Кому теперь придётся проверять VPN: законопроект США, взлом Surfshark и правила Google Play

Этот выпуск о том, как VPN-сервисы одновременно столкнулись с государственным регулированием, инфраструктурными рисками и новыми требованиями магазинов приложений. В США хотят обязать крупные VPN блокировать пиратские сайты, Surfshark отчитался о взломе тестового сервера, а Google меняет правила публикации VPN-приложений.

• Законопроект США вводит блокировку иностранных пиратских сайтов
• Крупные VPN, ISP и DNS-сервисы попадут под новые требования
• Surfshark раскрыл детали взлома тестового сервера
• Google Play потребует от VPN-разработчиков аккаунт организации

Законопроект Иссы может заставить крупные VPN блокировать пиратские сайты

Конгрессмен Дэррелл Исса внёс в Конгресс США законопроект American Copyright Protection Act, ACPA, под номером H.R. 10364. Документ предлагает ускоренный судебный механизм для блокировки «иностранных пиратских сайтов» и заметно расширяет круг компаний, которые должны будут исполнять такие решения.

Правообладатель сможет подать петицию назначенному федеральному судье. Если суд признает ресурс иностранным пиратским сайтом, он обяжет covered service providers принять «разумные меры», чтобы ограничить доступ к нему из США.

В список таких провайдеров попадут интернет-провайдеры, DNS-резолверы и VPN-сервисы. Для VPN установлен отдельный порог: требования коснутся компаний, у которых более 100 000 ежемесячных пользователей в США.

Последствие для VPN очевидно: сервису придётся выбирать между исполнением судебного решения и риском претензий за отказ от блокировки. При этом ошибочно заблокированные третьи лица смогут требовать компенсацию до 250 000 долларов.

Против законопроекта уже выступили Re:Create, Public Knowledge, EFF и i2Coalition. Их претензии связаны с масштабом судебной блокировки и тем, что под действие механизма могут попасть легальные ресурсы или сервисы, случайно связанные с пиратским контентом.

Surfshark взломали через неправильно настроенный тестовый сервер

Surfshark раскрыл детали сентябрьского инцидента: посторонний получил доступ к внутреннему тестовому серверу, который из-за ошибки настройки оказался доступен из интернета. Компания заявила, что пользовательские данные не были затронуты.

Первые признаки аномальной активности зафиксировали 31 августа. Полный масштаб инцидента подтвердили 2 сентября, а к 5 сентября Surfshark завершил восстановительные работы в инфраструктуре и ротацию секретов.

Через скомпрометированный сервер злоумышленник получил доступ к системным бинарникам и внутренним конфигурациям. Причиной компания назвала человеческую ошибку при настройке инженерной тестовой среды.

Surfshark сообщил, что не обнаружил в логах вредоносной активности. Для дополнительной проверки компания выбирает независимую фирму, которая проведёт аудит инфраструктуры. Параллельно Surfshark проверяет собственный протокол Dausos.

Инцидент показателен именно причиной: защищённый пользовательский трафик может не быть затронут, но открытый в интернет внутренний сервер всё равно создаёт отдельный риск для инфраструктуры VPN-провайдера. Тестовые системы требуют тех же ограничений доступа, что и рабочие.

Google Play вводит обязательный организационный аккаунт для VPN-приложений

С 30 сентября 2026 года разработчики приложений, которым одобрено использование класса VpnService, должны будут регистрироваться в Google Play как организации. Раньше подобные требования применялись к финансовым, медицинским и государственным приложениям.

Для организационного аккаунта потребуется номер D-U-N-S. Данные в Play Console должны совпадать с профилем компании в Dun & Bradstreet, поэтому разработчикам придётся заранее проверить юридическое название, адрес и другие регистрационные сведения.

Одновременно Google усиливает Android developer verification и требует регистрировать пакеты приложений. Компания предупреждает, что незарегистрированные приложения могут удалить из Google Play по всему миру.

Для небольших VPN-команд это означает дополнительные сроки и расходы на подтверждение организации. Простого аккаунта индивидуального разработчика для публикации VPN-приложения может оказаться недостаточно уже после вступления правил в силу.

P.S. Больше свободы в сети - заходите в бот

По разработке ботов - пишите в личные сообщения