Gratis VPN providers lekken persoonlijke informatie van meer dan 21 miljoen van hun gebruikers. De database met gebruikersgegevens werd onlangs ontdekt door CyberNews en brengt mogelijk een zeer groot privacy- en veiligheidsrisico met zich mee. 

De providers die slachtoffer zijn van het enorme datalek zijn een paar van de populairste gratis Android VPNs – SuperVPN (meer dan 10,000,000 installaties op Google Play), GeckoVPN (meer dan 10,000,000 installaties), en ChatVPN (meer dan 50,000 installaties). De database met de datum 24 februari wordt momenteel tegen een onbekende prijs verkocht op schaduw forums.

De oorzaak van het lek is waarschijnlijk nalatigheid van de provider bij het loggen van gebruiksinformatie, en het niet nemen van de nodige voorzorgsmaatregelen om deze gegevens veilig te stellen. De VPNs sloegen niet alleen gebruiksinformatie op, ze hielden bovendien standaard server login informatie aan wat ervoor zorgde dat er heel makkelijk binnen te komen was.

Wat is de schade?

Dit is niet de eerste keer dat gratis VPN providers verantwoordelijk zijn voor grote dataleks.

Met name SuperVPN had in juli 2020 al met een flink lek te maken. Het lijkt er echter op dat providers hier geen les uit getrokken hebben en geen extra maatregelen genomen hebben om de veiligheid te verbeteren.

Deze keer is het lek niet alleen groter, maar bevat het ook veel meer gevoelige data. De anonieme poster die het bericht bracht zegt dat de gelekte database onder andere de volgende gegevens bevat:

• E-mailadressen
• Gebruikersnamen
• Volledige namen van de gebruikers
• Land van herkomst van de gebruiker
• Willekeurig gegenereerde wachtwoorden
• Betaaldata
• Abonnementstatus en vervaldatum

Terwijl alle gelekte informatie gevoelig is, moet men zich het meeste zorgen maken over de willekeurig gegenereerde wachtwoorden. Deze kunnen gelinkt worden aan Google Play accounts, wat ervoor kan zorgen dat financiële informatie van gebruikers in gevaar komt.

Bovendien bevat het lek informatie over:

• ID’s en serienummers van devices van gebruikers
• IMSI nummers van devices
• Telefoontypes en fabrikanten

Potentiële aanvallers kunnen deze informatie gebruiken voor hun malafide praktijken, zoals een man-in-the-middle-aanval (MITM-aanval) om toegang te krijgen het device van de gebruiker en financiële informatie.

Ondanks dat er nog gediscussieerd wordt over of het lek daadwerkelijk bestaat, lijken de voorbeelddata in de post legitiem. Als het lek daadwerkelijk bestaat, dan is dat een flinke deuk in de geloofwaardigheid van deze gratis VPN providers en bovendien een groot gevaar voor hun 21 miljoen gebruikers.

Wat nu?

SuperVPN, GeckoVPN, en ChatVPN hebben nog geen verklaring gegeven naar aanleiding van het verhaal over het lek. Maar als de informatie correct is dan betekent dit dat de VPN providers veel meer data loggen dan dat ze in hun privacy policies beloven.

Heb je een van deze (of een andere gratis) VPN app gebruikt dan raden we je aan het volgende te doen:

1. Check of je persoonlijke data is gelekt;
2. Verander je online wachtwoorden, het liefst door gebruik te maken van een wachtwoord generator;
3. Deinstalleer de gratis VPN die je hebt gebruikt en neem een abonnement bij een provider die je online veiligheid kan garanderen. 

Online veiligheid en privacy zijn een steeds grotere zorg en de meeste gratis VPN providers lijken niet in staat je veiligheid te waarborgen.

Neem vandaag nog de nodige voorzorgsmaatregelen om ervoor te zorgen dat je morgen niet in zo’n enorm datalek belandt.