Europol poinformował o pomyślnej operacji przeciwko usłudze First VPN, która była promowana wyłącznie na rosyjskojęzycznych forach związanych z cyberprzestępczością. W ramach międzynarodowej akcji, w której wzięło udział 18 krajów, wyłączone zostały serwery i domeny należące do tej sieci, w tym adresy .onion. W trakcie działań zidentyfikowano 506 użytkowników, a jeden z fizycznych adresów został zlokalizowany na Ukrainie. Usługa First VPN reklamowała się jako niezależna od władz, bez logów i współpracy z organami, co w praktyce czyniło ją narzędziem ukrywania się przed sprawiedliwością.

W przeciwieństwie do legalnych usług VPN takich jak Mullvad czy ProtonVPN, które działają zgodnie z przepisami i mimo deklaracji braku logów podlegają kontroli prawnej, First VPN działał poza ramami prawa. Przykład Mullvad z 2023 roku, gdy szwedzcy funkcjonariusze nie uzyskali danych, bo firma ich nie przechowywała, pokazuje różnicę między prywatnością a anonimowością wykorzystywaną do przestępczych celów.

Operacja, znana jako Saffron, podnosi istotne pytania o granice interwencji służb w czasie rzeczywistym. Choć działania były uzasadnione walką z cyberprzestępczością, budzą obawy w kontekście unijnej ochrony danych i Karty Praw Podstawowych. Inicjatywy takie jak Chat Control czy ProtectEU wskazują na trwający spór między bezpieczeństwem publicznym a prawem do prywatności, szczególnie w kontekście skanowania prywatnej komunikacji.