Altro che VPN senza log, 58 milioni di connessioni finite in vendita online

Chi cercava una VPN senza log per sentirsi al sicuro dovrebbe leggere questa storia. Un servizio che prometteva zero tracciamento ha in realtà conservato 58 milioni di log di connessione, poi finiti in vendita su un forum criminale. La promessa più importante che una VPN senza log possa fare, quella di non conservare dati che permettano di ricostruire l’attività di un utente, si è rivelata falsa nel modo peggiore possibile.

VPN senza log, cosa è successo a NotVPN

Il servizio coinvolto nel leak NotVPN SplitVPN è una VPN russa, ribattezzata di recente dopo un rebranding, usata soprattutto per aggirare le restrizioni di internet imposte nel paese. Un attore attivo sul forum criminale Altenen ha pubblicato un dump di dati che include circa 23,4 milioni di utenti, 23,9 milioni di record di autenticazione, 13,6 milioni di dispositivi e 2,6 milioni di record di pagamento legati a Tinkoff. Il file compresso pesa circa 5 GB e il link per scaricarlo è stato reso pubblico direttamente sul forum, alla portata di chiunque lo cercasse.

La cosa più inquietante riguarda i timestamp dei log, che coprono un periodo continuo da giugno 2025 fino al 21 luglio 2026, giorno stesso della violazione. Non si tratta quindi di dati vecchi o dimenticati su un server, il servizio stava ancora registrando le connessioni degli utenti mentre veniva violato, proprio mentre prometteva loro una VPN senza log.

Seguici su Telegram per rimanere aggiornato

Come funzionava il tracciamento nonostante la promessa

I ricercatori hanno analizzato la struttura del database trapelato e la logica è semplice quanto preoccupante. Una tabella tiene traccia di quale dispositivo si è collegato a quale server e in che momento, un vero e proprio log di connessione. Incrociando questi dati con la tabella degli utenti, che contiene email e ultimo indirizzo IP noto, e con quella dei dispositivi, che riporta gli identificativi hardware, quei 58 milioni di righe sono più che sufficienti per ricostruire chi si è connesso, da dove, a quale server e quando, per decine di milioni di persone in tutto il mondo.

Va precisato che i log registrano le connessioni ai server, non i siti web effettivamente visitati dagli utenti. Questo limita in parte il danno concreto, ma non cambia la sostanza di fondo, una VPN senza log che tiene log di questo tipo tradisce esattamente la promessa che dovrebbe giustificarne l’acquisto agli occhi di chi paga un abbonamento mensile.

Il database esposto contiene anche una tabella con cinque account amministrativi, protetti da hash bcrypt, con ruoli distinti e un registro completo delle azioni compiute nel tempo. Le date di creazione di questi account coprono un arco che va da gennaio a giugno 2026, segno di un’infrastruttura ancora pienamente attiva fino a poco prima della violazione.

Privacy VPN, una promessa difficile da verificare

Il caso NotVPN riporta alla luce un tema che riguarda l’intero settore delle VPN senza log. Un servizio del genere è un intermediario centralizzato, è il provider a decidere cosa viene registrato, non l’utente che paga per la privacy. La dicitura no-log resta una dichiarazione di marketing che nessuno può verificare in modo indipendente, a meno che l’azienda non si sottoponga periodicamente ad audit esterni pubblici, come fanno alcuni dei nomi più noti e affidabili del settore.

Quando un provider registra comunque i dati, che sia per motivi di fatturazione, prevenzione delle frodi, pianificazione della capacità dei server o ragioni meno trasparenti, l’utente non ha modo di saperlo fino a quando un file da diversi gigabyte con la propria email non finisce su un forum. Vale la pena ricordare che il tema della gestione dei dati da parte dei provider VPN senza log è già emerso in passato anche sul fronte legale, come raccontato nel caso della sentenza europea sul diritto d’autore legata alle VPN, dove il ruolo di questi servizi come intermediari tecnici è stato messo sotto la lente dei giudici.

Chi vuole affidarsi davvero a un servizio con policy verificate, e non solo dichiarate a parole, dovrebbe orientarsi su provider che pubblicano periodicamente audit indipendenti condotti da terze parti riconosciute nel settore, invece di fidarsi solo di chi scrive no log sulla homepage senza alcuna prova concreta a supporto.

In definitiva

Il caso NotVPN dimostra che la scritta VPN senza log su un sito non basta da sola a garantire nulla di concreto. Prima di scegliere un servizio, conviene sempre verificare se esistono audit esterni pubblici e da chi sono stati condotti. Se cerchi un’alternativa con audit indipendenti verificabili, trovi anche qualche offerta interessante su NordVPN tra quelle attualmente disponibili.

Ti è piaciuto questo articolo?

Seguici per restare aggiornato su tech, smartphone e streaming – senza perderti nulla.

Google News Telegram YouTube Facebook Instagram