vpnMentor：香港7家免费VPN外泄用户资讯

专门评测全球VPN服务的vpnMentor上周揭露，有7家总部位于香港的免费VPN服务所使用的服务器缺乏安全保护，使得超过2,000万名用户的资讯外泄，研究人员认为，这些VPN服务皆来自同一个开发者，且所有服务都标榜不纪录用户资讯，却有用户资讯在未设防的服务器上曝光。

这7个VPN服务为UFO VPN、FAST VPN、Free VPN、Super VPN、Flash VPN、Secure VPN与Rabbit VPN，它们把用户资料存放在同一个ElasticSearch服务器上，而且都来自于Dreamfii HK Limited，只是用了不同的名称，根据个别服务所公布的数据，它们总计吸引了超过2,000万名使用者。

研究人员在该ElasticSearch服务器上发现了1.2TB的资料量，内含超过10亿笔纪录，涵盖活动纪录、使用者的姓名/电子邮件/家中地址、比特币付款资讯、支援讯息、个人装置资讯、技术规模、账号资讯、Paypal API连结，甚至还有明文密码。

vpnMentor指出，他们造访了上述每个VPN服务的官网，发现这些服务都强调提供军事等级的安全功能，而且采用“零纪录”政策来捍卫使用者的资讯安全，但从该外泄服务器来看却完全相反，这些服务不只纪录了使用者的个人资讯、浏览行为，还直接储存了明文密码。

vpnMentor是在今年7月5日发现该外泄数据库，同一天便开始个别通知这些VPN服务供应商，8号通知了香港电脑网络危机处理暨协调中心（HK CERT），而数据库则一直到15日才被关闭。

有趣的是，UFO VPN回应时指出，这是因为疫情造成人员变动，未发现防火墙规则上的臭虫才造成数据库遭骇，而且该公司并未搜集使用者的地址，而且所存放的明文密码也非用户账号的登入密码，而是连结VPN服务器的权杖，然而，vpnMentor所搜集的证据却显示，事情并非UFO VPN所说的这样。

研究人员建议上述VPN服务的使用者，应尽速更换到其它更安全的服务，也列出10个既免费又安全的VPN服务供使用者参考，还提醒那些资料被曝光的VPN用户要小心自己被诈欺、勒索、攻击、被骇，或是被逮捕及迫害。