SplitVPN में 2026 का डेटा उल्लंघन

Mysterium की शोध टीम ने फ़ोरम पर उपलब्ध कराए गए 17 GB के SQL डेटाबेस की एक प्रति की जाँच की। टीम ने तालिकाओं के स्कीमा, काउंटर और नमूने के तौर पर लिए गए रिकॉर्ड की संरचना की तुलना की और बताया कि डेटा असली था। डेटाबेस के आंतरिक नाम “notvpn” ने भी SplitVPN को उसकी पुरानी NotVPN पहचान से जोड़ा।

Security Affairs ने अलग से 29 जुलाई 2026 को तकनीकी निष्कर्षों और उजागर हुए डेटा के दायरे की जानकारी दी। स्वतंत्र डेटा-उल्लंघन सूची ने 1 अगस्त को इस घटना को सत्यापित उल्लंघन के रूप में दर्ज किया। इसमें 8,65,336 विशिष्ट ईमेल पतों के साथ डिवाइस, स्थान, IP और भुगतान-कार्ड की आंशिक जानकारी सूचीबद्ध थी। जिन स्रोतों की समीक्षा की गई, उनमें SplitVPN की ओर से जारी घटना संबंधी कोई सूचना नहीं मिली।

एक हमलावर ने Altenen फ़ोरम पर एक SQL डेटाबेस प्रकाशित किया और दावा किया कि यह SplitVPN का था। उसने इस प्रति की तारीख 21 जुलाई बताई। शोधकर्ताओं ने पाया कि इसकी संरचना मोटे तौर पर बताए गए दायरे से मेल खाती थी। स्रोतों से यह स्थापित नहीं होता कि पहली बार अनधिकृत पहुँच कब हुई या डेटाबेस कैसे प्राप्त किया गया।

कनेक्शन तालिका में टाइमस्टैम्प जून 2025 से 21 जुलाई 2026 तक के थे। प्रविष्टियाँ दिखाती थीं कि कोई डिवाइस किसी विशेष VPN सर्वर से कब जुड़ा था। इनमें पूरा ब्राउज़िंग इतिहास या किन वेबसाइटों तक पहुँचा गया था, इसकी जानकारी मौजूद होने की पुष्टि नहीं हुई। फिर भी, ईमेल, IP और समय संबंधी डेटा को मिलाकर गतिविधि को किसी खाते से जोड़ा जा सकता है।

जिन डेटा श्रेणियों की पुष्टि हुई है, वे हैं ईमेल पते, IP पते, अनुमानित भौगोलिक स्थान, डिवाइस की जानकारी और भुगतान-कार्ड की आंशिक जानकारी। शोधकर्ताओं ने डिवाइस पहचानकर्ताओं, ऐप और ऑपरेटिंग सिस्टम के विवरण, पुश-नोटिफ़िकेशन टोकन, भाषा, देश और सदस्यता की स्थिति वाले फ़ील्ड की मौजूदगी भी बताई।

रिपोर्ट के अनुसार, भुगतान रिकॉर्ड में कार्ड के पहले छह और अंतिम चार अंक, वैधता समाप्त होने की तारीखें, भुगतान पहचानकर्ता और आवर्ती बिलिंग टोकन थे। पूरे कार्ड नंबर उजागर होने की पुष्टि नहीं हुई। सार्वजनिक सूची द्वारा पुष्टि की गई उपयोगकर्ता डेटा की श्रेणियों में पासवर्ड डेटा शामिल नहीं है।

सार्वजनिक सूची ने डेटासेट में 8,65,336 विशिष्ट ईमेल पतों की पहचान की। सूची में प्रभावित खातों की संख्या इसी सत्यापित गणना पर आधारित है, जिसमें दोहराए गए ईमेल पते हटाए गए थे। इसे घटना से प्रभावित सभी लोगों की निर्णायक संख्या नहीं समझना चाहिए।

प्राथमिक शोध में लगभग 23.4 मिलियन उपयोगकर्ता रिकॉर्ड, 13.6 मिलियन डिवाइस रिकॉर्ड, 2.6 मिलियन भुगतान रिकॉर्ड और 58 मिलियन कनेक्शन रिकॉर्ड बताए गए। ये अलग-अलग तालिकाओं में पंक्तियों की संख्याएँ हैं। एक उपयोगकर्ता कई तालिकाओं में या एक ही तालिका में कई बार दर्ज हो सकता है, इसलिए इन आँकड़ों को जोड़कर लोगों की संख्या नहीं निकाली जा सकती।

कुछ देशों में VPN का उपयोग समाचार, मैसेजिंग सेवाओं या अवरुद्ध वेबसाइटों तक पहुँच से जुड़ा हो सकता है। ईमेल, आख़िरी बार दर्ज किया गया IP, अनुमानित स्थान, डिवाइस और कनेक्शन के समय को एक साथ देखने पर इस बारे में संवेदनशील निष्कर्ष निकाले जा सकते हैं कि किसी विशेष खाते ने VPN का उपयोग कब किया था।

कार्ड की आंशिक जानकारी अपने आप में ऑनलाइन खरीदारी पूरी करने के लिए पर्याप्त नहीं है। लेकिन ईमेल पते, भुगतान इतिहास और सदस्यता संबंधी जानकारी के साथ मिलकर यह बैंक या सदस्यता के नाम पर की जाने वाली धोखाधड़ी को अधिक विश्वसनीय बना सकती है। डेटा उल्लंघन के सिलसिले में सहायता, धनवापसी या “खाता सत्यापन” की पेशकश करने वाले संदेशों की स्वतंत्र रूप से जाँच करनी चाहिए।

संबंधित ईमेल खाते पर बहु-कारक प्रमाणीकरण सक्षम करें, सक्रिय सत्रों की समीक्षा करें और अन्य सेवाओं पर भी इस्तेमाल किए गए पासवर्ड बदलें। SplitVPN की आधिकारिक वेबसाइट ईमेल से साइन-इन कोड भेजती है, इसलिए मेलबॉक्स पर आपका नियंत्रण बना रहना विशेष रूप से महत्वपूर्ण है। यदि कोई साइन-इन कोड या रीसेट संदेश अप्रत्याशित रूप से आए, तो उसे मंज़ूरी न दें।

जिन उपयोगकर्ताओं ने Tinkoff या किसी अन्य प्रदाता के माध्यम से भुगतान किया है, उन्हें कार्ड और सदस्यता से जुड़ी गतिविधि में किसी अपरिचित शुल्क पर नज़र रखनी चाहिए। ऐसा शुल्क दिखने पर कार्ड पर दिए गए आधिकारिक नंबर से बैंक से संपर्क करें। किसी संदेश में आपका ईमेल, IP पता या VPN से जुड़ी जानकारी होने भर से वह वैध नहीं हो जाता। जवाब में कभी भी एक बार इस्तेमाल होने वाला कोड, कार्ड का पूरा विवरण या पहचान दस्तावेज़ साझा न करें।