SplitVPN sotto accusa: 58 milioni di log utenti esposti nel dark web
Un database di 17 GB attribuito a SplitVPN (precedentemente NotVPN) contiene 23,4 milioni di record utenti e 58 milioni di log di connessione, contraddicendo le promesse di "no-logs" del servizio. I dati sono stati messi in vendita su un forum cybercriminale.
Una nuova violazione dati scuote il settore dei servizi VPN e solleva interrogativi fondamentali sulla credibilità delle promesse di privacy. Secondo un'analisi condotta da Bitdefender e confermata da altri ricercatori di sicurezza, un database di 17 GB attribuito a SplitVPN – precedentemente noto come NotVPN – è stato pubblicato su un forum cybercriminale, contenendo metadati di utenti, dispositivi, pagamenti e, soprattutto, log di connessione VPN.
La portata della violazione
I ricercatori che hanno esaminato il file SQL trafugato hanno confermato che i conteggi dei record corrispondono alle descrizioni del venditore. Al momento della pubblicazione, SplitVPN non aveva confermato pubblicamente l'incidente.
Il dump contiene:
- 23,4 milioni di record utenti – indirizzi email, indirizzi IP recenti, identificatori dispositivo, posizioni approssimative
- 13,6 milioni di record dispositivo – informazioni sui terminali connessi al servizio
- 2,6 milioni di record di pagamento – dettagli delle carte mascherate, date di scadenza, record delle transazioni, token di pagamento ricorrenti
- 58 milioni di log di connessione – dati che collegano dispositivi e account a specifici server VPN in momenti precisi
Non sono incluse le informazioni sui siti web visitati dagli utenti, né i numeri completi delle carte di pagamento.
La contraddizione del "no-logs"
L'elemento più preoccupante della scoperta è rappresentato da una tabella contenente quasi 58 milioni di connessioni dispositivo-server, datate dal giugno 2025 al 21 luglio 2026. Sebbene queste voci non rivelino le destinazioni di navigazione, possono associare un dispositivo e un account a un particolare server VPN in un momento specifico.
Questa distinzione offre ben poco conforto agli utenti in Russia, Iran, India e Myanmar, dove il servizio era particolarmente popolare per aggirare le restrizioni internet. La raccolta sistematica di log di connessione contraddice esplicitamente le promesse di "no-logs policy" su cui SplitVPN/NotVPN ha fondato la propria offerta commerciale.
Il mercato delle promesse violate
SplitVPN (precedentemente NotVPN) si posizionava sul mercato come soluzione per bypassare la censura internet e garantire l'anonimato online. La promessa di "no-logs" – l'assenza di registrazione dell'attività utente – rappresenta un pilastro fondamentale per qualsiasi servizio VPN che voglia essere preso sul serio in contesti ad alto rischio.
L'incidente rappresenta un monito per i consumatori: una promessa di "no-logs" è credibile solo quando supportata da:
- Policy di privacy trasparenti e verificabili
- Principi di minimizzazione dei dati
- Audit indipendenti regolari e pubblicati
- Strutture infrastrutturali che rendano tecnicamente impossibile la raccolta di log
Rischio di spear-phishing ed estorsione
Gli ex utenti di NotVPN o SplitVPN dovrebbero considerare i propri dati come compromessi e agire di conseguenza. Le informazioni trafugate – email, metadati di connessione, dettagli di pagamento – possono essere utilizzate per attacchi mirati.
In particolare, gli utenti dovrebbero:
- Cambiare immediatamente le password riutilizzate su altri servizi
- Abilitare l'autenticazione a due fattori su tutti gli account sensibili
- Monitorare le estratti conto delle carte di pagamento per addebiti non riconosciuti
- Diffidare di email o messaggi che menzionano l'uso della VPN, potenzialmente utilizzati per phishing
Lezioni per il settore VPN
L'incidente SplitVPN si inserisce in una serie di violazioni che hanno colpito provider VPN negli ultimi anni, sollevando interrogativi sulla governance del settore. Mentre alcuni provider hanno investito in audit indipendenti e infrastrutture verificabili, altri continuano a operare con scarse garanzie di trasparenza.
Per i consumatori che cercano un servizio VPN affidabile, gli esperti raccomandano di:
- Verificare la presenza di audit indipendenti recenti della policy no-logs
- Esaminare attentamente cosa dichiarano di raccogliere (e non raccogliere)
- Preferire provider con sede in giurisdizioni con forti normative sulla privacy
- Utilizzare servizi di monitoring dell'identità digitale per rilevare eventuali esposizioni future
Conclusione
La violazione di SplitVPN rappresenta un caso emblematico di come le promesse di privacy possano rimanere lettera morta in assenza di controlli e verifiche indipendenti. Per gli utenti che si affidano a servizi VPN per proteggere la propria sicurezza – specialmente in contesti di alta sorveglianza o censura – l'incidente costituisce un promemoria che non tutti i provider sono equivalenti.
La comunità della sicurezza informatica continua a monitorare la situazione per eventuali sviluppi sull'incidente e per verificare se SplitVPN confermerà pubblicamente la violazione.