俄罗斯 VPN 服务 SplitVPN（前身为 NotVPN）在 2026 年 7 月发生数据泄露。数据泄露追踪服务 Have I Been Pwned（HIBP）确认，共有 865,336 个唯一电子邮箱受到影响。另一方面，研究机构 Mysterium 称，泄露的数据库里还有近 5800 万条“连接记录”，这与 SplitVPN 宣称的“无日志”相悖，但公司对此提出异议。本文把已确认的事实和仍有争议的说法分开说明。
已确认的事实：HIBP 收录 86.5 万邮箱
根据 HIBP 的记录，此次泄露发生在 2026 年 7 月 21 日，数据于 8 月 1 日被收录。受影响的数据类型包括电子邮箱、IP 地址、用户所在国家或地区、设备信息，以及部分银行卡信息（卡号前 6 位和后 4 位及有效期）。据报道，泄露的是一个约 17GB 的 SQL 数据库，被人在网络犯罪论坛 Altenen 上散布。
有争议的说法：5800 万条连接记录
Mysterium 的研究团队称，他们获取并核对了该数据库，其中包含约 2340 万条用户记录、1360 万条设备记录和 260 万条支付记录，并有一张名为 deviceProxy 的表，记录了某台设备在何时连接了哪台 VPN 服务器，共近 5800 万条，时间持续到泄露当天。Mysterium 同时表示，数据库中没有完整的银行卡号。
需要区分的是，86.5 万是 HIBP 统计的“唯一邮箱”数量，2340 万是 Mysterium 统计的“用户记录”数量，两者的统计口径不同。此外，据 Privacy Savvy 援引 TechRadar 的报道，SplitVPN 回应称，泄露数据中的邮箱、国家、订阅状态、设备名称和脱敏支付信息属实，但 deviceProxy 表并不真实，公司的系统不会生成或保存“设备、服务器、时间”相关联的记录；公司还表示已更换服务器 IP、轮换密钥，并聘请外部安全专家复核。这一回应目前尚未得到独立验证，因此 5800 万条连接记录是否真实，仍应视为未经证实。
“无日志”承诺的局限
SplitVPN 此前的宣传包括“无日志和历史记录”“100% 隐私保障”等说法。连接记录并不等同于完整的浏览历史，不会显示用户访问了哪些网页，但若与账号、IP 等信息关联，仍能暴露某台设备何时使用过 VPN、连接了哪台服务器。更根本的问题是，用户无法直接查看服务商的服务器记录了什么，“无日志”往往只是一种需要信任的声明，第三方审计也只能证明审计当时的状态。
受影响用户应该怎么做
- 到 HIBP 查询你注册 SplitVPN 或 NotVPN 所用的邮箱是否在列。
- 更换在该服务及其他网站重复使用的密码，并为重要账号开启双重验证。
- 如果使用银行卡付费，留意账单异常；泄露的部分卡信息可能被用于精准诈骗。
- 警惕以“泄露事件”为名的钓鱼邮件和伪造的密码重置链接。
想了解隐私工具如何通过技术设计来减少对服务商的信任依赖，可参考：Mullvad Android 版更新：“按需”多跳与可交互 3D 服务器地球。