VPN 'sem logs' que guardava 58 milhões deles
A SplitVPN, provedora russa de VPN antes conhecida como NotVPN, teve 865.336 contas e 58 milhões de logs de conexão expostos em 21 de julho de 2026 — logs que a empresa prometia publicamente nunca guardar. O Have I Been Pwned indexou o conjunto em 1.º de agosto; a Mysterium verificou o dump de forma independente; a SplitVPN não emitiu comunicado até o fechamento desta análise.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O breach é real e o volume de 865.336 e-mails únicos está corroborado por fonte independente (HIBP) e por análise técnica da Mysterium sobre o dump bruto — não há discrepância entre o número alegado pelo ator e o verificado.
A promessa de 'no-logs' da SplitVPN/NotVPN era materialmente falsa: a tabela deviceProxy registrava qual dispositivo se conectou a qual servidor e quando, com 57,9 milhões de entradas datadas de junho de 2025 a 21 de julho de 2026, dia do dump.
O vetor de acesso mais provável é comprometimento direto da camada de banco de dados (endpoint vulnerável ou misconfiguration), dado que o dump inclui hashes de contas administrativas e logs de ações de operadores — o que indica acesso além de uma API ou camada de aplicação.
O risco para usuários em Rússia, Irã, Índia e Myanmar é qualitativamente superior ao de um vazamento de credenciais comum: os metadados de conexão podem ser usados por agentes estatais para identificar indivíduos que contornavam censura ou vigilância governamental.
A ausência de qualquer comunicado público da SplitVPN até a data desta análise sugere que a empresa não tem intenção de notificar seus usuários de forma proativa — padrão consistente com operadores de VPN de baixo custo sem auditoria independente.
Não há base para atribuir o ataque a um grupo específico: o fórum Altenen distribui o dump, mas o ator original não foi identificado publicamente por nenhuma fonte de CTI com metodologia declarada.
Analysis
O registro interno classificava este incidente como 'claimed / unverified' e atribuía a vítima ao Brasil (BR). Ambas as classificações estão erradas e precisam ser corrigidas. A SplitVPN é uma operadora russa (domínio splitvpn.io, anteriormente NotVPN), sem relação com o Brasil além de eventual base de usuários não quantificada. O incidente está confirmado por três vias independentes: (1) indexação pelo HIBP em 1.º de agosto com 865.336 contas; (2) análise técnica da Mysterium sobre o dump bruto, cujos números coincidiram com a descrição do vendedor; (3) cobertura com acesso ao material por Security Affairs e DataBreaches.net. O confidence correto é 'confirmed' e o verdict é 'real'.
A questão central deste caso não é o tamanho do vazamento — 865 mil contas é relevante, não extraordinário. O que torna o incidente analiticamente importante é a contradição entre política declarada e arquitetura real. A NotVPN, marca predecessor da SplitVPN, comercializava uma política explícita de 'No logs or history' com garantia de '100% de privacidade'. O dump demonstra que a empresa mantinha uma tabela (deviceProxy) registrando sistematicamente qual dispositivo se conectou a qual servidor VPN e em que momento exato — 57,9 milhões de entradas entre junho de 2025 e o dia do vazamento. Esses logs não capturam destinos de navegação, mas vinculam identidade de conta, identificador de dispositivo e IP de origem a servidores específicos com timestamps precisos. Para fins de anonimato, a diferença entre 'o que você acessou' e 'quando e de onde você se conectou' é menor do que o marketing VPN sugere.
O dump também expõe hashes de senhas de contas administrativas e logs de ações de operadores, além de infraestrutura de back-office para provisionamento de contas em lojas de aplicativos — detalhe relevante porque a Rússia vinha removendo VPNs das suas lojas, o que significa que a SplitVPN mantinha mecanismos de distribuição paralelos. A inclusão desses dados aponta para acesso de nível elevado ao banco de dados, não apenas a uma API de frontend. O vetor exato não foi confirmado pela empresa (que não emitiu comunicado algum).
A base de usuários está concentrada em Rússia, Irã, Índia e Myanmar — países com regimes de censura ou vigilância ativos. Para esses usuários, a exposição dos metadados de conexão não é só um problema de privacidade comercial: é um risco operacional. Um adversário com acesso a esses logs pode reconstruir padrões de uso de VPN, correlacionar identidades com servidores de saída e, dependendo do contexto, identificar indivíduos que acessavam conteúdo restrito. A Mysterium sintetizou o problema com precisão: numa VPN centralizada, quem decide o que é gravado é o provedor, não o usuário — e 'no-logs' é uma alegação de marketing que nenhum usuário consegue verificar de forma independente até que um dump de 17 GB apareça num fórum.
Um ponto que a cobertura dominante subestima: a distinção entre 865 mil e-mails únicos e os 23,4 milhões de registros de usuário no dump total. O HIBP conta contas únicas por e-mail; o dump contém muito mais — 13,6 milhões de registros de dispositivos e 2,6 milhões de registros de pagamento. Isso significa que um usuário com múltiplos dispositivos ou cartões aparece várias vezes. O número de pessoas fisicamente afetadas é menor que 23 milhões, mas maior que 865 mil. Nenhuma fonte apurou esse número com precisão.
Timeline
- 01 Jun 2026Início do intervalo coberto pelos logs de conexão presentes no dump (tabela deviceProxy), segundo análise da Mysterium e Security Affairs.
- 21 Jul 2026Data do dump: o banco SQL de 17 GB é exfiltrado da infraestrutura da SplitVPN e disponibilizado no fórum Altenen. HIBP registra esta como a data do incidente.
- 01 Aug 2026Have I Been Pwned indexa o conjunto, confirmando 865.336 contas únicas afetadas.
- 02 Aug 2026Security Affairs e DataBreaches.net publicam análise do dump com base no relatório da Mysterium, tornando o caso público.
- 03 Aug 2026BoletimSec, Bitdefender, CyberSecurityNews e outros veículos secundários repercutem o caso. SplitVPN não emitiu comunicado até esta data.
Data involved
Impact
865.336 usuários tiveram e-mail, IP, localização aproximada, identificador de dispositivo, dados parciais de cartão (BIN + últimos 4 dígitos + validade) e tokens de cobrança recorrente expostos publicamente num fórum de crimes cibernéticos. Adicionalmente, 57,9 milhões de registros de conexão (dispositivo → servidor → timestamp) estão fora do controle do operador. Para usuários em países com censura ativa (Rússia, Irã, Índia, Myanmar), esses metadados podem ser usados para identificar pessoas que contornavam restrições estatais. Dados de cartão parciais permitem ataques de BIN enumeration e phishing direcionado com alto grau de verossimilhança. A empresa não notificou os usuários afetados.
Technical links
Recommendations
- Usuários que usaram NotVPN ou SplitVPN devem tratar o e-mail e IP associados como comprometidos: trocar senhas em todos os serviços onde o mesmo e-mail foi usado, priorizando bancos e e-mail principal.
- Monitorar extratos de cartões associados à conta para cobranças não reconhecidas — os tokens de cobrança recorrente expostos podem ser explorados por fraud rings.
- Ativar MFA em todos os serviços vinculados ao e-mail exposto, especialmente onde autenticação por e-mail é o fator de recuperação.
- Organizações que permitem uso de VPN de terceiros em dispositivos corporativos devem auditar quais serviços VPN estão em uso e verificar se possuem auditorias de no-logs independentes e verificáveis — não apenas declarações de marketing.
- Para equipes de segurança que avaliam risco de terceiros: o caso evidencia que a promessa de no-logs sem auditoria independente e periódica não tem valor como controle. Incluir 'auditoria de retenção de logs por terceiro' como requisito em due diligence de fornecedores de VPN.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Vetor de acesso inicial não confirmado pela SplitVPN: a empresa precisaria publicar análise forense ou os logs de acesso ao banco para resolver esta lacuna.
Quantidade exata de pessoas físicas afetadas (distinto de contas únicas por e-mail): uma análise de deduplicação cruzando e-mails com registros de dispositivos e pagamento resolveria.
Presença ou ausência de usuários brasileiros na base: uma análise do campo 'country' no dump pelos pesquisadores que têm acesso ao material resolveria.
Manifestação de qualquer regulador (Roskomnadzor, autoridades de proteção de dados dos países afetados): monitorar canais oficiais das autoridades competentes.
Identidade do ator que distribuiu o dump no Altenen: investigação de OSINT no fórum ou atribuição por empresa de CTI com acesso ao ambiente.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.