IPVanish: Una VPN que supuestamente no guardar registros ha identificado a un usuario ante la justicia

IPVanish, un proveedor de VPN que durante años reclamó una estricta política de no registro, condujo a Homeland Security a un sospechoso utilizando una dirección IP de Comcast, según documentos judiciales presentados en 2016. StackPath, el nuevo operador de IPVanish, informa que no hablarán en nombre del antiguo equipo que hace tiempo que dejó la empresa. Sin embargo, se han prometido garantías de seguridad para el futuro.

El 4 de mayo de 2016, Scott Sikes, un agente especial del Departamento de Seguridad Nacional, participó en una investigación por pornografía infantil.

Actuando encubierto, Scott Sikes estaba monitoreando un canal en Internet Relay Chat (IRC) cuando un sospechoso publicó un enlace. Cuando Sikes lo abrió descubrió una imagen de pornografía infantil.

Sikes entabló una sesión de chat uno a uno con el sospechoso que posteriormente publicó tres enlaces más, cada uno con el mismo tipo de material. Más tarde se descubrió que el sospechoso había publicado otros 17 enlaces que llevaban a imágenes similares.

Habiendo capturado la dirección IP del sospechoso (209.197.26.72), Sikes lo remontó a Highwinds Network Group, una empresa de almacenamiento en la nube, CDN y colocación que quizás sea más conocida entre los usuarios que comparten archivos para su negocio masivo relacionado con Usenet.

Homeland Security realizó un "Summons for Records" en Highwinds, exigiendo que entregara los detalles del usuario detrás de esa dirección IP en el momento en que el usuario de IRC publicó los enlaces.

Aunque no se mencionó directamente por su nombre en documentos judiciales, en ese momento Highwinds era propietario del proveedor de VPN IPVanish, una compañía que ha afirmado repetidamente que lleva no guarda registros relacionados con las actividades de sus clientes. Parece que el sospechoso rastreado por Homeland Security era un cliente de IPVanish, pero cualquier esperanza de que permaneciera en el anonimato pronto fue descartado.

El 26 de mayo, Highwinds respondió a la convocatoria, confirmando que la dirección IP pertenecía a su servicio VPN. Inicialmente, la compañía le dijo a HSI que para proteger los datos de los clientes, "no registramos ninguna información de uso". Por lo tanto, no tenemos ninguna información con respecto a la IP referenciada".

Sin embargo, después de que Sikes se comunicó nuevamente con Highwinds, la compañía sugirió que HSI enviara una segunda convocatoria solicitando información más detallada sobre el suscriptor.

El 9 de junio de 2016, HSI atendió una segunda convocatoria en Highwinds, solicitando "cualquier información asociada con el tráfico de IRC usando IP 209.197.27.72 por el puerto 6667." El 21 de junio, Highwinds presentó los documentos.

En una respuesta a HSI, Highwinds proporcionó información que permitió a HSI identificar al sospechoso que se conectaba al servidor VPN, se conectaba al servidor IRC y luego se desconectaba del servidor VPN. Highwinds también entregó el nombre del sospechoso (Vincent Gevirtz), su dirección de correo electrónico, además de detalles de su suscripción VPN.

También se puso a disposición de HSI la dirección IP real de Gevirtz (Comcast 50.178.206.161) "así como las fechas y horas que se conectaron y desconectaron de la red IRC", momentos que coincidieron con la actividad investigada por HSI.

HSI luego emitió una convocatoria en Comcast, solicitando información del cliente en la dirección IP en cuestión. Comcast respondió tres días después con un nombre ligeramente diferente, Julian Gevirtz, más una dirección en Indiana. Vincent Gevirtz fue encontrado posteriormente en esa dirección de la casa de sus padres y luego admitió la conducta llevada a cabo en el canal de IRC. Además admitió haber compartido esas imágenes en línea durante al menos siete años.

Aunque habrá pocas personas desilusionadas de que Gevirtz haya sido rastreado por HSI, ayer hubo un alboroto considerable cuando los documentos de la corte se publicaron en la página de discusión de /r/piracy en Reddit.

IPVanish siempre ha sido muy elocuente acerca de sus políticas de no registro, pero los documentos de la corte en el caso Gevirtz parecen mostrar que la empresa registró mucho, aparentemente a qué servicios se accedió y cuándo.

Entonces, con esta aparente contradicción en la mano, TF contactó a StackPath, la compañía que compró Highwinds y, por lo tanto, IPVanish en 2017. ¿Cómo puede existir su política de "registros cero" junto con la entrega de tanta información?

"Estamos contentos de que hayas preguntado. Ese juicio fue a partir de 2016, mucho antes de que StackPath adquiriera IPVanish en 2017", dijo Jeremy Palmer, Vicepresidente de Producto y Marketing.

"IPVanish no tiene y no registrará o almacenará los registros de nuestros usuarios como una empresa de StackPath. No puedo hablar de lo que sucedió en el caso de la otra persona, y ese equipo administrativo se fue hace mucho tiempo. Pero sepa esto: además de no iniciar sesión, StackPath defenderá la privacidad de nuestros usuarios, independientemente de quién lo solicite".

De esta afirmación queda bastante claro que StackPath no quiere entrar en lo que fue antes y, al menos hasta cierto punto, eso es comprensible. Una vez dicho esto, estas cosas deben tener algún tipo de documentación impresa (registros si lo desea) que documente qué sucedió y quién fue el responsable. Así que volvimos a preguntar, esta vez añadiendo algunas preguntas más para tratar de encontrar las cosas.