В 2020 году независимый исследователь безопасности обнаружил незащищённую паролем базу данных Elasticsearch, принадлежавшую нескольким VPN-провайдерам под общим управлением (включая известный под названием UFO VPN), с более чем 20 миллионами записей логов — при том, что эти сервисы публично заявляли политику «no-logs». Случай задокументирован изданием Comparitech и рядом других изданий по информационной безопасности.
Что именно было в базе
Открытая база содержала пароли в открытом виде, IP-адреса пользователей и серверов, временные метки подключений, токены сессий, данные об устройстве и операционной системе, а также информацию о платежах — то есть именно тот тип данных, который сервис публично обещал не собирать.
Почему это произошло
Случай — характерный пример разрыва между маркетинговым заявлением и реальной инфраструктурой: база данных технически существовала и содержала логи активности, несмотря на публичное «no-logs» позиционирование, а сама база была настроена без пароля, что сделало утечку доступной кому угодно, кто её обнаружил.
Уроки для выбора VPN-провайдера
- Заявление «no-logs» на сайте ничего не доказывает само по себе — важны независимый аудит, история компании и, в идеале, задокументированные случаи проверки этого заявления «в бою» (см. отдельную статью про то, как проверить no-logs политику).
- Несколько разных VPN-брендов иногда управляются одной и той же компанией с общей инфраструктурой — проблема у одного бренда может затрагивать и остальные под тем же управлением, даже если они выглядят как независимые сервисы.
- Бесплатные и очень бюджетные VPN-приложения статистически чаще фигурируют в подобных историях, чем крупные провайдеры с независимыми аудитами и прозрачной историей — это не абсолютное правило, но статистическая закономерность, которую стоит учитывать.
Этот случай — не повод отказываться от VPN как технологии, а конкретный аргумент в пользу того, чтобы выбирать провайдера по проверяемым фактам (аудиты, история, прозрачность инфраструктуры), а не по одной фразе «мы не храним логи» на главной странице.
Что означает заявление "no-logs" на сайте VPN-провайдера, если утечка всё равно произошла?⌄
Само заявление ничего не гарантирует — этот случай показал, что база с логами существовала, несмотря на публичное «no-logs» позиционирование сервиса.
Как этот случай связан с независимыми аудитами?⌄
Аудит — это как раз механизм, способный подтвердить или опровергнуть заявление о логах со стороны независимой третьей стороны, чего в случае с этими VPN-провайдерами не было.
Значит ли это, что все VPN небезопасны?⌄
Нет, случай не повод отказываться от VPN как технологии — это аргумент в пользу выбора провайдера по проверяемым фактам, а не по одному маркетинговому слогану.
Почему разные VPN-бренды могут пострадать от одной и той же утечки?⌄
Потому что несколько разных брендов иногда управляются одной компанией с общей инфраструктурой — эта утечка затронула сразу несколько VPN-сервисов под одним управлением.
