Europol haalt 'kogelvrije' VPN First VPN offline

Europol heeft een einde gemaakt aan First VPN, een dienst die door de organisatie wordt bestempeld als een 'kogelvrije' infrastructuur voor cybercriminelen. Operatie Saffraan, zoals de actie werd genoemd, volgde op een internationaal onderzoek dat in 2021 van start ging. Bij de gecoördineerde actie namen autoriteiten 33 servers in beslag, verspreid over 27 landen, en werden 506 gebruikers van de dienst geïdentificeerd.

Achttien landen werkten mee aan de operatie, met een sleutelrol voor Frankrijk, Nederland, Luxemburg, Roemenië, Zwitserland, Oekraïne en het Verenigd Koninkrijk. Zowel de normale domeinen als de Tor-verborgen diensten van First VPN werden in beslag genomen; bezoekers worden nu doorgestuurd naar een banner van Operatie Saffraan. Ook leidde het onderzoek naar een locatie in Oekraïne die aan de dienst was gekoppeld.

First VPN deed zich volgens Europol niet alleen voor als een privacy tool, maar als een dienst die niet met justitie samenwerkt en beweert buiten elke jurisdictie te opereren. De reclame vond voornamelijk plaats op Russischtalige cybercrimefora. Volgens de autoriteiten duikt de dienst regelmatig op in onderzoeken naar online fraude, malware-aanvallen en ransomware.

De kwestie First VPN legt een complexe scheidslijn bloot: die tussen legitieme digitale privacy en de infrastructuur die door criminelen wordt gebruikt. Ook veel gewone VPN's houden geen logs bij of bewaren geen gebruikersgegevens, maar zogenaamde 'kogelvrije' diensten zijn anders. Zij richten zich openlijk op twijfelachtige klanten, negeren klachten over misbruik en adverteren vaak met het feit dat ze weerstand bieden aan wetshandhaving.

Zulke acties leiden onvermijdelijk tot vragen over de juridische grenzen van optreden. Of servers in beslag kunnen worden genomen, hangt af van de wetten van elk land; de normen voor huiszoekingsbevelen, bewijs en procedures lopen uiteen. In Europa is digitale privacy een beschermd recht en legt de AVG strenge regels op voor gegevensverwerking. Dat maakt de balans tussen veiligheid en privacy extra kwetsbaar.

Nieuwe EU-voorstellen die wetshandhavers meer toegang tot gegevens moeten geven of privéberichten moeten scannen ter bescherming van kinderen, maken het er niet eenvoudiger op. Tegen deze achtergrond is de uitschakeling van First VPN niet alleen een klap voor cybercriminele infrastructuur, maar ook een nieuw hoofdstuk in het debat over de toekomst van online privacy.