Europol har slått til mot First VPN, en tjeneste som omtales som en «bulletproof» infrastruktur for nettkriminelle. Operasjon Saffron, som aksjonen ble kalt, var kulminasjonen av en internasjonal etterforskning som begynte i 2021. Myndighetene beslagla 33 servere fordelt på 27 land og identifiserte 506 brukere.
18 lands politi deltok, med Frankrike, Nederland, Luxembourg, Romania, Sveits, Ukraina og Storbritannia i nøkkelroller. First VPNs domener – både vanlige nettsider og Tor-skjulte tjenester – ble beslaglagt. De omdirigerer nå til en Operasjon Saffron-banner. I tillegg førte etterforskningen politiet til en lokasjon i Ukraina knyttet til tjenesten.
First VPN markedsførte seg ikke bare som et personvernverktøy, ifølge Europol. De lovet at tjenesten ikke samarbeider med politiet og at den opererer utenfor noen jurisdiksjon. Reklamen var i hovedsak rettet mot russiskspråklige nettkriminalitetsforum. Politiet opplyser at tjenesten dukket opp i en rekke saker om nettsvindel, malware-angrep og ransomware.
First VPN-saken viser et komplisert skille: mellom legitimt digitalt personvern og kriminell infrastruktur. Mange vanlige VPN-er fører heller ikke logger eller har brukerdata å gi fra seg. Men såkalte bulletproof-tjenester skiller seg ut – de retter seg åpenlyst mot tvilsomme kunder, ser bort fra misbruksklager, og reklamerer ofte med å stå imot politiet.
Slike aksjoner vekker uunngåelig spørsmål om hvor langt politiet kan gå. Beslag av servere avhenger av lovene i det enkelte landet, og kravene til ransakingsordre, bevis og prosedyrer varierer. I Europa er digitalt personvern en grunnleggende rettighet, og GDPR setter strenge rammer for datahåndtering. Det gjør balansen mellom sikkerhet og personvern ekstra skjør.
Nye EU-forslag om å gi politiet større tilgang til data eller om å skanne private meldinger for å beskytte barn, kompliserer bildet ytterligere. I dette lyset er nedleggelsen av First VPN mer enn bare et slag mot kriminell infrastruktur – den er også et kapittel i den pågående debatten om fremtiden for personvern på nettet.