仮想プライベートネットワーク(VPN)が宣伝文句として掲げる約束の真偽は、その内部テレメトリを通じてしか検証できません。今回、SplitVPNの流出事件を精査した結果、以前から抱かれていた根本的な疑念が裏付けられる形となりました。同サービス提供事業者は、ログを一切残さないという明確な公式表明に真っ向から反し、数千万件にのぼる接続ログを積極的に蓄積していたのです。
17ギガバイトの流出データを検証
つい先週、SplitVPN(旧NotVPN)に帰属するとされる17ギガバイトのデータベースが不正に売買されているとの情報が浮上しました。この違法な販売者は、アーカイブに2,340万人にのぼる個別ユーザーの機密情報が含まれていると強気に主張していました。当初、この巨大なダンプデータの真正性は未確認のままでした。しかし、Mysteriumのチームが最近このデータベースの完全なコピーを入手し、テーブル構造やカウンター、サンプルレコードを綿密に調査しました。
NotVPNおよびSplitVPNの侵害に関する報告書で詳述されたこのフォレンジック監査により、主要な主張は決定的に裏付けられました。データベースには実際に約2,340万件のユーザープロファイル、1,360万件の一意なデバイス識別子、260万件の決済取引が含まれていました。さらに重要な点として、deviceProxyテーブル内には実に5,800万件近い個別の行が存在していました。
各行は、特定のデバイスと指定されたVPNサーバー、そして正確な接続タイムスタンプを体系的に紐づけています。驚くべきことに、同プラットフォームは2025年6月から、攻撃者がデータベースを窃取した正にその日である2026年7月21日まで、こうした詳細なログを継続的に蓄積し続けていました。
流出したテレメトリの範囲
今回の分析では、流出の具体的な内容についても明確にされました。幸いなことに、ログには包括的な閲覧履歴や訪問先ウェブサイトの具体的なURLは含まれていませんでした。とはいえ、流出したメールアドレスや発信元IPアドレス、ハードウェア識別子と組み合わせることで、これらの記録は、どの特定のデバイスが、どの地理的な発信元から、指定されたVPNノードへ、正確にいつ接続したのかを綿密に特定できてしまいます。
この広範なデータ収集の実態は、アクティビティおよび接続ログを一切残さないというSplitVPNの公式な保証を明白に裏切るものです。
決済データと管理者認証情報
幸いにも、決済テーブルからクレジットカード番号(PAN)全体が漏れることはありませんでした。その代わり、データベースにはクレジットカードの最初の6桁と末尾4桁、有効期限、取引金額、処理識別子、定期課金トークンが保存されていました。憂慮すべきことに、このダンプデータでは5件の管理者アカウントも露呈しており、bcryptでハッシュ化されたパスワード、権限の割り当て、そして従業員の活動ログ一式も含まれていました。
地理的な影響と早急な対応策
販売者によれば、同サービスの主要な利用者層はロシア、イラン、インド、ミャンマーの居住者だとされています。厳格な国家検閲を回避する目的でこのVPNを利用してきた人々にとって、流出したメールアドレス、発信元IP、正確な接続タイムスタンプという組み合わせは、具体的な通信内容そのものがなくとも、サービス利用の事実を不可逆的に暴露してしまいます。
セキュリティ専門家は、NotVPNおよびSplitVPNの全利用者に対し、自身のメールアドレスとIPアドレスが完全に漏洩したものとして直ちに対応するよう強く勧告しています。使い回しているパスワードは速やかに変更し、二要素認証を積極的に有効化し、標的型フィッシングキャンペーンに対して極めて高い警戒を維持するとともに、金融取引明細を綿密に監視する必要があります。残念ながら、接続に関するメタデータはすでにサービス提供事業者の管理下から不可逆的に流出してしまっています。
翻訳元: https://meterpreter.org/splitvpn-data-leak/
