La police peut-elle suivre les utilisateurs de VPN ?

Le pipeline : police identifie votre IP via un site cible ou un torrent, demande à votre FAI à qui appartient cet IP, apprend qu'il s'agit d'un exit VPN, puis se présente au fournisseur VPN avec un mandat. S'il a des logs, il les remet ; sinon, la piste s'éteint.

C'est pourquoi la preuve « pas de logs » pèse plus que la promesse « pas de logs ». Une promesse, c'est du marketing ; la preuve, c'est ce qui survit à un mandat de perquisition.

Private Internet Access (PIA) n'avait aucune donnée à livrer aux tribunaux US en 2016 et 2018 — les deux affaires ont continué sans preuves issues du VPN.

Les serveurs turcs d'ExpressVPN ont été saisis physiquement en 2017 lors de l'enquête sur l'assassinat de l'ambassadeur Andrey Karlov ; les enquêteurs n'ont trouvé aucun journal.

Le bureau de Mullvad à Göteborg a été perquisitionné par la police suédoise en 2023 sous mandat ; ils n'avaient rien à livrer.

Paiement : une carte bancaire ou PayPal lie l'abonnement VPN à vous. Mullvad et IVPN acceptent espèces et Monero précisément pour briser ce lien.

Connexion à des comptes : se connecter à Gmail, sa banque ou les réseaux sociaux via le VPN dit à ces services exactement qui vous êtes — seul l'IP est masqué.

Le contexte local compte. Les Abmahnungen allemandes visent le trafic torrent visible ; Hadopi/Arcom en France fait pareil ; BREIN aux Pays-Bas suit le même schéma. Aucun ne peut percer un VPN sans logs, mais ils peuvent vous attraper si le VPN tombe en cours de téléchargement et que votre vrai IP réapparaît.