La vicenda di SplitVPN mette a nudo una delle promesse più abusate del settore: quella della politica no-log. Un servizio che assicurava di non conservare nulla si è rivelato invece capace di registrare tutto, dagli indirizzi IP agli orari di connessione, passando per i dispositivi usati e i dati di pagamento. E adesso quell’archivio è finito in vendita su un forum criminale, con 58 milioni di righe di log al centro dello scandalo.
Il 21 luglio scorso un venditore che si firma vhacker51 ha messo in vendita su Altenen, piattaforma nota nel mondo dei dati rubati, un pacchetto da 17 GB sottratto proprio a SplitVPN. Il servizio, conosciuto anche con il nome di NotVPN, viene usato soprattutto in Russia, Iran e Myanmar da chi cerca di aggirare la censura di rete. Un dettaglio che rende la faccenda ancora più delicata.
Cosa contiene davvero l’archivio rubato
I numeri sono stati verificati dai ricercatori di Mysterium VPN, che guarda caso è una concorrente diretta del servizio finito nei guai. Il conflitto di interessi c’è, ed è evidente. Va anche detto che la stessa Mysterium non ha mai pubblicato un audit indipendente sulla propria politica no-log, quindi il classico caso del bue che dà del cornuto all’asino non è da escludere. Detto questo, i dati sembrano reali.
Il conteggio parla di 23,4 milioni di account utente, 13,5 milioni di dispositivi registrati, 2,7 milioni di pagamenti e, soprattutto, quei 58 milioni di righe di log delle connessioni. Proprio ciò che SplitVPN giurava di non tenere. Ogni riga racconta quale dispositivo si è collegato a quale server e in quale momento preciso. Le date vanno da giugno 2025 fino al giorno stesso del furto, segno che il sistema scriveva log in tempo reale mentre veniva svuotato. Nei dati rubati non compaiono i siti visitati, ma per ogni account restano email, ultimo IP usato, paese, sistema operativo e identificativi del dispositivo. Sul fronte pagamenti i numeri di carta completi mancano, però sono visibili le prime sei e le ultime quattro cifre, gli importi, le scadenze e i codici per i rinnovi automatici. Non proprio bazzecole.
Perché il rischio è enorme in certi paesi
Il pericolo cresce parecchio per chi ha usato SplitVPN in contesti dove una VPN può costare cara sul serio, come Russia, Iran e Myanmar. Lì sapere chi si è collegato e quando non è un dettaglio tecnico qualsiasi, ma un’informazione che può mettere in pericolo le persone.
Chi ha usato il servizio farebbe bene a muoversi subito. Prima cosa, cambiare fornitore, meglio se si sceglie qualcuno con audit indipendenti pubblicati. Poi modificare la password dell’indirizzo email usato in fase di registrazione e attivare l’autenticazione a due fattori su quell’account. Utile anche diffidare dei messaggi che millantano di sapere cosa è stato fatto online, perché è tra le truffe più probabili dopo una violazione del genere.
