全球知名的加密 VPN 服务 NordVPN 近日证实，位于芬兰数据中心内的服务器，曾遭外部人士非法存取，但因为 NordVPN 采行“无日志纪录”政策，所以没有任何用户账号、密码与个人资料储存在服务器并外泄，但攻击者有可能透过拦截特定流量，明白使用者正在浏览哪些网站。
NordVPN 指出，2018 年 3 月他们发现位于芬兰的 VPN 服务器出现安全漏洞，主因在于他们租用的数据中心，服务提供者为服务器安装远端控制软件，但却没有告知 NordVPN，因此造成安全风险，使任意外部人员都有机会透过该软件，存取 NordVPN 租用的服务器。
无日志纪录立功，骇客获知资讯有限
由于 NordVPN 主力是保障用户，透过 VPN 上网以维护安全隐私，所以服务器皆采用“无日志纪录”政策，记录使用者登入账号、密码与任何一切活动的日志，都不会储存于服务器，因此使用者资料不可能外泄。
NordVPN 技术顾问委员会负责人 Tom Okman 表示，这次的资安事件只能让有心骇客存取 NordVPN 服务器后，拦截“特定用户”的“特定流量”，最多只能明白该使用者在浏览哪些网站，但即便是网页内容，入侵者也无从得知。
Tom Okman 进一步指出，除非 NordVPN 的使用者指定连线到单一国家的 VPN 服务器，否则按照预设，NordVPN 会每 5 分钟切换一次 VPN 连线位置，借此保障用户隐私。换句话说，除非使用者刚好连到位于芬兰的服务器，且骇客也正好拦截该名用户的流量，才有可能造成浏览网站资讯外泄。
延迟公布消息时间，官方解释原因
虽然 NordVPN 位于芬兰的服务器出现安全风险的期间，为 2018 年 1 月 31 日至 2018 年 3 月 20 日，但 NordVPN 相信，这段时间内服务器只被外部人士存取过一次。至于超过一年才对外公布遭骇消息，NordVPN 则解释，因为他们希望确认自家服务的基础建设，能达到 100% 安全，没有其他相关问题会再遭骇客利用，所以才拖延公开时间。
最后，NordVPN 表示，骇客从芬兰数据中心服务器获得的资讯，都无法用于解密其他地区的 VPN 服务器或流量，虽然有个被盗的加密金钥，本来可用来进行“中间人攻击”，让骇客伪装成 NordVPN 的服务器，但由于金钥已过期，即便有心人真的拿来利用，骇客也仅能针对单一使用者的特定状况，手段会太“复杂”且“客制化”。
Tom Okman 说，目前 NordVPN 已利用电子邮件，将资安风险讯息通知可能受影响的用户，但他也说，就整体状况而言，他不会将这件事定义为 NordVPN“遭骇”，毕竟起因来自独立的安全漏洞，真要说 NordVPN 被骇了，或许有些言过其实。
- NordVPN reveals server breach that could have let attacker monitor traffic
（本文由 T客邦 授权转载；首图来源：pixabay）
延伸阅读：
- TeamViewer 被指遭骇客入侵，使用者有机会被控制电脑
- 用来验证真人的 CAPTCHA 遭骇客利用，变成钓鱼网页的新工具
