2026 年 5 月 19 日至 20 日，法国和荷兰当局在欧洲刑警组织（Europol）与欧盟司法合作署（Eurojust）的支持下，发起代号 Operation Saffron 的行动，查封了面向网络犯罪分子的匿名服务 First VPN（域名含 1vpns）。行动共拆除 33 台服务器，并查封 1vpns.com、1vpns.net、1vpns.org 及相关洋葱（.onion）域名。这些域名现在显示的是执法部门的查封公告。
行动概况
- 主导与协助：由法国和荷兰主导，Europol 与 Eurojust 支持。据报道，参与调查的还包括卢森堡、罗马尼亚、瑞士、乌克兰、英国、德国、美国、西班牙、瑞典等国。各方报道对参与国家和服务器所在国家的数量说法不一，有的称服务器分布在 27 个国家，因此本文不对“参与机构数量”作确定表述。
- 调查时间线：据报道，法国当局在 2021 年底提出调查，Eurojust 于 2022 年 5 月正式立案。
- 运营者：据报道，服务的运营者在乌克兰接受了问询（也有媒体称其被捕）。
- 用户已被通知：Europol 称，所有用户都收到信息，被告知服务已下线，且其身份已被识别。Bitdefender 协助调查，并共享了与 506 名用户相关的信息。
First VPN 是什么
调查人员称，该服务自 2014 年起运营，累计使用账号超过 5000 个。据 Eurojust 的说法，其网站宣传的卖点是：不与任何司法机关合作、不保存数据、不受任何司法管辖。服务支持匿名付款，并提供 VLESS 和 Reality 等协议，可把 VPN 流量伪装成常见的 HTTPS 流量。Europol 表示，这个名字几乎出现在其支持的每一起重大网络犯罪调查中，涉及勒索软件、入侵计算机系统和欺诈等。
行动的意义
据报道，执法部门在下线前已通过秘密手段接触到 First VPN 的基础设施，截获了犯罪用户以为已被加密和匿名的实时流量。Europol 称，行动获取的情报暴露了数千名与网络犯罪生态相关的用户，并为勒索软件（包括与 Phobos 勒索软件即服务相关的案件）、诈骗等调查提供了线索。这也说明，把“绝对匿名、不受监管”作为卖点的服务，同样存在被渗透和关停的风险。
需要区分的是，正规商业 VPN 并非这类服务。普通用户使用的主流 VPN 是合法的隐私工具，而此次被查封的服务从营销到支付都是针对犯罪使用设计的。另一类与 VPN 有关的网络犯罪手法，是攻击者假冒 VPN 客户端来投放恶意程序，可参阅：假面试真木马：Sandworm 关联组织用恶意 “SopraVPN” 攻击 IT 从业者。