เหตุการณ์รั่วข้อมูลของ SplitVPN ละเมิดนโยบาย No‑Log อย่างไร

Lead paragraph: บริษัท VPN จากรัสเซียชื่อ SplitVPN (เดิมคือ NotVPN) ถูกกล่าวหาว่าละเมิดนโยบาย “ไม่บันทึกข้อมูล” หลังการรั่วไหลของฐานข้อมูลขนาด 17 GB ที่เปิดเผยข้อมูลการเชื่อมต่อประมาณ 58 ล้านรายการ** แม้บริษัทจะปฏิเสธว่าข้อมูลดังกล่าวไม่ได้มาจากระบบของตน การเหตุการณ์นี้ทำให้ความเชื่อมั่นต่อ VPN ที่อ้างว่า “no‑log” ต้องเผชิญกับคำถามเกี่ยวกับการตรวจสอบและความปลอดภัยที่แท้จริง

Overview

ในช่วงหลายปีที่ผ่านมา ผู้ใช้ VPN ในประเทศที่มีการเซ็นเซอร์อินเทอร์เน็ตเข้มงวด เช่น รัสเซียหรืออิหร่าน พึ่งพานโยบาย no‑log เพื่อให้มั่นใจว่าข้อมูลการใช้งานจะไม่ถูกบันทึกหรือเปิดเผยต่อบุคคลภายนอก อย่างไรก็ตาม การยืนยันนโยบายดังกล่าวส่วนใหญ่ยังขึ้นอยู่กับความเชื่อของผู้ใช้ มากกว่าจะเป็นมาตรฐานที่ตรวจสอบได้โดยอิสระ

ตามข้อมูลจาก TechRadar บริษัท VPN ส่วนใหญ่มักจะประกาศว่าไม่ได้เก็บบันทึกการค้นหา คำขอเว็บไซต์ หรือเวลาใช้งาน แต่กระบวนการตรวจสอบจริง ๆ มักต้องพึ่งการ audit จากองค์กรภายนอก ซึ่งเป็นขั้นตอนที่ไม่ทั้งหมดของผู้ให้บริการทำตาม บทความนี้จึงมุ่งเน้นไปที่เหตุการณ์ของ SplitVPN ที่เปิดเผยช่องโหว่และผลกระทบต่อผู้ใช้ในพื้นที่ที่ VPN ถูกห้ามใช้งาน

Details of the Leak

เมื่อวันที่ 21 กรกฎาคม 2024 ผู้โจมตีบนฟอรัมคอมพิวเตอร์อาชญากรรม Altenen ได้เผยแพร่ไฟล์ฐานข้อมูล SQL ขนาด 17 GB ซึ่งระบุว่าเป็นของ SplitVPN ฐานข้อมูลดังกล่าวประกอบด้วยตารางหลายตาราง ได้แก่ รายละเอียดการสมัครสมาชิก (อีเมล ประเทศที่มาจาก สถานะการสมัคร บัตรเครดิตที่ปิดบัง) และตาราง deviceproxy ที่อ้างว่ามี 58 ล้านรายการการเชื่อมต่อ

ทีมวิจัยของ Mysterium VPN วิเคราะห์ไฟล์และยืนยันว่าตาราง deviceproxy มีเมทาดาต้าซึ่งแสดงว่าอุปกรณ์ใดเชื่อมต่อกับเซิร์ฟเวอร์ใดในเวลาใด แม้ว่าข้อมูลจะอยู่ในรูปแบบที่ไม่มีการบันทึกประวัติการท่องเว็บโดยตรง แต่ยังคงเป็นข้อมูลที่สามารถใช้สืบค้นตัวตนของผู้ใช้ได้หากรวมกับ IP ที่เชื่อมต่อล่าสุดและรหัสฮาร์ดแวร์

บริษัท SplitVPN ปฏิเสธข้อกล่าวหา โดยอ้างว่าตาราง deviceproxy “ถูกสร้างขึ้นเพื่อเพิ่มมูลค่าให้กับข้อมูล” และระบุว่า พวกเขาไม่ได้บันทึกหรือจัดเก็บการจับคู่ระหว่างอุปกรณ์‑เซิร์ฟเวอร์‑เวลาแต่อย่างใด

Company Response

ทาง SplitVPN ให้สัมภาษณ์กับ TechRadar ว่าแม้ข้อมูลส่วน “metadata การสมัครสมาชิก” จะเป็นของจริง แต่ตาราง deviceproxy นั้น “เป็นการปลอมแปลงที่เพิ่มเข้ามาเพื่อทำให้ฐานข้อมูลดูมีคุณค่ามากขึ้น” พนักงานพูดว่า “เพราะเราไม่สร้างหรือเก็บบันทึกการจับคู่ระหว่างอุปกรณ์‑เซิร์ฟเวอร์‑เวลาใด ๆ ดังนั้นบันทึกใด ๆ ที่อ้างว่ามีลักษณะเช่นนี้จึงไม่ได้มาจากโครงสร้างพื้นฐานของเรา”

นอกจากนี้ บริษัทได้ดำเนินมาตรการฉุกเฉินทันทีหลังจากตรวจพบการรั่วไหล ได้แก่ การเปลี่ยน IP ของเซิร์ฟเวอร์ VPN ทั้งหมด, การหมุนคีย์เข้ารหัสและข้อมูลรับรองทั้งหมด, ปิดช่องโหว่ที่ถูกโจมตี และว่าจ้างผู้เชี่ยวชาญด้านความปลอดภัยภายนอกเพื่อทำการตรวจสอบระบบโดยละเอียด โดยอธิบายว่า “ปัจจุบันการดำเนินงานกลับสู่สถานะปกติแล้ว”

Analysis & Implications

หากข้อมูลในตาราง deviceproxy เป็นของจริง การมี 58 ล้านบันทึกการเชื่อมต่อ จะขัดแย้งโดยตรงกับนโยบาย “no‑log” ของ SplitVPN ซึ่งอาจทำให้ผู้ใช้หลายล้านคนที่พึ่งพา VPN เพื่อหลีกเลี่ยงการเซ็นเซอร์และกฎหมายห้ามใช้ VPN อยู่ในความเสี่ยงสูง การเชื่อมข้อมูล IP ล่าสุดกับฮาร์ดแวร์ไอดีอาจเปิดเผยตัวตนของผู้ใช้ได้อย่างชัดเจน

แม้บริษัทจะยืนยันว่าตารางดังกล่าวเป็นการปลอมแปลง ผู้ใช้ก็ยังคงอยู่ในสถานการณ์ที่ต้องพึ่งพาข้อมูลจากสองฝ่ายที่ขัดแย้งกันโดยไม่มีวิธีตรวจสอบอิสระ การรั่วไหลของข้อมูลสมัครสมาชิกซึ่งรวมถึงอีเมลและข้อมูลบัตรเครดิต (แม้จะเป็นรูปแบบ masked) ยังสร้างความกังวลต่อการรักษาความปลอดภัยส่วนบุคคลในประเทศที่มีการบังคับใช้กฎหมายห้าม VPN อย่างเข้มงวด

เหตุการณ์นี้ยังสะท้อนให้เห็นว่าการอ้างว่า “no‑log” เพียงอย่างเดียวไม่เพียงพอ หากไม่มีการตรวจสอบจากหน่วยงานอิสระ ผู้บริโภคจึงต้องตัดสินใจโดยอาศัยความเชื่อถือที่มีข้อจำกัดและอาจทำให้เกิดความเสี่ยงต่อข้อมูลส่วนตัวในระดับสูง

Recommendations for Users

เพื่อช่วยลดความเสี่ยงเมื่อเลือกใช้บริการ VPN ผู้ใช้ควรตรวจสอบองค์ประกอบต่อไปนี้:

• การ audit ของนโยบาย privacy จากบริษัทที่เป็นที่ยอมรับและมีรายงานผลการตรวจสอบอย่างสม่ำเสมอ
• ฟีเจอร์ kill switch ที่ตัดการเชื่อมต่ออินเทอร์เน็ตทันทีเมื่อ VPN ตกลงหรือหลุดออกจากเครือข่าย
• การใช้ double VPN หรือ multi‑hop servers เพื่อเพิ่มชั้นความปลอดภัยของเส้นทางข้อมูล
• รองรับ post‑quantum encryption หรือการเข้ารหัสระดับสูงที่ป้องกันการถอดรหัสโดยคอมพิวเตอร์ควอนตัมในอนาคต
• เลือกผู้ให้บริการที่ใช้ RAM‑only servers ซึ่งไม่มีดิสก์ในการเก็บข้อมูลใด ๆ ทำให้ข้อมูลหายไปเมื่อรีบูทเครื่อง

การตรวจสอบเหล่านี้จะช่วยเพิ่มความมั่นใจว่าบริการ VPN ที่เลือกใช้งานสอดคล้องกับคำสัญญา “no‑log” อย่างแท้จริงและลดโอกาสที่ข้อมูลส่วนบุคคลจะถูกเปิดเผยหากเกิดเหตุการณ์รั่วไหล

Summary

SplitVPN ถูกกล่าวหาว่ามี 58 ล้านบันทึกการเชื่อมต่อ ซึ่งขัดกับนโยบาย “no‑log” ของบริษัท แม้ฝ่ายบริการปฏิเสธว่าข้อมูลดังกล่าวเป็นปลอมและได้ดำเนินการแก้ไขระบบแล้ว เหตุการณ์นี้ชี้ให้เห็นถึงความสำคัญของการ audit นโยบาย privacy อย่างอิสระ และการเลือกใช้ VPN ที่มีฟีเจอร์รักษาความปลอดภัยขั้นสูงเพื่อปกป้องข้อมูลส่วนบุคคลในสภาพแวดล้อมที่เสี่ยงต่อการเซ็นเซอร์และข้อบังคับทางกฎหมาย.