bố một cách hợp lý rằng họ chưa từng lưu trữ.
Khoảng cách giữa ngôn ngữ tiếp thị và thực tiễn dữ liệu thực tế không phải là duy nhất ở SplitVPN, nhưng quy mô ở đây khiến nó trở thành một nghiên cứu điển hình đáng chú ý. Hàng triệu người dùng đã chọn dịch vụ này đặc biệt vì nó hứa hẹn quyền riêng tư, và nhiều người có khả năng đã sử dụng nó ở những khu vực mà ẩn danh quan trọng cho sự an toàn cá nhân, chứ không chỉ là sự tiện lợi. Khi thực tiễn nội bộ của một nhà cung cấp không khớp với tuyên bố công khai của họ, hậu quả vượt xa sự bối rối. Chúng có thể đặt những người thực sự vào tình thế nguy hiểm, đặc biệt là những người dựa vào dịch vụ để che giấu danh tính hoặc vị trí của họ.
Việc xem xét kỹ hơn cơ sở dữ liệu bị rò rỉ và nguồn gốc của nó đáng được đọc đầy đủ, bao gồm cả cách mà tuyên bố không lưu nhật ký bị chỉ trích ngay từ đầu. Một cuộc kiểm tra sâu hơn về câu hỏi đó có sẵn trong phân tích này về lý do tại sao tuyên bố không lưu nhật ký của SplitVPN cần được xác minh, trong đó trình bày sự không nhất quán giữa chính sách mà SplitVPN quảng cáo và dữ liệu mà nó dường như đã lưu giữ.
Điều này có ý nghĩa gì với bạn
Nếu bạn đã từng sử dụng SplitVPN hoặc tiền thân của nó, NotVPN, hãy coi đây là tín hiệu để hành động, chứ không chỉ đọc. Tập dữ liệu bị lộ được cho là bao gồm hồ sơ thanh toán, có nghĩa là chi tiết tài chính gắn với tài khoản của bạn có thể nằm trong vụ rò rỉ. Hồ sơ thiết bị gợi ý rằng các mã định danh được liên kết với phần cứng cụ thể của bạn cũng có thể bị lộ, điều này có thể khiến các tác nhân xấu dễ dàng liên hệ việc sử dụng VPN của bạn với danh tính thực của bạn trên các dịch vụ khác.
Rộng hơn, vụ rò rỉ này là một lời nhắc nhở rằng chính sách quyền riêng tư của VPN chỉ tốt như cơ sở hạ tầng và thực tiễn bảo mật thực tế của công ty. Một tuyên bố không lưu nhật ký được in trên trang web là một tuyên bố tiếp thị, không phải là một đảm bảo kỹ thuật. Các nhà cung cấp nghiêm túc với lời hứa thường trải qua các cuộc kiểm toán độc lập về hệ thống của họ, và ngay cả khi đó, các vụ rò rỉ hệ thống thanh toán hoặc siêu dữ liệu thiết bị vẫn có thể xảy ra nếu một công ty thu thập nhiều hơn mức cần thiết cho mục đích hỗ trợ hoặc ngăn chặn gian lận.
Người dùng SplitVPN nên làm gì bây giờ
Hãy bắt đầu bằng cách giả định rằng địa chỉ email của bạn, và có thể cả thông tin thanh toán, đã bị lộ. Thay đổi mật khẩu tài khoản SplitVPN của bạn ngay lập tức, và cập nhật mật khẩu ở bất kỳ nơi nào khác mà bạn có thể đã sử dụng lại nó, vì việc sử dụng lại thông tin xác thực là một trong những cách phổ biến nhất khiến một vụ rò rỉ duy nhất biến thành nhiều vụ xâm phạm tài khoản. Nếu bạn đã thanh toán bằng thẻ tín dụng, hãy theo dõi chặt chẽ sao kê của bạn để phát hiện các giao dịch trái phép và cân nhắc liên hệ với tổ chức phát hành thẻ nếu có bất kỳ điều gì không quen thuộc.
Cũng đáng để xem xét lại liệu bạn có còn muốn sử dụng dịch vụ này nữa hay không. Một vụ rò rỉ quy mô này, liên quan đến dữ liệu mà một nhà cung cấp không lưu nhật ký lẽ ra không nên lưu giữ ngay từ đầu, là một lý do chính đáng để tìm kiếm nơi khác. Khi đánh giá bất kỳ VPN nào trong tương lai, hãy tìm các nhà cung cấp đã công bố các cuộc kiểm toán độc lập của bên thứ ba về tuyên bố không lưu nhật ký của họ, thay vì chỉ dựa vào nội dung tiếp thị.
Bức tranh toàn cảnh về niềm tin vào VPN
Sự cố SplitVPN xảy ra vào thời điểm việc áp dụng VPN tiếp tục tăng lên trong số những người tìm kiếm các biện pháp bảo vệ quyền riêng tư cơ bản trực tuyến. Sự tăng trưởng đó khiến những sự cố như thế này gây hậu quả lớn hơn, chứ không phải ít hơn. Một vụ rò rỉ duy nhất ảnh hưởng đến hàng chục triệu bản ghi làm xói mòn niềm tin không chỉ vào một nhà cung cấp, mà vào ý tưởng rộng lớn hơn rằng việc đăng ký VPN tự động có nghĩa là riêng tư. Không phải vậy. Quyền riêng tư phụ thuộc vào những gì một công ty thực sự làm ở hậu trường, chứ không phải những gì họ tuyên bố trên trang chủ.
Hiện tại, người dùng bị ảnh hưởng nên tập trung vào việc bảo mật tài khoản và tài chính của họ, và tất cả những người khác nên coi đây là lời nhắc để đặt những câu hỏi khó hơn trước khi tin tưởng bất kỳ nhà cung cấp nào với dữ liệu của mình. Đọc các cuộc kiểm toán độc lập, kiểm tra lịch sử rò rỉ của một công ty và hiểu chính xác dữ liệu nào một dịch vụ thu thập là những bước đơn giản giúp đi một chặng đường dài để tránh tiêu đề tiếp theo như thế này.
