Mullvad VPN a reçu un mandat de données – n’en avait aucun à partager

Le service VPN populaire Mullvad a déclaré avoir reçu un mandat de recherche de données de la police suédoise. Cependant, la société a démontré sa politique de non-journalisation et n’a pu fournir aucun détail aux forces de l’ordre.

Mullvad VPN a divulgué la réception d’un mandat de recherche de données

Selon un récent poste de Mullvad, le fournisseur VPN a récemment reçu un mandat de perquisition pour les données d’un client.

Plus précisément, ils ont reçu le mandat le 18 avril 2023 du Département des opérations nationales (NOA) de la police suédoise lorsque 6 policiers ont visité les installations du fournisseur de VPN. Les agents avaient l’intention de fouiller les locaux – en particulier les ordinateurs – à la recherche des données du client recherché. Ils prévoyaient même de saisir les ordinateurs respectifs transportant les données souhaitées.

Cependant, comme le prétend Mullvad dans son politique de confidentialité, l’entreprise n’enregistre aucune donnée utilisateur. (Mullvad n’enregistre pas les noms de compte des utilisateurs, même à des fins de maintenance de compte. Au lieu de cela, il génère des identifiants aléatoires qui ne renvoient pas aux informations réelles de l’utilisateur.)

Ainsi, conformément à cette politique (et pratique), Mullvad a tenté de convaincre les officiers. Comme indiqué dans leur message,

Nous avons fait valoir qu’ils n’avaient aucune raison de s’attendre à trouver ce qu’ils cherchaient et que toute saisie serait donc illégale en vertu de la loi suédoise.

Le service a même démontré l’existence pure et simple de zéro journal. En conséquence, les agents n’ont saisi aucun système. Cependant, même s’ils le faisaient, Mullvad déclare qu’ils ne pourraient récupérer aucune information sur les clients.

L’entreprise confirme qu’il s’agit du premier incident de réception de mandats de recherche de données au cours des 14 années de Mullvad.

Pourquoi cette divulgation est-elle importante ?

Pour les VPN sans journaux, le plus grand test de leur authenticité est lorsqu’on leur demande (par la loi) de transmettre les données des utilisateurs, et ils échouent. (Peut-être le seul échec qui ajoute à la crédibilité d’un service VPN.) C’est parce que toute entreprise ne peut nier avoir remis quelque chose aux forces de l’ordre que si elle ne le possède littéralement pas du tout.

Les utilisateurs optent pour des outils comme les VPN pour protéger leur vie privée en ligne. Ils font confiance aux fournisseurs de services avec leurs données uniquement pour éviter une surveillance intrusive. Ainsi, même si un VPN partage les données d’un criminel présumé avec quelqu’un, cela prouve toujours que le service enregistre les informations de ses clients. Par conséquent, chaque client du VPN sent que sa vie privée est en jeu. Et tout l’effort d’utilisation de tels outils est vain.

Avec ce mandat de perquisition, Mullvad a démontré la validité de sa politique de non-journalisation. Et ce n’est pas la première entité de ce type depuis Private Internet Access (PIA) a également démontré la même dans le passé.

Néanmoins, PureVPN est un exemple où ses actions contredisent ses affirmations. Bien qu’il prétende n’enregistrer aucune donnée, le service a remis les identifiants d’un utilisateur cible au FBI en 2017. Alors qu’ils avaient l’intention d’aider la LEA, cet acte a reçu des réactions négatives de la part de la communauté de la cybersécurité. Finalement, PureVPN a amélioré ses politiques et a fait l’objet d’audits indépendants pour valider sa déclaration de non-journalisation.