Una fuga di dati di una VPN senza log ha prodotto una delle contraddizioni più nette dell'anno. Il 23 luglio 2026 su un forum del cybercrimine è comparso un database da 17 GB attribuito a SplitVPN, servizio russo un tempo noto come NotVPN e venduto come strumento per aggirare i blocchi in rete. L'analisi pubblicata il 29 luglio ha rilevato che il servizio scriveva log di connessione ininterrottamente da oltre un anno, mentre il suo stesso marketing prometteva di non conservarne nessuno.
Che cosa contiene davvero il database
Il team di ricerca di Mysterium ha ottenuto una copia del dump e ha confrontato strutture delle tabelle, contatori e record di esempio con il file grezzo. I numeri confermati:
- 23,4 milioni di record utente.
- 13,6 milioni di record di dispositivi.
- 2,6 milioni di record di pagamento.
- Quasi 58 milioni di righe in una tabella chiamata deviceProxy.
Quest'ultima tabella è tutta la storia. Ogni riga collega un dispositivo a uno specifico server VPN e all'orario esatto della connessione. Le voci proseguono senza interruzioni da giugno 2025 al 21 luglio 2026, il giorno in cui il database è stato prelevato. Accanto figurano indirizzi email, ultimi IP noti, Paese, stato dell'abbonamento, numeri di carta mascherati con importi e marche temporali, token di autenticazione, identificatori di dispositivo, account Telegram e Apple ID collegati, dati dei peer WireGuard, metriche dei server e cinque account amministratore con hash bcrypt delle password.
Che cosa prometteva il servizio
Il testo commerciale non lascia margini. NotVPN diceva ai propri utenti: "No logs or history: We never store your activity or connection logs. 100% privacy guaranteed" - nessun log e nessuna cronologia, non memorizziamo mai i vostri log di attività o di connessione, privacy garantita al 100 per cento. La tabella deviceProxy è, per definizione, un log di connessione. Veniva ancora alimentata il giorno stesso della violazione.
L'affermazione che non ha retto alla verifica
Quando l'archivio è stato messo in vendita, il venditore lo presentava come contenente le risorse verso cui era diretto il traffico degli utenti, cioè la cronologia di navigazione. Quella parte non ha retto. L'analisi non ha trovato nel database né indirizzi di siti visitati né cronologia di navigazione. Ha trovato metadati: chi si è collegato, da quale indirizzo, a quale server e in quale momento.
La distinzione è decisiva e pende dalla parte scomoda. I metadati vengono spesso liquidati come la metà innocua della sorveglianza. Per chi usa una VPN per leggere notizie bloccate non lo sono. Un indirizzo email associato a un IP e a un orario preciso non rivela che cosa quella persona abbia letto, ma dimostra che stava usando uno strumento di aggiramento della censura in un dato momento e da un dato luogo. Dove è proprio quell'uso a costituire il problema, il contenuto diventa irrilevante.
Su chi ricade
Secondo il venditore, la base utenti è concentrata in Russia, Iran, India e Myanmar. Non è un caso: sono esattamente i mercati in cui il filtraggio statale alimenta la domanda di strumenti di aggiramento. La sola Russia in un anno è passata dal rallentamento a un ban di massa dei proxy MTProto e degli endpoint VPN, e lo Stato costruisce in parallelo la propria visibilità su chi usa che cosa, fino a un messenger sostenuto dallo Stato sorpreso a rilevare l'uso di VPN e a registrare chat private.
Le persone più esposte da questa fuga sono quindi quelle che avevano più motivi per credere alla promessa sull'etichetta. Hanno scelto un prodotto venduto sulla privacy, in luoghi dove essere identificati come utenti VPN ha conseguenze reali, e quel prodotto ha conservato un anno di registrazioni che dimostrano esattamente questo.
Perché "senza log" è un'affermazione, non un fatto
Una politica no-log resta una frase su un sito finché qualcosa non la mette alla prova. A darle peso sono soltanto tre cose: un audit indipendente di una società con nome e cognome e con relazione pubblicata; una storia di ordini giudiziari o sequestri in cui il fornitore davvero non aveva nulla da consegnare; e scelte infrastrutturali, come server privi di archiviazione persistente, che rendono la conservazione difficile per progetto. Uno slogan su una landing page non è nessuna delle tre.
Nemmeno un abbonamento a pagamento colma quel divario. Questo servizio incassava, e 2,6 milioni di record di pagamento stanno nello stesso dump. Il denaro compra un prodotto, non una verifica. È lo stesso deficit di responsabilità che rende le VPN gratuite inaffidabili e spesso pericolose, e il meccanismo è identico a qualunque prezzo: un fornitore che nessuno ha controllato conserva dati che aveva detto di non conservare.
I ricercatori che hanno esaminato il dump consigliano a chiunque abbia usato NotVPN o SplitVPN di considerare compromessi l'email e l'IP legati all'account: cambiare ogni password riutilizzata con quell'indirizzo, attivare l'autenticazione a due fattori, aspettarsi phishing mirato che faccia riferimento all'uso della VPN e controllare gli estratti conto dietro quei pagamenti. La lezione più ampia è privilegiare fornitori le cui dichiarazioni no-log siano state davvero verificate rispetto a chi si limita ad affermarle, e scegliere strumenti costruiti per sopravvivere al filtraggio DPI se l'aggiramento è proprio il motivo per cui serve una VPN.
