La confianza en las políticas de no registro (no-logs) de las VPN se ha visto puesta a prueba por un incidente que, si bien aún genera debate, subraya límites importantes en las garantías que ofrecen estos servicios. Este artículo examina el caso de SplitVPN, una VPN con amplia adopción para eludir bloqueos en contextos de censura, y las implicaciones para usuarios que dependen de una política de no registro como principal salvaguarda de su privacidad.

Recientemente, SplitVPN fue objeto de acusaciones de incumplimiento de su política de no-logs. Un conjunto de documentos y datos supuestamente filtrados incluía una base de datos SQL de 17 GB que, según analistas, contenía granularidad sobre conexiones de usuarios, dispositivos y pagos. Aunque la empresa ha negado categóricamente que conserve registros de actividad, el episodio pone sobre la mesa una cuestión clave: ¿cuánto puede confiar un usuario en una promesa que, en la práctica, depende de mecanismos de auditoría y verificación externos?

Incluso entre las VPN más seguras, las políticas de no registro suelen basarse en la confianza y no en salvaguardas verificables por sí mismas. Esto significa que, por muy reputadas que sean, estas políticas pueden no ofrecer una visión clara de los riesgos a los que se exponen los usuarios ante una posible brecha de seguridad, especialmente en países donde el uso de VPNs puede estar sujeto a repercusiones legales o sanciones severas.

Una política de no-logs implica que una VPN se compromete a no recolectar ni compartir información de los usuarios, como consultas de búsqueda, sitios visitados, duración de las sesiones o descargas, mientras se está conectado a un servidor. Aun así, la verificación por parte del usuario es complicada. Por ello, los proveedores más exigentes suelen someterse a auditorías independientes y publicar informes de transparencia para demostrar que sus promesas son genuinas y no meros anuncios de marketing.

La presunta filtración de SplitVPN

El 21 de julio, un actor de amenazas en un foro de cibercriminalidad difundió una base de datos SQL de 17 GB alegando haber sido robada de SplitVPN, que supuestamente contenía una gran cantidad de logs de conexión, además de información de usuarios, dispositivos y pagos. Un equipo de investigación, entre ellos Mysterium VPN, analizó la base de datos y afirmó que parte de ella (conocida como ‘deviceproxy’) podría contener alrededor de 58 millones de logs de conexión. Aunque estos registros se presentaron como metadatos anonimizados, SplitVPN mantiene que no conserva dichos datos conforme a su política de no-logs.

La compañía indicó a TechRadar que, si bien la metadata filtrada —incluidas direcciones de correo, países de origen, estado de suscripción y datos de tarjetas enmascarados— es auténtica, la tabla deviceproxy es una fabricación ajena a su infraestructura. Según un portavoz, “el listado de terceros que afirma 58 millones de logs es una fabricación destinada a inflar el precio.” Añadieron que no generan ni almacenan mapeos de dispositivos a servidores y sellaron la vulnerabilidad, rotaron credenciales y claves de cifrado, y llamaron a auditores externos para revisar su infraestructura. Las operaciones se han normalizado desde entonces.

Independientemente de la veracidad de los registros de deviceproxy, el episodio plantea dilemas fundamentales. Si las afirmaciones son ciertas, la existencia de esos logs contradiría directamente la política de no-logs. En el mejor de los casos, con correlacionar direcciones IP de conexiones recientes y identificadores de hardware, podría ser posible reconstruir quién se conectó, desde dónde y a qué servidor, exponiendo a millones de usuarios en entornos con censura severa. Si, por otra parte, las afirmaciones fueran fabricadas, los usuarios siguen enfrentando la incertidumbre de declaraciones conflictivas, sin una verificación independiente clara y con posibles repercusiones para quienes operan en países donde el uso de VPNs está restringido.

Esta situación subraya la importancia de buscar evidencias claras: políticas de privacidad auditadas y características de seguridad avanzadas como kill switches, configuraciones de VPN en doble salto, y opciones de cifrado post-cuántico. Tecnologías como servidores con memoria RAM solo o criptografía avanzada pueden marcar la diferencia cuando la protección de datos está en juego. En última instancia, las palabras pueden cambiar, pero la pericia técnica y la verificación independiente son las que sostienen la confianza de los usuarios.

Para fortalecer la privacidad de los usuarios, se recomienda considerar proveedores que cuenten con auditorías de terceros, informes de transparencia actualizados y características de seguridad operativas robustas. La lección clave es que, incluso con las mejores políticas declaradas, la verificación externa y la implementación de controles técnicos son esenciales para garantizar que una promesa de no-logs no sea solo una imagen bien diseñada, sino una realidad comprobable.