Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Usługi VPN są reklamowane jako narzędzie zwiększające prywatność, anonimizację ruchu i ochronę przed inwigilacją. Fundamentem tej obietnicy jest polityka „no-logs”, czyli zapewnienie, że operator nie przechowuje logów aktywności ani metadanych umożliwiających odtworzenie zachowania użytkownika.
Incydent związany ze SplitVPN, wcześniej działającym pod nazwą NotVPN, pokazuje jednak, że deklaracje marketingowe mogą znacząco odbiegać od rzeczywistej praktyki operacyjnej. Wyciek ujawnionych danych wskazuje, że usługa miała przechowywać rozbudowane informacje o połączeniach, urządzeniach i kontach użytkowników.
W skrócie
Według opublikowanych ustaleń naruszona baza danych miała zawierać około 58 mln logów połączeń, 23,4 mln rekordów użytkowników, 13,6 mln rekordów urządzeń oraz 2,6 mln rekordów płatności. Wśród ujawnionych informacji miały znajdować się adresy e-mail, adresy IP, identyfikatory urządzeń, dane o subskrypcjach i tokenach rozliczeniowych.
Najpoważniejszy aspekt incydentu polega na tym, że zakres tych danych stoi w sprzeczności z deklaracją pełnego braku logowania. To nie tylko naruszenie bezpieczeństwa, ale również poważny problem wiarygodności operatora VPN.
Kontekst / historia
Sprawa dotyczy usługi VPN powiązanej z rosyjskim rynkiem i promowanej jako rozwiązanie do omijania ograniczeń dostępu do internetu oraz cenzury. Z dostępnych informacji wynika, że baza danych miała zostać rozpowszechniona na forum cyberprzestępczym w formie zrzutu SQL o rozmiarze około 17 GB.
Analiza wykonana przez zewnętrzny zespół badawczy sugeruje, że rekordy nie wyglądały na dane testowe ani historyczne archiwum. Znaczniki czasu miały obejmować okres od czerwca 2025 roku do 21 lipca 2026 roku, co może wskazywać, że system aktywnie zapisywał logi połączeń niemal do chwili ujawnienia danych.
To istotne, ponieważ problem nie ogranicza się wyłącznie do pojedynczego wycieku. Dotyczy również samego modelu zaufania do dostawcy, który deklaruje brak logów, a jednocześnie utrzymuje backend pozwalający na gromadzenie danych o aktywności użytkowników.
Analiza techniczna
Najważniejszym elementem ujawnionej bazy miała być tabela odwzorowująca relację między urządzeniem użytkownika, serwerem VPN i czasem zestawienia połączenia. Taki zestaw informacji stanowi klasyczny connection log, nawet jeśli nie zawiera pełnej historii odwiedzanych stron czy treści przesyłanych danych.
Z technicznego punktu widzenia ujawnione metadane mogły obejmować identyfikator urządzenia, identyfikator lub lokalizację serwera VPN, znacznik czasu połączenia, powiązanie z kontem użytkownika, ostatnio widziany adres IP, status subskrypcji oraz dane rozliczeniowe.
- identyfikatory urządzeń i kont,
- adresy e-mail oraz adresy IP,
- znaczniki czasu połączeń,
- powiązania z konkretnymi węzłami VPN,
- informacje o subskrypcjach i płatnościach.
Po skorelowaniu tych danych z tabelami użytkowników i urządzeń możliwe staje się częściowe odtworzenie wzorca korzystania z usługi. Atakujący może ustalić, kto łączył się z określonego adresu IP, kiedy to robił, z jakiego urządzenia korzystał oraz do którego serwera VPN zestawiał sesję.
W zbiorze miały znajdować się również informacje płatnicze, takie jak zamaskowane numery kart, daty ważności oraz tokeny płatności cyklicznych. Chociaż brak pełnych danych kart ogranicza ryzyko natychmiastowego fraudu, połączenie tych rekordów z adresem e-mail, historią subskrypcji i metadanymi połączeń istotnie zwiększa wartość danych dla cyberprzestępców.
Dodatkowo pojawiły się doniesienia o obecności rekordów administracyjnych, w tym kont operatorów, ról oraz logów działań administracyjnych. Z perspektywy obrony oznacza to możliwość dalszego mapowania zaplecza technicznego i procesów operacyjnych dostawcy.
Konsekwencje / ryzyko
Największe ryzyko dotyczy użytkowników korzystających z VPN w środowiskach o podwyższonej kontroli państwowej, nadzorze lub cenzurze internetu. W takich warunkach nawet same metadane połączeń mogą mieć bardzo wysoką wartość wywiadowczą.
- profilowanie użytkowników i ich zachowań,
- korelacja aktywności sieciowej z tożsamością,
- kampanie phishingowe i spear-phishingowe,
- presja operacyjna, szantaż lub wymuszenia,
- identyfikacja osób obchodzących blokady i restrykcje.
W praktyce nie trzeba znać treści komunikacji, aby naruszyć prywatność użytkownika. Często wystarczy ustalenie, że dana osoba korzystała z narzędzia do omijania cenzury, kiedy to robiła i z jakiej infrastruktury korzystała.
Dla samego dostawcy incydent oznacza utratę wiarygodności i podważenie obietnicy „no-logs”. To problem nie tylko bezpieczeństwa, ale również zgodności, zarządzania ryzykiem i transparentności wobec klientów.
Rekomendacje
Użytkownicy, którzy korzystali ze SplitVPN lub NotVPN, powinni przyjąć założenie, że ich adres e-mail, metadane połączeń oraz część informacji o urządzeniach mogły zostać ujawnione.
- zmienić hasło do konta VPN i wszystkich usług, gdzie użyto podobnego hasła,
- włączyć uwierzytelnianie wieloskładnikowe tam, gdzie to możliwe,
- monitorować skrzynkę pocztową pod kątem ukierunkowanego phishingu,
- sprawdzić aktywne subskrypcje i zapisane metody płatności,
- ponownie ocenić zaufanie do dostawcy i akceptowalny poziom ryzyka.
Z perspektywy organizacyjnej warto traktować deklarację „no-logs” jako twierdzenie wymagające niezależnej weryfikacji. Przy wyborze dostawcy VPN należy analizować politykę retencji danych, dostępność audytów bezpieczeństwa, raporty transparentności, jurysdykcję oraz architekturę backendu.
Incydent przypomina również zespołom bezpieczeństwa, że VPN nie eliminuje ryzyka centralizacji metadanych. Jeśli operator kontroluje warstwę uwierzytelniania, billing, provisioning i telemetrykę, to równocześnie może gromadzić informacje bardzo cenne z punktu widzenia atakującego.
Podsumowanie
Wyciek związany ze SplitVPN/NotVPN pokazuje, że największym problemem nie musi być wyłącznie samo naruszenie bazy danych, ale również fakt przechowywania informacji, które według deklaracji nie powinny istnieć. Ujawnienie dziesiątek milionów logów połączeń podważa zaufanie do modelu „no-logs” i potwierdza, że w ocenie usług prywatności kluczowe są audytowalność, minimalizacja danych oraz rzeczywista transparentność operatora.
Dla użytkowników działających w środowiskach wysokiego ryzyka takie incydenty mogą mieć skutki wykraczające daleko poza standardowe naruszenie prywatności. To kolejny sygnał, że bezpieczeństwo usług VPN należy oceniać nie po hasłach marketingowych, lecz po praktykach technicznych i operacyjnych.