NordVPN、TorGuard與VikingVPN三大VPN業者的金鑰外流

VPN產業在本周很熱鬧，爆出NordVPN、TorGuard與VikingVPN等三大VPN業者的金鑰外流，其實金鑰外流是在去年發生的事，而之所以在本周發酵只是因為NordVPN在官方Twitter貼出了一則廣告，同時激怒了安全研究人員與駭客，駭客直接張貼了一個公布NordVPN金鑰的連結，之後再傳出連TorGuard與VikingVPN都受害。

NordVPN上周於Twitter上張貼了一則行銷推文「倘若使用VPN，就沒有駭客能夠竊取使用者的網路生活」，然後連結到NordVPN的官網，結果惹來一堆安全研究人員與駭客的冷嘲熱諷。研究人員批評VPN業者濫用了隱私的意義，把隱私與安全混為一談；還有人說VPN並不能真的抵擋身分竊盜；並有不少研究人員貼出訕笑與搖頭的動畫檔；隨後有一名駭客在周日（10/20）乾脆貼出了含有NordVPN金鑰的連結，直接打臉NordVPN；隔天又有人貼出另一個同時顯示NordVPN、TorGuard與VikingVPN金鑰的連結。

逼得NordVPN不僅撤下了該則推文，也在周一（10/21）出面說明。NordVPN表示，代管該公司伺服器的一家芬蘭資料中心在2018年3月遭到駭客入侵，駭客開採了該資料中心的一個遠端管理系統，資料中心在察覺駭客的行徑之後，就刪除了該遠端管理系統的帳號，但並未通知NordVPN，他們一直到幾個月前才知道。

NordVPN得知此事之後旋即與對方解除合約，同時對內展開全面的安全稽核。NordVPN強調，被入侵的資料庫並未存放使用者的紀錄或憑證，被盜走的金鑰也無法用來解密VPN流量，頂多是利用該金鑰來偽裝成NordVPN並執行中間人攻擊，而且相關金鑰已經過期。

至於TorGuard與VikingVPN的金鑰外洩事件，也被懷疑與該芬蘭資料中心有關，但並沒有任何人揭露該芬蘭公司的名稱。

TorGuard隨後也發表了聲明，表示他們的伺服器在2018年初就移除該資料中心，當時已與該資料中心中止合作，且置放於受害資料庫上的金鑰，早在2017年就過期了。因此此一事件並未真的影響TorGuard。

而VikingVPN則尚未公開回應此事。

許多媒體認為，這印證了一件事，不要隨便挑釁駭客，因為沒有什麼是不能被破解的。