Vụ rò rỉ SplitVPN phơi bày 865K người dùng, lời hứa không lưu log bị phá vỡ

Một vụ rò rỉ dữ liệu liên quan đến SplitVPN, nhà cung cấp mạng riêng ảo trước đây có tên NotVPN, đã làm lộ thông tin của 865.336 người dùng và khoảng 58 triệu nhật ký kết nối. Sự việc đang thu hút sự chú ý vì SplitVPN, giống như nhiều dịch vụ VPN khác, đã tiếp thị mình dựa trên lời hứa về quyền riêng tư: chính sách không lưu nhật ký nghiêm ngặt, nói với người dùng rằng hoạt động trực tuyến của họ sẽ không bao giờ bị ghi lại hay lưu trữ. Vụ rò rỉ cho thấy lời hứa đó đã không được giữ vững trên thực tế.

Đối với một ngành được xây dựng gần như hoàn toàn trên niềm tin, đây là loại câu chuyện định hình lại cách mọi người đánh giá những tuyên bố của nhà cung cấp VPN. Hàng triệu người sử dụng VPN nhằm mục đích tránh bị theo dõi hoặc lưu giữ thói quen duyệt web ở bất cứ đâu. Khi hoạt động ghi nhật ký thực tế của nhà cung cấp mâu thuẫn với quảng cáo tiếp thị, nó đặt ra những câu hỏi khó không chỉ cho khách hàng của SplitVPN mà cho bất kỳ ai dựa vào nhãn "không lưu nhật ký" như một lý do để tin tưởng giao lưu lượng truy cập của mình cho một dịch vụ.

Điều gì đã xảy ra trong vụ rò rỉ SplitVPN

Theo tiết lộ, dữ liệu bị lộ bao gồm 865.336 hồ sơ người dùng cùng với khoảng 58 triệu nhật ký kết nối. Khối lượng dữ liệu kết nối đó là đáng kể vì một VPN không lưu nhật ký thực sự lẽ ra không nên tạo ra, chứ đừng nói đến việc lưu trữ, các bản ghi kết nối của người dùng ở quy mô đó. Sự hiện diện của hàng chục triệu nhật ký kết nối trực tiếp làm suy yếu đảm bảo cốt lõi về quyền riêng tư mà SplitVPN đã quảng cáo tới tập người dùng của mình.

SplitVPN trước đây hoạt động dưới tên NotVPN trước khi đổi thương hiệu. Vụ SplitVPN breach exposing 865K records and 58 million logs đã thúc đẩy những cuộc thảo luận rộng hơn về cách các công ty VPN xác minh và thực thi chính sách quyền riêng tư của chính họ, đặc biệt là những nhà cung cấp nhỏ hơn hoặc ít tên tuổi có thể không trải qua cùng mức độ kiểm toán độc lập như các dịch vụ lớn và đã có uy tín.

Tại sao tuyên bố không ghi nhật ký lại quan trọng đến vậy

Toàn bộ định đề giá trị của một VPN nằm ở niềm tin. Người dùng định tuyến lưu lượng truy cập của mình qua máy chủ của bên thứ ba chính xác là để nhà cung cấp dịch vụ internet, quản trị viên mạng hoặc những người quan sát khác không thể thấy họ đang làm gì trực tuyến. Đổi lại, họ đặt chính khả năng quan sát đó vào tay nhà cung cấp VPN. Chính sách không lưu nhật ký là cơ chế được cho là sẽ ngăn chính công ty VPN trở thành điểm rò rỉ thông tin.

Khi một nhà cung cấp quảng cáo không lưu nhật ký nhưng sau đó bị phát hiện đã lưu giữ siêu dữ liệu kết nối, và siêu dữ liệu đó sau đó bị lộ trong một vụ rò rỉ, nó sẽ đánh bại mục đích sử dụng dịch vụ ngay từ đầu. Người dùng không chỉ bị lộ dữ liệu bởi kẻ tấn công bên ngoài; mà dữ liệu của họ đã tồn tại dưới một hình thức được hứa là sẽ không bao giờ được tạo ra. Đây là lý do tại sao các cơ quan quản lý, nhà nghiên cứu bảo mật và những người ủng hộ quyền riêng tư liên tục thúc đẩy các cuộc kiểm toán độc lập đối với các tuyên bố không lưu nhật ký thay vì chấp nhận ngôn ngữ tiếp thị một cách dễ dãi.

Dữ liệu nào đã bị lộ

Vụ rò rỉ SplitVPN được cho là liên quan đến hồ sơ tài khoản người dùng và nhật ký kết nối với số lượng lên tới hàng chục triệu. Nhật ký kết nối loại này có khả năng tiết lộ các mẫu hình như thời điểm người dùng kết nối, trong bao lâu và các siêu dữ liệu khác liên quan đến phiên VPN của họ. Ngay cả khi không có toàn bộ lịch sử duyệt web, loại siêu dữ liệu này vẫn có thể được sử dụng để suy ra hành vi, thời gian và thói quen mà người dùng tin rằng đang được giữ kín.

Đối với những cá nhân bị ảnh hưởng, sự cố rò rỉ có nghĩa là thông tin mà họ cho rằng chưa bao giờ được thu thập giờ đây đã bị gắn với tài khoản của họ và có khả năng bị các bên không có thẩm quyền truy cập. Đó là một kịch bản khác biệt và có lẽ còn gây tổn hại hơn so với một vụ rò rỉ dữ liệu thông thường, bởi vì nó còn phá hủy nền tảng niềm tin mà dịch vụ đã được bán ra.

Điều này có ý nghĩa gì với bạn

Nếu bạn đã từng sử dụng SplitVPN hoặc NotVPN, bạn nên coi đây là tín hiệu để rà soát tài khoản của mình và thay đổi mọi thông tin xác thực liên quan đến dịch vụ, bao gồm cả mật khẩu bị sử dụng lại trên các nền tảng khác. Nhìn rộng hơn, vụ rò rỉ này là lời nhắc nhở rằng "không lưu nhật ký" chỉ là một tuyên bố, không phải sự đảm bảo, trừ khi nó đã được xác minh độc lập. Trước khi tin tưởng giao lưu lượng truy cập cho bất kỳ nhà cung cấp VPN nào, hãy tìm kiếm bằng chứng về các cuộc kiểm toán của bên thứ ba, báo cáo minh bạch hoặc lịch sử được ghi nhận về việc giữ vững các tuyên bố quyền riêng tư dưới sự giám sát chặt chẽ.

Đây cũng là thời điểm tốt để đánh giá lại những gì bạn mong đợi từ một VPN. Chính sách không lưu nhật ký nên có nghĩa là ngay từ đầu không có gì để lộ ra. Nếu một vụ rò rỉ làm lộ ra hàng triệu nhật ký kết nối từ một nhà cung cấp đã tuyên bố không lưu giữ chúng, thì đó là một dấu hiệu cảnh báo có ý nghĩa về cách công ty thực sự vận hành đằng sau hậu trường, bất kể quảng cáo tiếp thị của họ nói gì.

Những điều cần làm ngay

Nếu bạn là người dùng hiện tại hoặc trước đây của SplitVPN hoặc NotVPN, hãy thay đổi mật khẩu tài khoản ngay lập tức và cập nhật nó ở bất kỳ nơi nào khác mà bạn có thể đã sử dụng lại. Theo dõi email và các tài khoản thanh toán của bạn để phát hiện hoạt động đáng ngờ trong những tuần sau tiết lộ này. Trong tương lai, hãy chọn các nhà cung cấp VPN công bố báo cáo kiểm toán không lưu nhật ký độc lập thay vì dựa vào những tuyên bố chưa được xác thực. Và hãy coi mọi lời hứa về quyền riêng tư, từ bất kỳ nhà cung cấp nào, là thứ cần được xác minh chứ không nên mặc nhiên thừa nhận, bởi sự cố này cho thấy một tuyên bố không lưu nhật ký có thể bị phá vỡ nhanh chóng như thế nào.