La VPN no-log che invece conservava tutto: 58 milioni di log rubati e in vendita sul dark web

Una VPN no-log che in realtà conservava tutto: indirizzi IP, orari di connessione, dispositivi, dati di pagamento. E ora quei dati sono in vendita su un forum criminale. La storia di SplitVPN è il promemoria più brutale possibile di quanto valga poco la parola "no-log" senza una verifica indipendente.

Il 21 luglio scorso, un venditore che si firma vhacker51 ha messo in vendita su Altenen, forum specializzato in dati rubati, un archivio da 17 GB sottratto a SplitVPN, servizio VPN noto anche come NotVPN, usato soprattutto in Russia, Iran e Myanmar per aggirare la censura di rete.

I numeri dell'archivio sono stati verificati dai ricercatori di Mysterium VPN, concorrente diretta del servizio violato: 23,4 milioni di account utente, 13,5 milioni di dispositivi registrati, 2,7 milioni di pagamenti e, soprattutto, 58 milioni di righe di log delle connessioni. Proprio quelle che SplitVPN prometteva di non conservare.

Va detto che Mysterium VPN non ha mai pubblicato un controllo indipendente sulla propria politica no-log: il conflitto di interessi è evidente, e non sappiamo se sia il classico caso di cencio che parla mael di straccio, anche se i dati sembrano reali. 

La parte più grave riguarda proprio quei 58 milioni di log: ogni riga registra quale dispositivo si è collegato a quale server e in che momento esatto. Le date coprono da giugno 2025 fino al giorno del furto, segno che il sistema stava scrivendo log in tempo reale mentre veniva svuotato. Nei siti visitati non c'è traccia, ma per ogni account l'archivio contiene indirizzo email, ultimo IP usato, paese, sistema operativo e identificativi del dispositivo.

Sui pagamenti: i numeri di carta completi non ci sono, ma restano visibili le prime sei e le ultime quattro cifre, gli importi, le scadenze e i codici per i rinnovi automatici. Non è poco.

Il rischio è particolarmente alto per chi ha usato SplitVPN in paesi dove una VPN può costare cara, come Russia, Iran e Myanmar: in quei contesti, sapere chi si è connesso e quando non è un dettaglio tecnico, è un'informazione potenzialmente pericolosa.

Se avete usato SplitVPN, le azioni da fare subito sono queste:

• Cambiate fornitore VPN, preferibilmente uno con audit indipendenti pubblicati
• Cambiate la password dell'indirizzo email usato per registrarvi
• Attivate l'autenticazione a due fattori su quell'account
• Diffidate di messaggi che sostengono di sapere cosa avete fatto online: è una delle truffe più probabili dopo una violazione di questo tipo

Il problema di fondo non è solo SplitVPN: è che il mercato delle VPN è pieno di promesse no-log impossibili da verificare dall'esterno, e questa vicenda lo dimostra nel modo peggiore possibile.

L'articolo La VPN no-log che invece conservava tutto: 58 milioni di log rubati e in vendita sul dark web sembra essere il primo su Smartworld.