Europol har slagit till mot First VPN, en tjänst som beskrivs som en "bulletproof"-infrastruktur för cyberbrottslingar. Insatsen, med kodnamnet Operation Saffron, är resultatet av en internationell utredning som inleddes 2021. I ett samordnat agerande beslagtog myndigheter 33 servrar i 27 länder och identifierade 506 användare av tjänsten.
Polismyndigheter från 18 länder deltog, med Frankrike, Nederländerna, Luxemburg, Rumänien, Schweiz, Ukraina och Storbritannien i ledande roller. First VPN:s domäner – både vanliga webbadresser och Tor-dolda tjänster – beslagtogs och omdirigerar nu till en banner från Operation Saffron. Utredningen ledde också myndigheterna till en plats i Ukraina med koppling till tjänsten.
Enligt Europol marknadsförde sig First VPN inte bara som ett integritetsverktyg, utan som en tjänst som vägrar samarbeta med rättsväsendet och som påstår sig verka utanför varje jurisdiktion. Tjänsten annonserades främst på ryskspråkiga cyberbrottsforum. Polisen uppger att First VPN ofta dök upp i utredningar om nätbedrägerier, skadlig kod och ransomware.
First VPN-fallet belyser en komplicerad fråga: gränsen mellan legitim digital integritet och den infrastruktur som kriminella använder. Många vanliga VPN-tjänster sparar inte heller loggar eller har användardata att lämna över, men så kallade bulletproof-tjänster är annorlunda – de vänder sig öppet till tveksamma kunder, ignorerar klagomål om missbruk och marknadsför sig ofta som motståndskraftiga mot polisingripanden.
Sådana operationer väcker oundvikligen frågor om de rättsliga gränserna för ingripanden. Serverbeslag styrs av enskilda länders lagar, och standarder för husrannsakningsorder, bevis och förfaranden varierar kraftigt. I Europa är digital integritet en skyddad rättighet och GDPR ställer strikta krav på datahantering – vilket gör balansen mellan säkerhet och privatliv särskilt känslig.
EU:s nya förslag om utökad tillgång till data för polisen eller skanning av privata meddelanden för barnskydd gör läget än mer komplicerat. Mot den bakgrunden är nedstängningen av First VPN inte bara ett slag mot cyberbrottslingars infrastruktur, utan också ett kapitel i den pågående debatten om framtiden för integritet på nätet.