Una VPN sin registros filtró 58 millones de conexiones que prometió no guardar

Una filtración de VPN sin registros ha producido una de las contradicciones más claras del año. El 23 de julio de 2026 apareció en un foro de ciberdelincuencia una base de datos de 17 GB atribuida a SplitVPN, un servicio ruso que antes se llamaba NotVPN y se vendía como forma de sortear los bloqueos de internet. El análisis publicado el 29 de julio concluyó que el servicio llevaba más de un año escribiendo registros de conexión de forma continua, mientras su propia publicidad prometía no guardar ninguno.

Qué hay realmente en la base de datos

El equipo de investigación de Mysterium obtuvo una copia del volcado y contrastó las estructuras de tablas, los contadores y muestras de registros con el archivo original. Las cifras que confirmó:

• 23,4 millones de registros de usuarios.
• 13,6 millones de registros de dispositivos.
• 2,6 millones de registros de pago.
• Casi 58 millones de filas en una tabla llamada deviceProxy.

Esa última tabla es toda la historia. Cada fila vincula un dispositivo con un servidor VPN concreto y el momento exacto de la conexión. Las entradas se suceden sin interrupción desde junio de 2025 hasta el 21 de julio de 2026, el día en que se extrajo la base. Junto a ellas figuran direcciones de correo, últimas IP conocidas, país, estado de la suscripción, números de tarjeta enmascarados con importes y marcas de tiempo, tokens de autenticación, identificadores de dispositivo, cuentas de Telegram y Apple ID vinculadas, datos de pares de WireGuard, métricas de servidores y cinco cuentas de administrador con hashes bcrypt de contraseña.

Qué prometía el servicio

El texto comercial no admite dobles lecturas. NotVPN decía a sus usuarios: "No logs or history: We never store your activity or connection logs. 100% privacy guaranteed" - sin registros ni historial, nunca almacenamos sus registros de actividad o de conexión, privacidad garantizada al 100 por cien. La tabla deviceProxy es, por definición, un registro de conexión. Se seguía escribiendo el mismo día de la filtración.

La afirmación que no superó la comprobación

Cuando el archivo se puso a la venta, el vendedor lo anunciaba como si contuviera los recursos a los que se dirigía el tráfico de los usuarios, es decir, historial de navegación. Esa parte no se sostuvo. El análisis no encontró en la base ni direcciones de webs visitadas ni historial de navegación. Lo que encontró fueron metadatos: quién se conectó, desde qué dirección, a qué servidor y en qué momento.

La distinción es decisiva y apunta en una dirección incómoda. Los metadatos suelen despacharse como la mitad inofensiva de la vigilancia. Para quien usa una VPN para leer noticias bloqueadas, no lo son. Un correo asociado a una IP y a una marca de tiempo precisa no revela qué leyó esa persona, pero demuestra que estaba usando una herramienta para eludir la censura en un momento y desde un lugar concretos. Allí donde ese uso es en sí mismo el problema, el contenido pasa a ser irrelevante.

A quién le cae encima

Según el vendedor, la base de usuarios se concentra en Rusia, Irán, India y Myanmar. No es casualidad: son justamente los mercados donde el filtrado estatal dispara la demanda de herramientas de elusión. Solo Rusia ha pasado en un año de la ralentización a un bloqueo masivo de proxies MTProto y puntos de salida VPN, y el Estado construye en paralelo su propia visibilidad sobre quién usa qué, incluido un mensajero respaldado por el Estado pillado detectando el uso de VPN y registrando chats privados.

Los más expuestos por esta filtración son, por tanto, quienes más motivos tenían para creerse la promesa de la etiqueta. Eligieron un producto vendido por su privacidad, en lugares donde ser identificado como usuario de VPN tiene consecuencias reales, y el producto guardó un año de registros que demuestran exactamente eso.

Por qué "sin registros" es una afirmación, no un hecho

Una política no-logs es una frase en una web hasta que algo la pone a prueba. Solo tres cosas le dan peso: una auditoría independiente de una firma con nombre y con informe publicado; un historial de requerimientos judiciales o incautaciones en los que el proveedor realmente no tenía nada que entregar; y decisiones de infraestructura, como servidores sin almacenamiento persistente, que dificultan la retención por diseño. Un eslogan en una página de aterrizaje no es ninguna de las tres.

Pagar una suscripción tampoco cierra esa brecha. Este servicio cobraba, y 2,6 millones de registros de pago están en el mismo volcado. El dinero compra un producto, no una verificación. Ese mismo fallo de rendición de cuentas es lo que hace que las VPN gratuitas sean dudosas y a menudo peligrosas, y el mecanismo es idéntico a cualquier precio: un proveedor al que nadie ha comprobado guardando datos que dijo que no guardaría.

Los investigadores que examinaron el volcado aconsejan a quien usara NotVPN o SplitVPN tratar como comprometidos el correo y la IP asociados a la cuenta: cambiar cualquier contraseña reutilizada con ese correo, activar la autenticación en dos pasos, esperar phishing dirigido que mencione el uso de VPN y revisar los movimientos de tarjeta detrás de esos pagos. La lección más amplia es priorizar proveedores cuyas promesas de no guardar registros se hayan verificado de verdad frente a los que simplemente las declaran, y elegir herramientas diseñadas para sobrevivir al filtrado DPI si la elusión es justamente el motivo por el que se necesita una.