Un VPN sans logs a laissé fuiter 58 millions d'enregistrements de connexion

Une fuite de VPN sans logs a produit l'une des contradictions les plus nettes de l'année. Le 23 juillet 2026, une base de 17 Go attribuée à SplitVPN, un service russe anciennement appelé NotVPN et vendu comme moyen de contourner les blocages, est apparue sur un forum cybercriminel. L'analyse publiée le 29 juillet a montré que le service enregistrait des journaux de connexion en continu depuis plus d'un an, alors que son propre marketing promettait de n'en conserver aucun.

Ce que contient réellement la base

L'équipe de recherche de Mysterium a obtenu une copie du dump et a vérifié les structures de tables, les compteurs et des échantillons d'enregistrements par rapport au fichier brut. Les chiffres confirmés :

• 23,4 millions d'enregistrements utilisateurs.
• 13,6 millions d'enregistrements d'appareils.
• 2,6 millions d'enregistrements de paiement.
• Près de 58 millions de lignes dans une table nommée deviceProxy.

Cette dernière table est toute l'histoire. Chaque ligne relie un appareil à un serveur VPN précis et à l'heure exacte de la connexion. Les entrées se succèdent sans interruption de juin 2025 au 21 juillet 2026, jour de l'extraction de la base. À côté figurent des adresses e-mail, les dernières adresses IP connues, le pays, le statut d'abonnement, des numéros de carte masqués avec montants et horodatages, des jetons d'authentification, des identifiants d'appareils, des comptes Telegram et des identifiants Apple associés, des données de pairs WireGuard, des métriques de serveurs et cinq comptes administrateurs avec empreintes de mots de passe bcrypt.

Ce que le service promettait

Le texte commercial ne laisse aucune ambiguïté. NotVPN indiquait à ses utilisateurs : "No logs or history: We never store your activity or connection logs. 100% privacy guaranteed" - aucun journal ni historique, nous ne stockons jamais vos journaux d'activité ou de connexion, confidentialité garantie à 100 pour cent. La table deviceProxy est, par définition, un journal de connexion. Elle était encore alimentée le jour de la fuite.

L'affirmation qui n'a pas résisté à la vérification

Lorsque l'archive a été mise en vente, le vendeur la présentait comme contenant les ressources vers lesquelles le trafic des utilisateurs était dirigé, autrement dit un historique de navigation. Cette partie n'a pas tenu. L'analyse n'a trouvé dans la base ni adresses de sites visités, ni historique de navigation. Elle a trouvé des métadonnées : qui s'est connecté, depuis quelle adresse, vers quel serveur, à quel moment.

La distinction est essentielle, et elle penche du mauvais côté. On considère volontiers les métadonnées comme la moitié inoffensive de la surveillance. Pour quelqu'un qui lit des informations bloquées via un VPN, elles ne le sont pas. Une adresse e-mail associée à une adresse IP et à un horodatage précis ne révèle pas ce que la personne a lu, mais prouve qu'elle utilisait un outil de contournement de la censure à un instant donné depuis un lieu donné. Là où cet usage constitue en soi le problème, le contenu devient secondaire.

Qui se retrouve exposé

Selon le vendeur, la base d'utilisateurs se concentre en Russie, en Iran, en Inde et au Myanmar. Ce n'est pas un hasard : ce sont précisément les marchés où le filtrage étatique nourrit la demande d'outils de contournement. La Russie à elle seule est passée en un an du ralentissement à un bannissement massif des proxys MTProto et des points de sortie VPN, et l'État construit en parallèle sa propre visibilité sur qui utilise quoi, jusqu'à une messagerie soutenue par l'État prise à détecter l'usage de VPN et à journaliser des conversations privées.

Les personnes les plus exposées par cette fuite sont donc celles qui avaient le plus de raisons de croire à la promesse affichée. Elles ont choisi un produit vendu sur la confidentialité, dans des endroits où être identifié comme utilisateur de VPN a des conséquences réelles, et ce produit a conservé un an d'enregistrements prouvant exactement cela.

Pourquoi "sans logs" est une affirmation, pas un fait

Une politique no-logs reste une phrase sur un site tant que rien ne vient la mettre à l'épreuve. Trois choses seulement lui donnent du poids : un audit indépendant réalisé par un cabinet nommé, avec rapport publié ; un historique de réquisitions judiciaires ou de saisies où le fournisseur n'avait effectivement rien à remettre ; et des choix d'infrastructure, comme des serveurs sans stockage persistant, qui rendent la conservation difficile par conception. Un slogan sur une page d'accueil n'est aucun des trois.

Un abonnement payant ne comble pas davantage cet écart. Ce service encaissait de l'argent, et 2,6 millions d'enregistrements de paiement figurent dans le même dump. L'argent achète un produit, pas une vérification. C'est ce même défaut de responsabilité qui rend les VPN gratuits douteux et souvent dangereux, et le mécanisme est identique à n'importe quel prix : un fournisseur que personne n'a contrôlé conserve des données qu'il disait ne pas conserver.

Les chercheurs qui ont examiné le dump conseillent à quiconque a utilisé NotVPN ou SplitVPN de considérer l'adresse e-mail et l'IP liées au compte comme compromises : changer tout mot de passe réutilisé avec cette adresse, activer l'authentification à deux facteurs, s'attendre à des tentatives de hameçonnage ciblées évoquant l'usage d'un VPN, et vérifier les relevés bancaires correspondant à ces paiements. La leçon plus générale est de privilégier les fournisseurs dont les engagements no-logs ont réellement été vérifiés plutôt que ceux qui se contentent de les affirmer, et de choisir des outils conçus pour survivre au filtrage DPI si le contournement est justement la raison du besoin.