VPN-huijaus: Kuka oikeastaan omistaa "turvallisen" yhteytesi?

Maksat VPN-palvelusta suojataksesi yksityisyytesi. Luotat siihen, ettei kukaan näe, mitä teet verkossa. Mutta entä jos VPN:si takana oleva yritys on levittänyt aiemmin adwarea, sen omistaa tuomittu huijari tai sitä viime kädessä hallitsee vieras valtio? Tervetuloa VPN-teollisuuden synkimpiin salaisuuksiin.

Tämä artikkeli perustuu todennettaviin faktoihin, nimettyihin lähteisiin ja julkisiin asiakirjoihin. Kaiken, minkä väitän, voit itse tarkistaa. Olen seurannut omistusketjuja, kaivellut yritysrekistereitä ja lukenut oikeudenkäyntiasiakirjoja. Se mitä löysin, on pahempaa kuin luulin.

Kaikki alkoi The Pirate Baysta

Ymmärtääksemme, miksi miljoonat ruotsalaiset käyttävät tänään VPN:ää, meidän on palattava vuoteen 2006. Toukokuun 31. päivänä 65 ruotsalaista poliisia tunkeutuu erääseen tukholmalaiseen datakeskukseen ja takavarikoi The Pirate Bayn palvelimet. Isku tehdään Yhdysvaltain Tukholman-suurlähetystön voimakkaan painostuksen jälkeen, mikä vahvistui myöhemmin WikiLeaksin vuotamista salaisista amerikkalaisista suurlähetystösähkeistä. Suurlähetystö kuvaili iskua "merkittäväksi voitoksi" immateriaalioikeustyölleen Ruotsissa.

Mutta vasta vuoden 2009 oikeudenkäynti sai ihmiset todella reagoimaan. Käräjäoikeuden puheenjohtaja Tomas Norström tuomitsi neljä syytettyä vankeuteen ja vahingonkorvauksiin. Pian tuomion jälkeen Ruotsin radion P3 Nyheter paljasti, että Norström oli hallituksen jäsen Ruotsin tekijänoikeusyhdistyksessä (SFU) ja Ruotsin teollisoikeuksien yhdistyksessä (SFIR). Samoissa järjestöissä, joissa istuivat asianomistajapuolen asianajajat: Henrik Pontén Antipiratbyrånista, elokuvateollisuutta edustanut Monique Wadsted ja Peter Danowsky IFPI:stä.

Tuomari istui siis samoissa eturyhmissä kuin asianajajat, joihin nähden hänen olisi pitänyt olla puolueeton. Tästä huolimatta Svean hovioikeus katsoi kesäkuussa 2009, ettei Norström ollut esteellinen – mutta moitti häntä siitä, ettei hän ollut ilmoittanut sidonnaisuuksistaan ennen oikeudenkäyntiä. Pikantti yksityiskohta: lautamiesten valinnan aikana Norström oli itse hylännyt erään henkilön juuri siksi, että tällä oli yhteyksiä tekijänoikeusjärjestöihin.

Se, että Svean hovioikeus päätti olla julistamatta tuomiota pätemättömäksi näistä yhteyksistä huolimatta, paljasti jotain syvempää: perustavanlaatuisen puutteen ruotsalaisessa oikeusturvassa. Useimmissa oikeusjärjestelmissä tuomari, jolla on dokumentoituja siteitä asianomistajapuolen järjestöihin, olisi julistettu automaattisesti esteelliseksi. Ruotsissa se ei riittänyt. Hovioikeuden päättely – että yhteydet olivat tosin sopimattomia mutta eivät riittäviä muodostaakseen esteellisyyden – loi pelottavan ennakkotapauksen. Jos tuomari voi istua samoissa lobbausryhmissä kuin vastapuolen asianajajat ilman seurauksia, missä silloin kulkee raja? Kysymys on yhä vailla vastausta. Esteellisyyssääntöjen vahvistamiseksi ei ole sen jälkeen toteutettu mitään poliittisia uudistuksia. Oikeusturva teknologiaan liittyvissä asioissa pysyy ratkaisemattomana ongelmana, johon ruotsalaiset poliitikot vaikuttavat olevan täysin haluttomia tarttumaan.

Tähän se ei lopu. Tapauksen tutkija, poliisi Jim Keyzer, jätti poliisin pian sen jälkeen, kun tutkinta päättyi vuonna 2008 – ryhtyäkseen töihin Warner Brothersille, yhdelle niistä elokuvayhtiöistä, jotka olivat asianomistajia. Sydsvenskanin mukaan Keyzer oli jo aloittanut työt studiolle tutkinnan vielä ollessa kesken.

Oikeudenkäynti horjutti teknologiasta kiinnostuneiden ruotsalaisten luottamusta oikeuslaitokseen. Tunne oli selvä: mahtavat ulkomaiset intressit pystyivät vaikuttamaan ruotsalaiseen oikeusprosessiin. Ratkaisu monille? Hankkia VPN. Kukaan ei enää pystyisi näkemään, mitä he tekivät verkossa. Mutta juuri se oli ongelma.

Kape Technologies: Adwaresta VPN-imperiumiin

Puhutaanpa yrityksestä, joka omistaa nykyään neljä maailman suosituimmista VPN-palveluista: ExpressVPN, CyberGhost, Private Internet Access (PIA) ja ZenMate. Yritys on nimeltään Kape Technologies. Mutta maaliskuuhun 2018 asti sen nimi oli Crossrider.

Crossrider oli pahamaineinen tietoturva-alalla. Yritys kehitti työkaluja selainlaajennusten luomiseen, jotka injektoivat mainoksia käyttäjien vierailemille verkkosivuille – klassista adwarea. University of California Berkeleyn ja Googlen yhteinen tutkimus tunnisti Crossriderin vuonna 2015 yhdeksi suurimmista mainosten injektoijista, mukaan lukien pahamaineinen SuperFish.

Yritys vaihtoi nimensä Kape Technologiesiksi vuonna 2018 juuri päästäkseen eroon tästä taustasta. Heidän omin sanoin: "vahvan yhteyden vuoksi yhtiön aiempaan toimintaan". Sen jälkeen he ovat ostaneet VPN-palveluja kiihtyvään tahtiin:

• 2017: CyberGhost VPN – noin 10 miljoonaa dollaria

• 2018: ZenMate VPN – noin 5 miljoonaa dollaria

• 2019: Private Internet Access (PIA) – 127 miljoonaa dollaria

• 2021: ExpressVPN – 936 miljoonaa dollaria

Mutta Kape ei ostanut vain VPN-palveluja. Maaliskuussa 2021 se hankki Webselenesen – vpnMentorin ja Wizcasen, kahden maailman suurimman VPN-arvostelusivuston, emoyhtiön – 149 miljoonalla dollarilla. VPN:ää myyvä yritys siis omistaa sivustot, jotka arvostelevat VPN:iä. Arvaa, mitkä palvelut yhtäkkiä nousivat sijoitusten kärkeen?

Hankinnan jälkeen NordVPN ja Surfshark katosivat vpnMentorin kärkisijoilta. Sen sijaan CyberGhost ja Private Internet Access kiipesivät sijoille 2 ja 3. Sanaa "Kape" ei mainita missään tuotesivuilla. Heidän omistustietonsa on haudattu alaviitteisiin, joita valtaosa kävijöistä ei koskaan näe.

Mies kulissien takana: Teddy Sagi

Kape Technologiesin omistaa Unikmind, holdingyhtiö, jonka ainoa omistaja on israelilais-kyproslainen miljardööri Teddy Sagi. Forbes arvioi hänen omaisuutensa 7,1 miljardiin dollariin – Israelin neljänneksi rikkain henkilö. Vuonna 1996 Sagi tuomittiin Israelissa petoksesta ja lahjusrikoksesta manipuloituaan valtionobligaatioiden hintaa Israelin keskuspankin huutokaupassa. Hän osti 20 miljoonan sekelin arvosta obligaatioita ja sai niiden arvon nousemaan kuusi prosenttia minuutissa epäasiallisella vaikuttamisella. Hänet tuomittiin yhdeksän kuukauden vankeuteen.

Suoritettuaan tuomionsa Sagi perusti muun muassa Playtechin, yhden maailman suurimmista verkkopeliohjelmistojen toimittajista. Hänet on myös yhdistetty 16 offshore-yhtiöön Panama Papersin kautta. Tämä on henkilö, joka viime kädessä hallitsee "turvallista" VPN-yhteyttäsi, jos käytät ExpressVPN:ää, CyberGhostia, PIA:ta tai ZenMatea.

ExpressVPN ja vakoiluohjelma, joka hakkeroi toimittajia

Vuonna 2021 paljastui, että ExpressVPN:n silloinen CIO (Chief Information Officer) Daniel Gericke oli yksi kolmesta entisestä amerikkalaisesta tiedusteluagentista, jotka osallistuivat Project Raveniin – salaiseen valvontaohjelmaan, jota pyöritettiin Arabiemiraattien monarkian lukuun. Projekti kehitti Karma-nimisen hakkerointityökalun, joka pystyi ottamaan matkapuhelimet haltuun ilman käyttäjän toimenpiteitä.

Karmaa käytettiin ihmisoikeusaktivistien, toimittajien ja kilpailevien hallitusten hakkerointiin. Gericke teki sovintosopimuksen (Deferred Prosecution Agreement) Yhdysvaltain oikeusministeriön kanssa ja sai 335 000 dollarin sakot. ExpressVPN myönsi tienneensä Gericken taustasta mutta piti hänet silti palveluksessaan. Edward Snowden kyseenalaisti julkisesti, kuinka VPN-yritys saattoi palkata henkilön, jolla oli tällainen tausta.

Tämä on yritys, jolle miljoonat ihmiset uskovat yksityisimmän internetliikenteensä.

Facebook ja VPN-ansa: Project Ghostbusters

VPN-väärinkäytökset eivät tule vain hämärien yritysten suunnalta. Vuonna 2013 Facebook osti israelilaisen startup-yrityksen Onavon 120 miljoonalla dollarilla. Onavoa markkinoitiin "datan säästämiseen" tarkoitettuna ja yksityisyyteen keskittyvänä työkaluna. Todellisuudessa asennus antoi Facebookille täyden pääsyn käyttäjien digitaaliseen toimintaan – selaushistoria, sovellusten käyttö ja aikaleimat kerättiin hiljaisuudessa.

Vuonna 2016 Facebook käynnisti sisäisesti "Project Ghostbusters" -hankkeen – salaisen projektin, jonka tarkoituksena oli salakuunnella ja purkaa Snapchat-käyttäjien ja Snapchatin palvelinten välistä verkkoliikennettä. Mark Zuckerberg kirjoitti sähköpostissa, että koska Snapchatin liikenne oli salattua, Facebookilla "ei ollut niistä analyticsiä", ja ohjeisti johtajiaan "löytämään uuden tavan saada luotettavaa analyticsiä". Ratkaisu? Onavon VPN-teknologia, joka suoritti SSL man-in-the-middle -hyökkäyksiä.

Samaa menetelmää kohdistettiin myöhemmin YouTubeen ja Amazoniin. Vuonna 2019 TechCrunch paljasti, että Facebook oli lisäksi maksanut teini-ikäisille – jotkut jopa 13-vuotiaita – jopa 20 dollaria kuukaudessa Onavon asentamisesta, mikä antoi Facebookille täyden pääsyn kaikkeen heidän verkkotoimintaansa. Facebook sulki Onavon mutta käynnisti välittömästi uuden ohjelman nimellä "Facebook Research", sisäisesti nimeltään Project Atlas, samalla toiminnolla.

Kiinan armeija VPN-sovelluksessasi

Vuonna 2019 VPNpron tutkimus paljasti, että lähes kolmasosa maailman suosituimmista VPN-palveluista oli salaa kiinalaisten yritysten omistuksessa. Yhteensä tunnistettiin 105 VPN-tuotetta, joita pyöritti vain 24 yritystä – ja omistusrakenteet oli tarkoituksellisesti kätketty peiteyhtiöiden kerrosten taakse.

Kiinalainen yritys Innovative Connecting omistaa salaa vähintään 10 VPN-tuotetta, joilla on yhteensä 86 miljoonaa asennusta, muun muassa Turbo VPN:n ja Snap VPN:n. Omistaja? Lemon Seed Technology Ltd, rekisteröity Caymansaarille, joka puolestaan päätyi Qihoo 360:n omistukseen – yritys, jonka Yhdysvaltain kauppaministeriö on listannut "kiinalaiseksi sotilasyritykseksi" ja jolle asetettiin pakotteita kesäkuussa 2020 turvallisuussyistä.

Vuonna 2020 pelot vahvistuivat, kun seitsemän Hongkongiin sijoittuvaa VPN-palvelua – UFO VPN, FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN ja Rabbit VPN – vuosi 1,2 teratavua dataa yli 20 miljoonalta käyttäjältä. Kaikki jakoivat saman infrastruktuurin. Data oli avoimesti saatavilla suojaamattomalla Elasticsearch-palvelimella ja sisälsi: nimiä, sähköpostiosoitteita, kotiosoitteita, salasanoja selväkielisinä, Bitcoin- ja PayPal-maksutietoja, vierailtuja verkkosivuja ja yhteyslokeja. Kaikilla seitsemällä palvelulla oli ehdoissaan "tiukka no-log-käytäntö".

Epämiellyttävä johtopäätös: täydellinen valvontaverkko

Tässä haluan, että pysähdyt ja näet kokonaisuuden. Mieti seuraava ketju läpi:

1. 2006: Mahtavat intressit painostavat ja saavat Ruotsin iskemään tiedostonjakoa vastaan. Oikeudenkäynnin tuomari istuu samoissa järjestöissä kuin syyttäjäpuolen asianajajat. Poliisitutkija siirtyy suoraan yhdelle valittaneista elokuvayhtiöistä.

2. Miljoonat ihmiset, eivät vain Ruotsissa vaan maailmanlaajuisesti, menettävät luottamuksensa ja hankkivat VPN:n "suojellakseen itseään".

3. VPN-teollisuus räjähtää. Satoja palveluja ilmestyy, markkinoituina "no-log"- ja "anonyymeinä".

4. Kulissien takana näitä palveluja omistavat yritykset, joilla on yhteyksiä Israeliin, Kiinaan, Venäjään ja Yhdysvaltoihin – usein peiteyhtiöiden kerrosten kautta, jotka tekevät mahdottomaksi nähdä, kuka oikeasti hallitsee palvelimia.

5. Myös ne sivustot, joiden on määrä tarkastaa ja arvostella VPN-palvelut, ovat samojen niitä myyvien yritysten omistuksessa.

Lopputulos? Sen sijaan, että internetliikenteesi kulkisi suoraan sinulta verkkosivuille – missä sitä suojaa HTTPS-salaus – kanavoit vapaaehtoisesti KAIKEN sellaisten yritysten hallitsemien palvelinten kautta, joista et tiedä mitään. Olet käytännössä vaihtanut operaattorisi (joka noudattaa Ruotsin lakeja) ulkomaiseen yritykseen, joka ei ehkä noudata mitään lakeja lainkaan.

En sano, että tämä oli väistämättä tietoinen strategia ensimmäisestä päivästä lähtien. Mutta jos tiedustelupalvelu haluaisi suunnitella järjestelmän internetinkäyttäjien massavalvontaan, jotka aktiivisesti yrittävät välttää valvontaa – no, silloin se näyttäisi juuri tältä.

Arvostelusivustot: Sudet vartioivat lampaita

"Mutta tarkistin arvostelut ennen kuin valitsin VPN:n!" Niin, juuri sen varaan he laskevat. Kape Technologies omistaa vpnMentorin (noin 3,5 miljoonaa kävijää kuukaudessa) ja Wizcasen (noin 3,3 miljoonaa kävijää kuukaudessa) Tel Avivissä toimivan tytäryhtiön Webselenesen kautta. Hankinta maksoi 149 miljoonaa dollaria – enemmän kuin Kape maksoi CyberGhostista, ZenMatesta ja PIA:sta yhteensä.

Se kertoo kaiken, mitä sinun tarvitsee tietää siitä, mitä nämä sivustot oikeasti merkitsevät Kapelle: eivät tarkastustyökaluja vaan markkinointikanavia. Kun "vertailet" VPN-palveluja vpnMentorissa, vertailet käytännössä tuotteita, jotka kaikki omistaa sama yritys.

Eikä kyse ole vain Kapesta. VPN-alalta puuttuu täysin sääntely ja riippumaton tarkastus. VPN-palveluja suosittelevat YouTuberit saavat usein tuhansia dollareita videota kohti sponsorirahaa – mainitsematta markkinoimiensa palvelujen takana olevia omistusrakenteita. TechRadar on raportoinut siitä, kuinka vaikuttajien VPN-kampanjat voivat itsessään muodostaa tietoturvariskin.

NordVPN ja Surfshark: Sama omistaja, eri brändit

NordVPN, luultavasti tunnetuin VPN-palvelu aggressiivisen YouTube-markkinoinnin ansiosta, ja Surfshark yhdistyivät vuonna 2022 emoyhtiö Cyberspace BV:n alle. Ne puolestaan omistaa Liettuassa perustettu Nord Security. Historiallisesti NordVPN on yhdistetty Tesonetiin, liettualaiseen teknologiayritykseen, ja se on rekisteröity Tefincom S.A:n kautta Panamassa.

NordVPN ja Surfshark väittävät olevansa riippumattomia ja käyneensä läpi PricewaterhouseCoopersin ulkoiset tarkastukset. Mutta tosiasia pysyy: kaksi suosituimmista "vaihtoehtoisista" VPN-valinnoista on sama yritys. Illuusiota kilpailusta ja valinnanvapaudesta ylläpidetään erillisten brändien avulla.

Omistuskartta: Kuka hallitsee mitäkin?

Tässä on koonti suurimmista VPN-palveluista ja niiden todellisista omistajista, julkisiin yritystietoihin perustuen:

Kape Technologies (Israel/Kypros, Teddy Sagin kautta): ExpressVPN, CyberGhost, Private Internet Access, ZenMate. Lisäksi arvostelusivustot vpnMentor ja Wizcase.

Nord Security / Cyberspace BV (Liettua/Alankomaat): NordVPN, Surfshark, Atlas VPN.

Aura/Pango (Israel/USA): Hotspot Shield, Betternet, Touch VPN, VPN360.

Innovative Connecting / Qihoo 360 (Kiina, Caymansaarten kautta): Turbo VPN, Snap VPN, VPN Proxy Master ja vähintään seitsemän muuta sovellusta, joilla on yhteensä 86 miljoonaa asennusta. Yhdysvaltain kauppaministeriö on listannut Qihoo 360:n kiinalaiseksi sotilasyritykseksi.

Gaditek (Pakistan): PureVPN.

Huomaa kaava: useimmat suositut VPN-palvelut voidaan jäljittää takaisin Israeliin, Kiinaan, Liettuaan tai Yhdysvaltoihin. Läpinäkyvyys vaihtelee valtavasti – jotkut ovat täysin avoimia omistuksestaan, toiset piiloutuvat peiteyhtiöiden taakse Caymansaarille, Panamaan tai Brittiläisille Neitsytsaarille.

Poikkeus: Mullvad VPN

Haluan olla selvä: tämä artikkeli ei ole mainos millekään VPN:lle. Mutta taustatutkimuksessa oli mahdotonta olla huomaamatta yhtä poikkeusta. Mullvad VPN AB:n, joka toimii Göteborgissa, omistavat 100 % perustajat Fredrik Strömberg ja Daniel Berntsson emoyhtiö Amagicom AB:n kautta. Ei holdingyhtiöitä, ei peiteyhtiöitä, ei ulkomaisia sijoittajia.

Mullvad on käynyt läpi riippumattomia tietoturvatarkastuksia muun muassa Cure53:lta ja NCC Groupilta. Mutta puhuvin todiste tuli 18. huhtikuuta 2023, kun Ruotsin poliisin kansallinen operatiivinen osasto (NOA) teki kotietsinnän Mullvadin toimistossa Göteborgissa kotietsintämääräyksellä takavarikoidakseen asiakasdataa sisältäviä tietokoneita. Mullvad pystyi osoittamaan, että käytäntönsä mukaisesti tällaista dataa ei ollut olemassa. Poliisi lähti takavarikoimatta mitään.

Mullvad hyväksyy käteismaksun postitse, ei vaadi sähköpostia rekisteröitymisen yhteydessä ja julkaisee lähdekoodinsa avoimesti. Heidän liiketoimintamallinsa on yksinkertaisin mahdollinen: 5 euroa kuukaudessa, ei alennusta pidemmistä tilauskausista, ei "Black Friday -tarjouksia". He käyttävät markkinointiin käytännössä nollaa. Se on itsessään merkki – yrityksillä, joiden ei tarvitse myydä kovaa, ei yleensä ole mitään salattavaa.

Tarvitsetko edes VPN:ää?

Tämä on kysymys, jota VPN-teollisuus ei missään nimessä halua sinun esittävän. Useimmissa arkitilanteissa: ei, luultavasti et. Sen jälkeen kun HTTPS:stä tuli standardi käytännössä kaikilla verkkosivuilla (vihreä riippulukkokuvake), liikenteesi on jo salattua. Operaattorisi näkee, millä verkkotunnuksilla vierailet, mutta ei sitä, mitä niillä teet.

VPN voi olla perusteltu, jos sinä:

• Olet avoimessa wifi-verkossa (kahvila, lentokenttä, hotelli)

• Asut maassa, jossa on internetsensuuria

• Olet toimittaja, aktivisti tai ilmiantaja, johon kohdistuu todellisia uhkia

• Haluat päästä käsiksi maantieteellisesti rajoitettuun sisältöön (suoratoisto muista maista)

Mutta tavalliseen surffailuun, sähköpostiin ja sosiaaliseen mediaan? Vaihdat käytännössä yhden valvojan (operaattorisi, joka noudattaa Ruotsin lakia) toiseen (VPN-yritys, joka ei ehkä noudata yhtäkään lakia). Se ei ole automaattisesti parannus.

Mitä voit tehdä

Jos kuitenkin haluat käyttää VPN:ää, tarkista ainakin nämä asiat:

1. Kuka omistaa yrityksen? Seuraa omistusketjua koko matkan. Jos se päättyy peiteyhtiöön Caymansaarilla – juokse.

2. Missä palvelimet sijaitsevat? Jos vastaus on "emme voi kertoa", sinulla on jo vastauksesi.

3. Ovatko he käyneet läpi riippumattomia tarkastuksia? Eivät itse raportoituja vaan kolmannen osapuolen yritysten, kuten Cure53:n, NCC Groupin tai PricewaterhouseCoopersin, tekemiä.

4. Kuka arvostelee heitä? Jos arvostelusivuston omistaa VPN-yritys, se ei ole riippumaton.

5. Onko koodi avointa? Open source -asiakasohjelmat tarkoittavat, että riippumattomat tutkijat voivat tarkastaa koodin.

Ja tärkeintä: ole skeptinen. Älä paranoidi, mutta skeptinen. Jos yritys käyttää miljoonia YouTube-sponsorointiin ja affiliate-sivustoihin vakuuttaakseen sinut siitä, että sinun "täytyy" hankkia heidän palvelunsa – kysy itseltäsi miksi. Totuus on, että useimmat VPN-yritykset tienaavat enemmän keräämällä ja myymällä dataa sinusta kuin kuukausittaisesta tilausmaksustasi.

Lähteet ja lisälukemista

• Pirate Bay -oikeudenkäynti: Wikipedia (sv), SVT Nyheter, TorrentFreak

• Kape Technologies: CyberInsider, The Register

• ExpressVPN/Project Raven: Cybernews, TechRadar

• Facebook/Onavo/Ghostbusters: TechCrunch

• Kiinalaiset VPN-omistajat: Top10VPN, SecurityAffairs

• Vuoden 2020 VPN-datavuoto: WeLiveSecurity, The Register

• Arvostelusivustot ja omistus: CyberInsider, VPNpro

• Mullvadin poliisiratsia: Wikipedia (en), Mullvad blogg

– Emma Bergqvist