La VPN «sin registros» que supuestamente lo registraba todo: qué muestra realmente la filtración de SplitVPN
El 21 de julio, un vendedor del foro de ciberdelincuencia Altenen publicó un archivo SQL de 17 gigabytes que, según dijo, había sido extraído de la infraestructura de SplitVPN, un servicio ruso que antes operaba como NotVPN. El anuncio prometía 23,4 millones de registros de usuarios, 13,6 millones de registros de dispositivos y, lo más perjudicial para un servicio cuya publicidad prometía privacidad total, 58 millones de registros de conexión.
Una semana después, los investigadores de Mysterium, un proveedor de VPN descentralizada, dijeron que habían conseguido una copia del archivo y validado su contenido directamente contra la exportación en bruto. Su conclusión: las cifras coincidían casi a la perfección con lo anunciado por el vendedor, el tipo de coherencia que cabe esperar de un archivo de base de datos real e intacto, no de uno inventado. El archivo resultó ser una exportación mysqldump de una instancia de MySQL 5.7 cuya base de datos lleva la etiqueta interna «notvpn» y abarca más de 60 tablas.
La tabla que contradice la promesa
La pieza central es la tabla «deviceProxy», una estructura mínima que relaciona un dispositivo, un servidor proxy y una marca de tiempo Unix. Mysterium contó aproximadamente 58 millones de filas, con marcas de tiempo que van sin interrupciones desde junio de 2025 hasta el momento en que el archivo salió a la venta. En otras palabras, el servicio parece haber estado escribiendo registros de conexión hasta justo antes de que se produjera la brecha.
Eso encaja mal con los materiales de la propia empresa, que insistían en que nunca almacenaba registros de actividad ni de conexión y en que los datos de los usuarios estaban totalmente protegidos.
Un matiz importa: la tabla registra qué dispositivo se conectó a qué nodo del servidor y cuándo, es decir, metadatos de conexión, no los sitios web que visitaron los usuarios. Los investigadores corrigieron explícitamente la insinuación del vendedor de que se capturaban los destinos de navegación. Pero este es exactamente el tipo de registro que el servicio prometió no conservar. Combinadas con los correos electrónicos y las últimas IP vistas almacenados en la tabla de usuarios y con las huellas de hardware de la tabla de dispositivos, las marcas de tiempo permiten recomponer una imagen detallada de cuándo estuvo activa una cuenta determinada y en qué nodo, una reconstrucción que funciona con decenas de millones de registros a la vez.
Qué más contiene el archivo
Más allá de los registros de conexión, la base de datos contiene supuestamente unos 23,4 millones de registros de usuarios con direcciones de correo electrónico, últimas IP vistas, países, versiones del sistema operativo y de la aplicación y estado de la suscripción; unos 13,6 millones de registros de dispositivos, incluidos los UUID identifierForVendor de Apple, hashes MD5 de dispositivos y tokens de notificaciones push; y unos 2,6 millones de registros de pago de la pasarela Tinkoff, con números de tarjeta enmascarados, fechas de caducidad y tokens RebillId de facturación recurrente. Los números de tarjeta completos no están presentes, solo el enmascaramiento estándar de seis primeros y cuatro últimos dígitos, pero la vinculación entre un correo electrónico, un historial de pagos y un token de facturación recurrente es en sí misma sensible. El volcado también expone un panel de administración con cinco cuentas, hashes de contraseñas bcrypt y un registro de acciones completo.
La mayoría de las cuentas se remontan a Rusia, Irán, India y Myanmar, lugares donde usar una VPN suele ser la única vía para sortear los controles estatales de internet. Para esos usuarios, un registro que vincula una dirección de correo electrónico con una IP y una marca de tiempo no es una molestia de privacidad abstracta; es la prueba de que una persona real trató de eludir los controles gubernamentales, y esa prueba circula ahora en un foro criminal.
La respuesta de la empresa
En respuesta, SplitVPN reconoció a TechRadar que los metadatos a nivel de cuenta del archivo (correos electrónicos, países, estado de la suscripción, números de tarjeta enmascarados, nombres de dispositivos) son reales, pero calificó la tabla deviceProxy de ficción inventada para hacer más valioso el archivo. La empresa negó haber creado o conservado registros de dispositivo-servidor-marca de tiempo de cualquier tipo, y dijo que el material expuesto se reduce a información básica de cuenta que permite su compromiso de no guardar registros. También dijo que había sustituido la dirección IP de cada nodo de la VPN, cambiado credenciales y claves de cifrado, corregido la vulnerabilidad explotada y encargado una auditoría de seguridad externa; describió las operaciones como de vuelta a la normalidad.
Ninguna de las dos posturas es totalmente verificable desde fuera. La metodología de Mysterium (comprobar los esquemas de las tablas, los contadores AUTO_INCREMENT y filas de muestra contra el archivo en bruto) es la prueba independiente más sólida de que los registros son reales. La negativa de la empresa es una declaración de intenciones, no una demostración técnica. Have I Been Pwned añadió la brecha el 1 de agosto, con 865.300 direcciones de correo electrónico únicas.
La lección es arquitectónica
Sea cual sea la versión cierta, el incidente expone la debilidad estructural del modelo sin registros: la configuración clásica de VPN canaliza el tráfico de todos los usuarios a través de una infraestructura propiedad del proveedor, lo que deja al proveedor, y no al suscriptor, al mando de lo que acaba en una base de datos. Una promesa que no puede auditarse es una promesa que descansa solo en la confianza. Por eso los proveedores más creíbles del sector se someten a auditorías independientes, diseños de servidores de solo RAM y arquitecturas que dificultan estructuralmente el registro a gran escala.
Para los antiguos usuarios de NotVPN o SplitVPN, la orientación práctica es sencilla: tratar la dirección de correo electrónico y la IP asociadas como comprometidas, cambiar las contraseñas reutilizadas, activar la autenticación de dos factores, vigilar los correos de phishing que hagan referencia al uso de VPN y revisar los extractos de pago por si aparecen cargos recurrentes inesperados, sobre todo si pagaron a través de Tinkoff. Los metadatos, si son reales, existen ahora fuera del control del operador, y ninguna negativa cambia eso.
Traducido por Alessandra