In questo articolo Indice dei contenuti 1 sezione
Un presunto furto di dati avrebbe travolto SplitVPN, servizio che fino a poco tempo fa girava con il nome di NotVPN, e la faccenda mette in seria discussione la sua politica no-log. Al centro della vicenda c’è un database enorme, con circa 58 milioni di log degli utenti, che sarebbe finito in vendita nei circuiti sotterranei della rete. Un numero che fa impressione, soprattutto perché parliamo di un provider che aveva costruito parte della propria reputazione proprio sulla promessa di non conservare traccia delle attività di chi lo utilizzava.
Il servizio è particolarmente diffuso in Russia, dove viene usato per aggirare le restrizioni all’accesso a internet. In un contesto del genere una VPN non è un semplice strumento tecnico ma spesso l’unico modo per raggiungere contenuti bloccati. Ecco perché la notizia di un possibile data breach pesa più del solito. Chi si affida a questi strumenti lo fa contando sul fatto che nessuno stia annotando dove va, cosa cerca, quando si collega.
Cosa significa davvero una politica no-log tradita
La questione centrale, qui, è tutta nella parola log. Quando un servizio dichiara di seguire una politica no-log promette in sostanza di non tenere registri delle connessioni degli utenti. Niente cronologia, niente indirizzi, niente orari. È il patto di fiducia su cui si regge l’intero settore. Se salta fuori un archivio con decine di milioni di record, quella promessa inizia a scricchiolare parecchio, e insieme a lei anche la credibilità del provider.
Va detto che, al momento, si parla di un breach presunto. Non tutto è confermato nei dettagli, e in casi simili la verifica richiede tempo. Però il solo fatto che circoli un database così corposo, messo in vendita nei mercati del dark web, basta a far scattare più di un campanello d’allarme tra chi usa SplitVPN ogni giorno. Perché il problema non è soltanto tecnico. È di fiducia.
Il precedente nome, NotVPN, aggiunge un ulteriore elemento alla storia. Un rebranding non cancella il passato, e chi ha seguito le vicende del servizio sa che dietro un cambio di nome ci sono quasi sempre motivazioni precise, commerciali o d’immagine. In questo caso il nuovo marchio si ritrova comunque a fare i conti con un’accusa pesante, che riguarda la gestione dei dati più sensibili in assoluto.
Per gli utenti russi, in particolare, la posta in gioco è alta. Usare una VPN per superare la censura è già di per sé un’attività delicata. Se i loro log degli utenti dovessero essere davvero finiti in mani sbagliate, le conseguenze potrebbero andare ben oltre il fastidio di una fuga di dati qualunque. Parliamo di informazioni che, nel contesto giusto, possono trasformarsi in un rischio concreto per chi le ha generate.
La vendita del database resta l’aspetto più inquietante di tutta la faccenda. Mettere in commercio milioni di record significa trasformare la privacy delle persone in merce, con tutto quello che ne consegue. E per un servizio nato proprio per proteggere quella privacy, è difficile immaginare un contrasto più netto tra quanto promesso e quanto, a quanto pare, sarebbe accaduto.
