Un VPN qui promettait « aucun log ni historique : nous ne stockons jamais vos données d’activité ou de connexion » se révèle en avoir stocké des dizaines de millions. Un acteur malveillant distribue actuellement une base de données SQL de 17 Go sur le forum cybercriminel Altenen, prétendument dérobée à SplitVPN, un service VPN russe anciennement connu sous le nom de NotVPN et commercialisé pour contourner la censure internet.

La fuite a été rapportée le 29 juillet 2026, et la base de données elle-même contient des enregistrements allant jusqu’au jour même du vol, ce qui signifie que la personne à l’origine de la fuite avait accès à un système actif et réellement utilisé, pas à une vieille sauvegarde.

Ce qui a été exposé

Selon un rapport de Security Affairs, basé sur les recherches de l’équipe de Mysterium, qui a obtenu une copie de la base de données et l’a vérifiée par rapport au dump brut, les chiffres se répartissent ainsi : environ 23,4 millions de comptes utilisateurs, 13,6 millions d’enregistrements d’appareils, 2,6 millions d’enregistrements de paiement, et 58 millions de logs de connexion.

Les logs de connexion se trouvent dans une table appelée deviceProxy, qui enregistre quel appareil s’est connecté à quel serveur, et exactement quand, près de 58 millions de fois, avec des horodatages allant de juin 2025 jusqu’au 21 juillet 2026, le jour du dump. Cela signifie que le service enregistrait encore activement les connexions au moment de la fuite, et non des enregistrements anciens issus d’un service à l’arrêt.

Recoupées avec la table des utilisateurs (emails de compte, dernières adresses IP connues) et la table des appareils (identifiants matériels), ces données sont suffisamment détaillées pour reconstituer qui s’est connecté, depuis où, à quel serveur et quand, pour des dizaines de millions de personnes. Les enregistrements de paiement incluent des numéros de carte masqués, des dates d’expiration et des jetons de facturation récurrente liés à la passerelle de paiement Tinkoff. Aucun numéro de carte complet n’a été exposé, mais le lien entre l’email d’une personne, son historique de paiement et un jeton de facturation récurrente suffit à causer de réels problèmes.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Pour être précis sur ce qui n’a pas été exposé

Il vaut la peine d’être précis ici, tant les gros titres de fuites de données ont tendance à tout mélanger sous « tout a fuité ». La table deviceProxy enregistre des connexions serveur, pas les sites web de destination visités. Il s’agit de métadonnées, des logs de connexion au sens strict, pas d’un historique de navigation complet de chaque site chargé par chaque utilisateur. Cette distinction compte, mais elle ne rend pas l’exposition mineure pour autant. Savoir à quel serveur une adresse email précise s’est connectée et exactement quand reste suffisant, surtout combiné aux données de compte et de paiement, pour dresser un portrait détaillé de l’usage VPN d’une personne sur plus d’un an.

Les numéros complets de carte bancaire n’ont pas non plus été exposés ; la base de données stocke des numéros de carte masqués (BIN plus les quatre derniers chiffres) plutôt que des numéros complets. Le risque se situe davantage dans les jetons de facturation récurrente et le lien entre un email, un historique de paiement et une personne réelle, que dans une fraude directe à la carte.

Pourquoi la base d’utilisateurs aggrave la situation

Le vendeur présente la base d’utilisateurs de SplitVPN comme concentrée en Russie, en Iran, en Inde et au Myanmar, des pays où les gens se tournent couramment vers un VPN spécifiquement pour contourner la censure d’État, accéder à des applications de messagerie bloquées, ou lire une presse indépendante. Pour cette population, un enregistrement qui fuite et relie une adresse email à une adresse IP et un horodatage n’est pas un désagrément abstrait pour la vie privée. C’est un document qui relie une personne réelle à l’acte de contourner les contrôles internet d’un État, désormais en circulation sur un forum criminel.

La base de données a aussi exposé une table d’administration avec cinq comptes opérateurs, des empreintes de mot de passe bcrypt, des rôles et un journal complet des actions administratives, ainsi que des tables pointant vers l’infrastructure de back-office utilisée pour provisionner des comptes App Store, la mécanique derrière la distribution d’une application VPN que la Russie retire activement des boutiques d’applications officielles.

Ce que ça prouve sur le marketing « no-logs »

La situation de SplitVPN illustre parfaitement l’écart entre une promesse marketing et une promesse vérifiable. Une déclaration « no-logs » sur le site d’un VPN n’est pas quelque chose qu’un utilisateur peut vérifier. C’est la parole du fournisseur, rien de plus, à moins qu’elle ne soit appuyée par un audit indépendant réellement mené par une société de sécurité sur l’infrastructure vivante du fournisseur. SplitVPN a fait la promesse la plus forte possible (« nous ne stockons jamais vos données d’activité ou de connexion ») sans rien derrière, apparemment depuis la création du service.

C’est exactement pourquoi nous traitons une politique no-logs auditée indépendamment comme une catégorie distincte et fortement pondérée dans nos comparatifs de VPN no-logs audités, plutôt que de prendre pour argent comptant les déclarations d’un fournisseur. Pour comprendre ce qui constitue vraiment une preuve d’une politique no-logs, par rapport à une simple ligne dans une politique de confidentialité, notre guide sur comment vérifier la politique no-logs d’un VPN détaille la différence entre un audit, une affaire judiciaire et une déclaration non vérifiée.

SplitVPN et NotVPN n’apparaissent nulle part dans notre tableau comparatif. Aucun des fournisseurs que nous suivons n’a fait une déclaration « zéro logs » aussi précise, ni aussi complètement contredite par une base de données ayant fuité, ce qui mérite d’être noté en soi : les VPN qui se soumettent à des audits indépendants répétés, nommés et publiés (le sixième audit de NordVPN par Deloitte Lituanie, le quatrième audit et la certification SOC 2 de ProtonVPN, le troisième audit Deloitte Roumanie de PIA) font une déclaration qu’un tiers est réellement allé vérifier, pas juste une promesse sur une page d’accueil.

Comment ça s’inscrit dans une tendance plus large

Ce n’est pas un incident isolé dans l’industrie du VPN, ça fait partie d’un schéma récurrent où les fournisseurs les plus disposés à faire des promesses de confidentialité absolues et invérifiables se révèlent être ceux qui ont le moins de preuves derrière. Notre couverture de l’opération Saffron, où Europol a démantelé un service VPN utilisé par des groupes de ransomware, et les questions persistantes autour de l’actionnariat de Kape Technologies sur plusieurs marques VPN grand public pointent vers la même leçon de fond : la fiabilité d’un VPN se mesure à ce qui peut réellement être vérifié, pas à ce qui est écrit sur sa page d’accueil.

Les fournisseurs qui se soumettent régulièrement à des audits indépendants datés et publiés nommément, et qui publient des rapports de transparence détaillant précisément combien de demandes des forces de l’ordre ils ont reçues et combien ils y ont répondu, font une déclaration falsifiable. Le rapport de transparence de ProtonVPN de juillet 2026, par exemple, documentait 458 demandes et zéro log transmis, une déclaration que n’importe qui peut vérifier au regard de l’historique d’audit de ProtonVPN. SplitVPN a fait une déclaration plus forte encore sans rien derrière, et c’est exactement cette différence entre les deux situations qui justifie de prêter attention aux audits en premier lieu.

Que faire si vous avez utilisé NotVPN ou SplitVPN

Si vous ou quelqu’un que vous connaissez a utilisé ce service, considérez l’adresse email et l’IP associées comme compromises. Changez les mots de passe partout où cet email a été réutilisé, activez l’authentification à deux facteurs partout où c’est disponible, et gardez en tête que les métadonnées de connexion reliant votre identité à un serveur et un horodatage précis existent désormais en dehors du contrôle du fournisseur, sur un forum criminel, pas juste dans une base de données ayant fuité et restée inutilisée.

Notre verdict

Cette fuite rappelle que « no-logs » ne vaut que ce que vaut la vérification derrière. Un fournisseur qui conserve des logs de connexion détaillés tout en promettant « une confidentialité garantie à 100 % » n'est pas un cas rare, c'est ce qui arrive par défaut quand personne ne vérifie. Restez sur des VPN avec un audit no-logs indépendant, nommé et récent, et traitez tout fournisseur incapable d'en présenter un comme faisant une déclaration que vous n'avez aucun moyen de vérifier.

Continuer la lecture : NordVPN passe son sixième audit no-logs et Comment vérifier la politique no-logs d’un VPN