Vazamento massivo na SplitVPN expõe dados de 865 mil usuários e derruba promessa de “não registro”
Um grande incidente de segurança atingiu o serviço de VPN russo SplitVPN, anteriormente conhecido como NotVPN, resultando na exposição de informações pessoais de cerca de 865 mil usuários ao redor do mundo. O vazamento, ocorrido em julho de 2026, colocou em risco dados sensíveis como endereços de e-mail, endereços IP públicos, informações de localização aproximada e detalhes parciais de cartões usados em pagamentos.
De acordo com a análise do material comprometido, os dados teriam sido extraídos de um banco SQL com aproximadamente 17 GB. Esse conjunto foi posteriormente disponibilizado em um conhecido ambiente de troca de dados entre cibercriminosos, o que aumenta de forma significativa o risco de uso malicioso das informações, seja para fraudes financeiras, campanhas de phishing altamente direcionadas ou tentativas de extorsão digital.
Os especialistas que examinaram o conteúdo apontam que o vazamento inclui cerca de 23,4 milhões de registros relacionados a contas de usuários, mais de 13,6 milhões de entradas associadas a dispositivos e aproximadamente 2,6 milhões de registros envolvendo pagamentos. Esses números indicam que, embora o total de usuários diretamente identificados seja da ordem de centenas de milhares, o volume de metadados e registros históricos é muito superior, permitindo traçar perfis detalhados de comportamento.
Além dos dados de cadastro e pagamento, a base comprometida armazenava quase 58 milhões de registros de conexão. Esses logs descrevem, com elevada granularidade, qual dispositivo se conectou a qual servidor da VPN e em que momento exato essa conexão ocorreu. As informações cobrem um intervalo de mais de um ano, indo de junho de 2025 até 21 de julho de 2026, o que revela um histórico contínuo de uso do serviço.
Embora esses registros não incluam diretamente o conteúdo da navegação – como os sites acessados ou o tráfego criptografado em si – os metadados são suficientes para estabelecer vínculos entre contas, dispositivos, endereços IP de origem e servidores utilizados. Em cenários de investigação ou vigilância, esse tipo de dado pode ser combinado com informações de outros provedores ou bases vazadas para reconstruir trajetórias digitais de usuários, identificar padrões de acesso e até apontar a identidade real por trás de perfis pseudônimos.
O caso causa ainda mais preocupação porque entra em choque com a política anunciada pela própria SplitVPN. A empresa afirmava operar com uma política rígida de ausência de registros, garantindo ao público que não armazenava históricos de conexão ou qualquer tipo de log que pudesse ser usado para rastrear suas atividades. A presença de dezenas de milhões de registros de conexão no banco de dados vazado contradiz frontalmente esse compromisso, levantando dúvidas sobre a transparência e a confiabilidade do serviço.
Para usuários que recorriam à SplitVPN com o objetivo de contornar censura estatal, monitoramento governamental ou bloqueios regionais, o impacto é especialmente grave. Em países com forte repressão à liberdade de expressão, metadados de conexão associados a determinados servidores ou horários podem servir como ponto de partida para investigações, intimidações ou perseguição a ativistas, jornalistas, opositores políticos e outras pessoas que dependem de anonimato reforçado.
A exposição de partes de dados de cartão de pagamento também abre espaço para golpes direcionados. Mesmo quando os números completos não estão presentes, informações como nome, e-mail, últimos dígitos do cartão, país e data aproximada de assinatura permitem que golpistas construam mensagens extremamente convincentes. Um atacante pode, por exemplo, enviar avisos falsos de renovação ou reembolso da VPN, induzindo o usuário a informar dados bancários em páginas fraudulentas.
O episódio reacende o debate sobre a confiança cega em slogans de marketing de serviços de VPN. Termos como “no-log”, “zero registros” ou “anonimato absoluto” são amplamente usados, mas nem sempre acompanhados de auditorias independentes, garantias técnicas robustas ou comprovações públicas. O caso da SplitVPN mostra como uma discrepância entre o discurso comercial e a prática interna pode colocar milhões de registros sensíveis em risco.
Para quem utiliza VPN, o incidente serve como alerta e oportunidade de revisar hábitos de segurança digital. Algumas medidas recomendadas incluem:
1. Reavaliar o provedor de VPN escolhido, dando preferência a empresas que passaram por auditorias independentes e tornaram públicos seus relatórios de conformidade com políticas de não registro.
2. Verificar se o mesmo e-mail usado na VPN está vinculado a outras contas sensíveis; quando possível, adotar endereços específicos para serviços de privacidade.
3. Habilitar autenticação em duas etapas em todos os serviços importantes, reduzindo os danos potenciais caso o e-mail seja alvo de tentativas de invasão.
4. Ficar atento a mensagens suspeitas que mencionem a VPN, pagamentos, renovações ou “compensações” pelo incidente – especialmente se pedirem dados de cartão ou senhas.
Também é fundamental entender a diferença entre o conteúdo trafegado e os metadados de conexão. Mesmo quando uma VPN utiliza criptografia forte e impede a visualização direta dos sites acessados, o registro de horários, IPs de origem e destinos, além de identificadores de dispositivo, ainda pode ser extremamente revelador. Em muitos contextos, esses metadados são tão sensíveis quanto o próprio conteúdo, já que permitem mapear rotinas, deslocamentos e atividades recorrentes.
Outro ponto que emerge com força é a importância de limitar a coleta de dados desde a concepção do serviço. Quanto menos informações forem armazenadas de forma duradoura – especialmente em bancos de dados centralizados e volumosos – menor o impacto em caso de invasão ou vazamento. O princípio de minimização de dados, amplamente defendido em boas práticas de segurança da informação, parece ter sido ignorado ou flexibilizado no desenho da infraestrutura da SplitVPN.
Para organizações e profissionais de segurança, o caso é um exemplo didático das consequências de combinar grandes volumes de dados sensíveis com proteções insuficientes. Uma base com dezenas de milhões de registros de conexão, unida a dados de pagamentos e perfis de usuários, torna-se um alvo altamente atrativo para grupos criminosos. Em incidentes desse tipo, não está em jogo apenas a reputação do serviço, mas também a integridade e, em contextos mais repressivos, a segurança física dos usuários finais.
O vazamento da SplitVPN tende a pressionar ainda mais o setor de VPNs a adotar maior transparência e padrões técnicos elevados. A partir de agora, usuários mais atentos podem passar a exigir evidências concretas de que não há coleta excessiva de logs, como auditorias recorrentes, arquitetura pensada para reduzir a retenção de dados e comunicação clara sobre o que de fato é armazenado e por quanto tempo.
Em última análise, o incidente reforça uma lição central da segurança digital: privacidade não é um estado garantido apenas pela contratação de um serviço, mas um processo contínuo de avaliação de risco, escolha informada de ferramentas e adoção de boas práticas. Mesmo ao recorrer a soluções que prometem anonimato, é essencial manter uma postura crítica, compreender limitações técnicas e estar preparado para reagir rapidamente caso seus dados sejam expostos em um vazamento desse porte.