Vazamento de dados da SplitVPN em 2026

A equipe de pesquisa da Mysterium examinou uma cópia do banco de dados SQL de 17 GB oferecido no fórum. A equipe comparou os esquemas das tabelas, os contadores e a estrutura de uma amostra de registros e informou que os dados eram autênticos. O nome interno do banco de dados, “notvpn”, também vinculou a SplitVPN à sua antiga identidade, NotVPN.

O Security Affairs divulgou separadamente as conclusões técnicas e o escopo dos dados expostos em 29 de julho de 2026. O catálogo independente de vazamentos adicionou o incidente como um vazamento verificado em 1 de agosto, listando 865.336 endereços de e-mail únicos e dados de dispositivos, localização, IP e informações parciais de cartões de pagamento. Nas fontes analisadas, não foi encontrado nenhum comunicado sobre o incidente emitido pela SplitVPN.

Um agente mal-intencionado publicou no fórum Altenen um banco de dados SQL que alegou ser da SplitVPN e datou a cópia em 21 de julho. Os pesquisadores constataram que a estrutura correspondia, em linhas gerais, ao escopo anunciado. As fontes não esclarecem quando ocorreu o primeiro acesso não autorizado nem como o banco de dados foi obtido.

Os registros de data e hora na tabela de conexões iam de junho de 2025 até 21 de julho de 2026. As entradas mostravam quando um dispositivo se conectou a determinado servidor de VPN; não houve confirmação de que contivessem o histórico completo de navegação ou os sites de destino. Ainda assim, combinar dados de e-mail, IP e horário pode permitir que uma atividade seja vinculada a uma conta.

As categorias de dados confirmadas são endereços de e-mail, endereços IP, localizações geográficas aproximadas, informações de dispositivos e dados parciais de cartões de pagamento. Os pesquisadores também relataram identificadores de dispositivos, detalhes de aplicativos e sistemas operacionais, tokens de notificações push e campos de idioma, país e status da assinatura.

Segundo os relatos, os registros de pagamento continham os primeiros seis e os últimos quatro dígitos dos cartões, datas de validade, identificadores de pagamento e tokens de cobrança recorrente. Não foi confirmada a exposição dos números completos dos cartões. Dados de senhas não constam das categorias de dados de usuários confirmadas pelo catálogo público.

O catálogo público identificou 865.336 endereços de e-mail únicos no conjunto de dados. O número de contas afetadas apresentado pelo catálogo se baseia nessa contagem verificada de e-mails, sem duplicatas; ele não deve ser interpretado como uma contagem definitiva de todas as pessoas afetadas pelo incidente.

A pesquisa original informou aproximadamente 23,4 milhões de registros de usuários, 13,6 milhões de registros de dispositivos, 2,6 milhões de registros de pagamentos e 58 milhões de registros de conexões. Esses números são contagens de linhas de tabelas diferentes. Um usuário pode aparecer em várias tabelas ou várias vezes em uma mesma tabela, portanto os números não podem ser somados para obter uma contagem de pessoas.

Em alguns países, o uso de VPN pode estar associado ao acesso a notícias, serviços de mensagens ou sites bloqueados. A combinação de e-mail, último IP observado, localização aproximada, dispositivo e horário de conexão pode permitir inferências sensíveis sobre quando uma determinada conta utilizou uma VPN.

Os dados parciais de cartões, por si só, não bastam para concluir uma compra online. Porém, combinados com um endereço de e-mail, histórico de pagamentos e informações sobre a assinatura, podem tornar mais convincentes os golpes que se passam por comunicações de bancos ou serviços de assinatura. Mensagens que oferecem suporte relacionado ao vazamento, reembolsos ou “verificação da conta” devem ser verificadas por meios independentes.

Ative a autenticação multifator na conta de e-mail associada, revise as sessões ativas e altere qualquer senha reutilizada em outros serviços. O site oficial da SplitVPN envia códigos de acesso por e-mail, o que torna o controle da caixa de entrada especialmente importante. Não aprove um código de acesso ou uma mensagem de redefinição que você não tenha solicitado.

Se você pagou pelo Tinkoff ou por outro provedor, acompanhe as movimentações do cartão e da assinatura para identificar cobranças desconhecidas. Caso encontre alguma, entre em contato com o banco pelo número oficial indicado no cartão. Uma mensagem que conhece seu e-mail, endereço IP ou informações sobre seu uso de VPN não é automaticamente legítima; nunca forneça um código de uso único, dados completos do cartão ou um documento de identidade em resposta.