Uma fuga de dados de uma VPN sem registos produziu uma das contradições mais claras do ano. A 23 de julho de 2026 surgiu num fórum de cibercrime uma base de dados de 17 GB atribuída à SplitVPN, um serviço russo anteriormente chamado NotVPN e vendido como forma de contornar bloqueios na internet. A análise publicada a 29 de julho concluiu que o serviço escrevia registos de ligação de forma contínua havia mais de um ano, enquanto o seu próprio marketing prometia não guardar nenhum.
O que está realmente na base de dados
A equipa de investigação da Mysterium obteve uma cópia do despejo e confrontou estruturas de tabelas, contadores e amostras de registos com o ficheiro original. Os números confirmados:
- 23,4 milhões de registos de utilizadores.
- 13,6 milhões de registos de dispositivos.
- 2,6 milhões de registos de pagamento.
- Quase 58 milhões de linhas numa tabela chamada deviceProxy.
Essa última tabela é toda a história. Cada linha liga um dispositivo a um servidor VPN específico e à hora exata da ligação. As entradas sucedem-se sem interrupção de junho de 2025 até 21 de julho de 2026, o dia em que a base foi extraída. Ao lado estão endereços de email, últimos IP conhecidos, país, estado da subscrição, números de cartão mascarados com montantes e datas, tokens de autenticação, identificadores de dispositivo, contas de Telegram e Apple ID associadas, dados de pares WireGuard, métricas de servidores e cinco contas de administrador com hashes bcrypt das palavras-passe.
O que o serviço prometia
O texto comercial não deixa margem. A NotVPN dizia aos utilizadores: "No logs or history: We never store your activity or connection logs. 100% privacy guaranteed" - sem registos nem histórico, nunca armazenamos os seus registos de atividade ou de ligação, privacidade garantida a 100 por cento. A tabela deviceProxy é, por definição, um registo de ligação. Continuava a ser preenchida no próprio dia da violação.
A afirmação que não resistiu à verificação
Quando o arquivo foi posto à venda, o vendedor anunciava-o como contendo os recursos para onde o tráfego dos utilizadores era encaminhado, ou seja, histórico de navegação. Essa parte não se confirmou. A análise não encontrou na base nem endereços de sites visitados nem histórico de navegação. Encontrou metadados: quem se ligou, a partir de que endereço, a que servidor e em que momento.
A distinção é decisiva e pende para o lado incómodo. Os metadados costumam ser descartados como a metade inofensiva da vigilância. Para quem usa uma VPN para ler notícias bloqueadas, não são. Um email associado a um IP e a uma marca temporal precisa não revela o que a pessoa leu, mas prova que estava a usar uma ferramenta de contorno da censura num dado momento e a partir de um dado local. Onde esse uso é, em si, o problema, o conteúdo deixa de importar.
Sobre quem isto recai
Segundo o vendedor, a base de utilizadores concentra-se na Rússia, no Irão, na Índia e em Myanmar. Não é coincidência: são precisamente os mercados onde a filtragem estatal alimenta a procura de ferramentas de contorno. Só a Rússia passou, no último ano, do abrandamento para um banimento em massa de proxies MTProto e de pontos de saída VPN, e o Estado constrói em paralelo a sua própria visibilidade sobre quem usa o quê, incluindo um mensageiro apoiado pelo Estado apanhado a detetar o uso de VPN e a registar conversas privadas.
As pessoas mais expostas por esta fuga são, assim, as que tinham mais motivos para acreditar na promessa do rótulo. Escolheram um produto vendido pela privacidade, em locais onde ser identificado como utilizador de VPN tem consequências reais, e o produto guardou um ano de registos que provam exatamente isso.
Porque "sem registos" é uma afirmação, não um facto
Uma política no-logs é uma frase num site até que algo a ponha à prova. Só três coisas lhe dão peso: uma auditoria independente feita por uma empresa identificada e com relatório publicado; um historial de ordens judiciais ou apreensões em que o fornecedor realmente nada tinha para entregar; e opções de infraestrutura, como servidores sem armazenamento persistente, que tornam a retenção difícil por desenho. Um slogan numa página de entrada não é nenhuma delas.
Pagar uma subscrição também não fecha essa lacuna. Este serviço cobrava, e 2,6 milhões de registos de pagamento estão no mesmo despejo. O dinheiro compra um produto, não compra verificação. É a mesma falha de responsabilização que torna as VPN gratuitas duvidosas e muitas vezes perigosas, e o mecanismo é idêntico a qualquer preço: um fornecedor que ninguém verificou a guardar dados que disse não guardar.
Os investigadores que examinaram o despejo aconselham quem usou a NotVPN ou a SplitVPN a tratar como comprometidos o email e o IP ligados à conta: mudar qualquer palavra-passe reutilizada com esse email, ativar a autenticação de dois fatores, contar com phishing dirigido que mencione o uso de VPN e verificar os movimentos de cartão por trás desses pagamentos. A lição mais ampla é privilegiar fornecedores cujas alegações de ausência de registos tenham sido efetivamente verificadas em vez dos que apenas as declaram, e escolher ferramentas construídas para sobreviver à filtragem DPI se o contorno for justamente a razão da necessidade.
