VPN-provider UFO VPN lekt enorm aantal logbestanden

VPN-providers zijn tegenwoordig heel populair. Een VPN-verbinding beveiligt namelijk niet alleen je internet maar ook je persoonlijke gegevens. Althans, dat is wel waar je hem voor neemt. Dan kan het een belangrijk criterium voor je zijn dat een VPN-provider zelf ook geen gegevens van je vastlegt en opslaat. De in Hong Kong gevestigde VPN-provider UFO VPN blijkt het daar niet zo nauw mee genomen te hebben. Ondanks de claim van dit bedrijf dat er echt geen logs werden bijgehouden blijkt dat wel het geval te zijn, en meer dan 900 GB met dergelijke gegevens waren zelfs onbeveiligd op internet te vinden.

Strikt anti log-beleid

Regelmatig zie je bij de reviews op onze website bij een bepaalde VPN-provider staan dat er geen logbestanden worden bijgehouden. Dat is voor veel mensen een belangrijke eis in hun zoektocht naar een betrouwbare provider, want het heeft natuurlijk weinig zin om je sporen op internet uit te wissen met een Virtual Private Network wanneer je internetgegevens alsnog in logbestanden terechtkomen en daar kunnen worden gestolen, gelekt of door een overheid in beslag worden genomen. Maar daarbij moet je er dus wel vanuit kunnen gaan dat de claim inderdaad klopt, en dat er niet toch stiekem logbestanden worden aangemaakt en bijgehouden door de provider. In het geval van UFO VPN blijkt dat dus wel het geval geweest te zijn.

Logbestanden op onbeveiligde server

Niet alleen werden er dus toch logbestanden bijgehouden door UFO VPN, die bleken ook nog eens te zijn opgeslagen op een volledig onbeveiligde webserver. Onderzoeker Bob Diachenko ontdekte de webserver op 1 juli en zag dat er maar liefst 894 Gb aan gegevens op stonden. Dat waren bijvoorbeeld IP-adressen van gebruikers, wachtwoorden die gewoon als tekst waren opgeslagen, sessiegegevens, geografische informatie over de gebruikers en ook gegevens over de systemen waarmee ze verbinding hadden gemaakt.

Gegevens zouden anoniem zijn

In plaats van diep door het stof te gaan is de reactie van UFO VPN een onverwachte: het bedrijf stelde namelijk dat de gegevens die werden gevonden geheel anoniem zijn. Maar dat is volgens Diachenko verre van de waarheid. Meerdere van de gevonden gegevens worden geklasseerd als persoonsgegevens en zijn ook zonder al teveel moeite terug te leiden naar individuele gebruikers. Wat vooral kwalijk was: de server bleef nog twee weken benaderbaar nadat Diachenko UFO VPN erover had ingelicht.

Update: ook andere VPN-providers 'getroffen'

Inmiddels is duidelijk geworden dan UFO VPN niet de enige VPN-provider is die gebruikersgegevens heeft gelekt via de onbeveiligde server. Maar liefst 6 andere providers blijken namelijk ook van de server gebruik te hebben gemaakt. Het gaat daarbij om de volgende bedrijven:

• Fast VPN
• Free VPN
• Flash VPN
• Rabbit VPN
• Secure VPN
• Super VPN

Het is niet bekend in hoeverre deze providers verbonden zijn aan UFO VPN. Wel duidelijk is inmiddels dat de hoeveelheid en het soort gegevens groter en ook meer privacygevoelig blijkt te zijn dan eerst gedacht. Het gaat nu om 1,2 TB en er werden daarin ook e-mailadressen en accountwachtwoorden gevonden. Het zou gaan om de gegevens van in totaal meer dan 20 miljoen unieke gebruikers.