Vpn-provider LimeVPN heeft eind 2020 de privégegevens van meer dan 23.000 gebruikers gelekt. Het bedrijf zelf claimde dat slechts achthonderd gebruikers waren getroffen. Het datalek kwam in juli 2021 in het nieuws, toen gegevens van getroffen gebruikers op internet werden aangeboden.

De omvang van het datalek was echter onduidelijk. Zo stelde LimVPN dat het om achthonderd gebruikers ging en dat de data van een facturatieserver was gestolen, maar werden op internet getallen van 10.000 en 69.000 getroffen gebruikers genoemd. Nu blijkt dat het om meer dan 23.000 gebruikers gaat, aldus beveiligingsonderzoeker Troy Hunt, oprichter van datalekzoekmachine Have I Been Pwned. De gestolen data bestaat uit e-mailadressen, ip-adressen, namen, telefoonnummers, adresgegevens, aankopen en met het zwakke MD5-algoritme gehashte wachtwoorden. MD5-wachtwoordhashes zijn vaak eenvoudig te kraken.

De e-mailadressen zijn toegevoegd aan Have I Been Pwned. Via de zoekmachine is het mogelijk om te kijken of een e-mailadres in een bekend datalek voorkomt. Van de ruim 23.000 bij LimeVPN buitgemaakte e-mailadressen was 65 procent al via een ander datalek bij de zoekmachine bekend. Have I Been Pwned bevat inmiddels meer dan 12,4 miljard gecompromitteerde accounts.