VPN služba SplitVPN, dříve známá jako NotVPN, se ocitla uprostřed rozsáhlého úniku dat. Na hackerském fóru Altenen se objevila databáze o velikosti 17 GB, kterou bezpečnostní tým Mysterium následně porovnal s originálem a potvrdil její pravost.
Jak velký byl únik dat VPN
Uniklá databáze obsahuje přibližně 23,4 milionu záznamů o uživatelích, 13,6 milionu záznamů o zařízeních, 2,6 milionu záznamů o platbách a 58 milionů záznamů o připojení. Mezi uniklými údaji jsou e-mailové adresy, IP adresy, identifikátory zařízení, přibližná poloha uživatelů, stav předplatného a tokeny pro opakované platby. Celá čísla platebních karet naštěstí součástí úniku nejsou.
SplitVPN cílí především na uživatele v zemích s přísnou internetovou cenzurou, jako je Rusko, Írán, Indie nebo Myanmar. Pro tuto skupinu lidí může vystavení podobným datům znamenat mnohem vážnější riziko než jen běžné zneužití osobních údajů.
Slib no-logs politiky a realita
Marketing SplitVPN dlouhodobě sliboval, že služba nikdy neuchovává protokoly o aktivitě ani připojení uživatelů a garantuje stoprocentní ochranu soukromí. Uniklá data ukazují jiný obrázek. Desítky milionů záznamů o připojení dokládají, že metadata jako cílové IP adresy, časy připojení a informace o zařízení evidována byla, přestože přesně tohle VPN služba slibovala neukládat.
Nejde o historii prohlížení v podobě navštívených webových adres, ale o metadata připojení, která u no-logs služby nemají co dělat. Podobný rozpor mezi marketingovým slibem a realitou už bezpečnostní komunita zaznamenala u jiných VPN služeb v minulosti, například u Hola VPN nebo HideMyAss.
Poučení pro uživatele VPN
Tento případ znovu ukazuje, že označení no-logs samo o sobě nic negarantuje. Ověřit skutečné praktiky poskytovatele zvenčí je téměř nemožné, dokud nedojde k úniku dat nebo k nezávislému bezpečnostnímu auditu. Uživatelé, pro které je anonymita klíčová, by měli sledovat, zda daná VPN služba prošla nezávislým auditem no-logs politiky a jak transparentně komunikuje případné bezpečnostní incidenty.
Zdroje
Security Affairs: https://securityaffairs.com/196197/security/vpn-breach-exposes-58-million-connection-logs-despite-no-logs-claims.html
SC Media: https://www.scworld.com/brief/splitvpn-no-logs-claim-contradicted-by-massive-data-leak
Bitdefender HotForSecurity: https://www.bitdefender.com/en-us/blog/hotforsecurity/splitvpn-breach-58-million-connection-logs
Dark Web Informer (X/Twitter, původní zpráva o leaku na Altenen fóru): https://x.com/DarkWebInformer/status/2079984367514923337
