Le VPN « no-logs » qui aurait tout journalisé : ce que montre réellement la fuite SplitVPN
Le 21 juillet, un vendeur du forum de cybercriminalité Altenen a mis en ligne une archive SQL de 17 Go, présentée comme ayant été extraite de l’infrastructure de SplitVPN, un service russe qui opérait auparavant sous le nom de NotVPN. L’annonce promettait 23,4 millions d’enregistrements d’utilisateurs, 13,6 millions d’enregistrements d’appareils et, plus dommageable encore pour un service dont le marketing promettait une confidentialité totale, 58 millions de journaux de connexion.
Une semaine plus tard, des chercheurs de Mysterium, un fournisseur de VPN décentralisé, ont indiqué avoir obtenu une copie de l’archive et avoir validé son contenu directement par rapport à l’export brut. Leur conclusion : les comptages correspondaient presque parfaitement à ce que le vendeur annonçait, le type de cohérence attendu d’un véritable fichier de base de données intact, et non d’un fichier inventé. Le fichier s’est révélé être un export mysqldump d’une instance MySQL 5.7 dont la base porte le label interne « notvpn », couvrant plus de 60 tables.
La table qui contredit la promesse
La pièce maîtresse est la table « deviceProxy », une structure minimale associant un appareil, un serveur proxy et un horodatage Unix. Mysterium y a compté environ 58 millions de lignes, avec des horodatages qui s’enchaînent sans interruption de juin 2025 jusqu’au moment où l’archive a été mise en vente. Autrement dit, le service semble avoir écrit des enregistrements de connexion jusqu’au moment même où il a été compromis.
Ce constat contraste avec les propres documents de l’entreprise, dans lesquels elle affirmait qu’elle ne stockait jamais de journaux d’activité ou de connexion et que les données des utilisateurs étaient entièrement protégées.
Une nuance importante : la table enregistre quel appareil s’est connecté à quel nœud serveur et à quel moment, des métadonnées de connexion, et non les sites web que les utilisateurs ont visités. Les chercheurs ont explicitement corrigé l’implication du vendeur selon laquelle les destinations de navigation étaient capturées. Mais c’est exactement le type d’enregistrement que le service avait promis de ne pas conserver. Combinés aux e-mails stockés dans la table des utilisateurs, aux dernières adresses IP connues et aux empreintes matérielles de la table des appareils, les horodatages permettent de reconstituer une image détaillée de quand un compte donné était actif et sur quel nœud, une reconstitution qui fonctionne pour des dizaines de millions d’enregistrements à la fois.
Ce que le fichier contient d’autre
Au-delà des journaux, la base de données contiendrait environ 23,4 millions d’enregistrements d’utilisateurs avec adresses e-mail, dernières adresses IP connues, pays, versions du système d’exploitation et de l’application, et statut d’abonnement ; environ 13,6 millions d’enregistrements d’appareils, dont des UUID identifierForVendor d’Apple, des hachages MD5 d’appareils et des jetons de notification push ; et environ 2,6 millions d’enregistrements de paiement provenant de la passerelle de paiement Tinkoff, avec numéros de carte masqués, dates d’expiration et jetons de facturation récurrente RebillId. Les numéros de carte complets ne sont pas présents, seulement le masquage standard des six premiers et des quatre derniers chiffres, mais le lien entre une adresse e-mail, un historique de paiement et un jeton de facturation récurrente est en soi sensible. L’archive expose également un panneau d’administration avec cinq comptes, des hachages de mots de passe bcrypt et un journal d’actions complet.
La plupart des comptes remontent à la Russie, à l’Iran, à l’Inde et au Myanmar, des pays où l’utilisation d’un VPN est souvent le seul moyen de contourner les contrôles étatiques d’Internet. Pour ces utilisateurs, un enregistrement reliant une adresse e-mail à une adresse IP et à un horodatage n’est pas une nuisance abstraite pour la vie privée ; c’est une preuve qu’une personne réelle a cherché à contourner les contrôles gouvernementaux, et cette preuve circule désormais sur un forum criminel.
La réponse de l’entreprise
En réponse, SplitVPN a reconnu auprès de TechRadar que les métadonnées au niveau des comptes contenues dans le fichier (e-mails, pays, statut d’abonnement, numéros de carte masqués, noms d’appareils) sont réelles, mais a qualifié la table deviceProxy de fiction inventée pour rendre l’archive plus précieuse. L’entreprise a nié avoir créé ou conservé des enregistrements de type appareil-serveur-horodatage, de quelque nature que ce soit, et a déclaré que les données exposées se résument à des informations de compte de base que son engagement no-logs autorise. Elle a également indiqué avoir remplacé l’adresse IP de chaque nœud VPN, renouvelé les identifiants et les clés de chiffrement, corrigé la faille exploitée et commandé un audit de sécurité externe ; elle a décrit des opérations revenues à la normale.
Aucune des deux positions n’est entièrement vérifiable de l’extérieur. La méthodologie de Mysterium (vérification des schémas de tables, des compteurs AUTO_INCREMENT et de lignes échantillonnées par rapport au fichier brut) constitue la preuve indépendante la plus solide que les journaux sont réels. Le démenti de l’entreprise est une déclaration d’intention, pas une démonstration technique. Have I Been Pwned a ajouté la fuite le 1er août, recensant 865 300 adresses e-mail uniques.
La leçon est d’ordre architectural
Quelle que soit la version qui s’avère exacte, l’incident expose la faiblesse structurelle du modèle no-logs : la configuration VPN classique fait transiter tout le trafic de chaque utilisateur par une infrastructure appartenant au fournisseur, laissant au fournisseur, et non à l’abonné, le contrôle de ce qui se retrouve dans une base de données. Une promesse qui ne peut pas être auditée est une promesse qui repose uniquement sur la confiance. C’est pourquoi les fournisseurs les plus crédibles du secteur se soumettent à des audits indépendants, à des serveurs fonctionnant exclusivement en RAM et à des architectures qui rendent la journalisation à grande échelle structurellement difficile.
Pour les anciens utilisateurs de NotVPN ou de SplitVPN, les recommandations pratiques sont simples : considérer l’adresse e-mail et l’adresse IP associées comme compromises, changer les mots de passe réutilisés, activer l’authentification à deux facteurs, se méfier des tentatives de hameçonnage qui font référence à l’utilisation d’un VPN et surveiller les relevés de paiement pour y repérer des frais récurrents inattendus, en particulier s’ils ont payé via Tinkoff. Les métadonnées, si elles sont réelles, existent désormais hors du contrôle de l’opérateur, et aucun démenti n’y changera rien.
Traduit par Lydie