VPN 'sem logs' que guardava 58 milhões deles

O registro interno classificava este incidente como 'claimed / unverified' e atribuía a vítima ao Brasil (BR). Ambas as classificações estão erradas e precisam ser corrigidas. A SplitVPN é uma operadora russa (domínio splitvpn.io, anteriormente NotVPN), sem relação com o Brasil além de eventual base de usuários não quantificada. O incidente está confirmado por três vias independentes: (1) indexação pelo HIBP em 1.º de agosto com 865.336 contas; (2) análise técnica da Mysterium sobre o dump bruto, cujos números coincidiram com a descrição do vendedor; (3) cobertura com acesso ao material por Security Affairs e DataBreaches.net. O confidence correto é 'confirmed' e o verdict é 'real'.

A questão central deste caso não é o tamanho do vazamento — 865 mil contas é relevante, não extraordinário. O que torna o incidente analiticamente importante é a contradição entre política declarada e arquitetura real. A NotVPN, marca predecessor da SplitVPN, comercializava uma política explícita de 'No logs or history' com garantia de '100% de privacidade'. O dump demonstra que a empresa mantinha uma tabela (deviceProxy) registrando sistematicamente qual dispositivo se conectou a qual servidor VPN e em que momento exato — 57,9 milhões de entradas entre junho de 2025 e o dia do vazamento. Esses logs não capturam destinos de navegação, mas vinculam identidade de conta, identificador de dispositivo e IP de origem a servidores específicos com timestamps precisos. Para fins de anonimato, a diferença entre 'o que você acessou' e 'quando e de onde você se conectou' é menor do que o marketing VPN sugere.

O dump também expõe hashes de senhas de contas administrativas e logs de ações de operadores, além de infraestrutura de back-office para provisionamento de contas em lojas de aplicativos — detalhe relevante porque a Rússia vinha removendo VPNs das suas lojas, o que significa que a SplitVPN mantinha mecanismos de distribuição paralelos. A inclusão desses dados aponta para acesso de nível elevado ao banco de dados, não apenas a uma API de frontend. O vetor exato não foi confirmado pela empresa (que não emitiu comunicado algum).

A base de usuários está concentrada em Rússia, Irã, Índia e Myanmar — países com regimes de censura ou vigilância ativos. Para esses usuários, a exposição dos metadados de conexão não é só um problema de privacidade comercial: é um risco operacional. Um adversário com acesso a esses logs pode reconstruir padrões de uso de VPN, correlacionar identidades com servidores de saída e, dependendo do contexto, identificar indivíduos que acessavam conteúdo restrito. A Mysterium sintetizou o problema com precisão: numa VPN centralizada, quem decide o que é gravado é o provedor, não o usuário — e 'no-logs' é uma alegação de marketing que nenhum usuário consegue verificar de forma independente até que um dump de 17 GB apareça num fórum.

Um ponto que a cobertura dominante subestima: a distinção entre 865 mil e-mails únicos e os 23,4 milhões de registros de usuário no dump total. O HIBP conta contas únicas por e-mail; o dump contém muito mais — 13,6 milhões de registros de dispositivos e 2,6 milhões de registros de pagamento. Isso significa que um usuário com múltiplos dispositivos ou cartões aparece várias vezes. O número de pessoas fisicamente afetadas é menor que 23 milhões, mas maior que 865 mil. Nenhuma fonte apurou esse número com precisão.

865.336 usuários tiveram e-mail, IP, localização aproximada, identificador de dispositivo, dados parciais de cartão (BIN + últimos 4 dígitos + validade) e tokens de cobrança recorrente expostos publicamente num fórum de crimes cibernéticos. Adicionalmente, 57,9 milhões de registros de conexão (dispositivo → servidor → timestamp) estão fora do controle do operador. Para usuários em países com censura ativa (Rússia, Irã, Índia, Myanmar), esses metadados podem ser usados para identificar pessoas que contornavam restrições estatais. Dados de cartão parciais permitem ataques de BIN enumeration e phishing direcionado com alto grau de verossimilhança. A empresa não notificou os usuários afetados.