Els investigadors van executar 281 de les aplicacions VPN gratuïtes més populars de Google Play Store a través d’un nou sistema de proves i van descobrir que moltes fallen en els aspectes bàsics pels quals la gent instal·la una VPN, és a dir, mantenir el seu trànsit privat i segur.

Les aplicacions marcades amb almenys un problema s’han instal·lat més de 2.400 milions de vegades.

Els problemes són bàsics, no sofisticats. 29 aplicacions permeten que el trànsit dels usuaris es filtri fora del túnel xifrat, incloses les cerques DNS que revelen quins llocs web visites. 61 aplicacions envien algunes dades en text sense format que qualsevol persona que observi el trànsit d’aquesta xarxa pot llegir.

Cinc d’aquestes envien el fitxer de configuració de l’aplicació de manera clara, cosa que permet que un atacant de la xarxa pugui redirigir la connexió a un servidor que controla.

El sistema, anomenat MVPNalyzer, va ser presentat a la conferència de seguretat de l’NDSS el febrer de 2026 per investigadors de la Universitat de Michigan, la Universitat de Nou Mèxic i l’IIT Delhi.

És una versió per a mòbil de l’estudi anterior de VPNalyzer del mateix laboratori sobre programari VPN d’escriptori, i els investigadors la descriuen com el primer marc de treball creat per auditar sistemàticament i repetidament les aplicacions VPN d’Android.

Una VPN envolta el trànsit en un túnel xifrat perquè el proveïdor d’Internet, o un escoltador de la xarxa, no pugui veure què estàs fent. L’inconvenient és que l’aplicació VPN ara ho veu tot. No estàs eliminant la necessitat de confiar en algú. Estàs traslladant aquesta confiança del teu proveïdor d’Internet a qui va crear l’aplicació.

L’estudi pregunta si aquestes aplicacions són confiables. Molta gent pensa que no.

El defecte més greu: el segrest del túnel

La pitjor troballa té a veure amb les cinc aplicacions que descarreguen el seu fitxer de configuració sense xifratge. Aquest fitxer indica a l’aplicació a quin servidor s’ha de connectar. Si viatja en text sense format, un atacant de la mateixa xarxa, per exemple, un operador de Wi-Fi pública, el pot reescriure durant el trànsit i apuntar l’aplicació a un servidor que controla.

L’usuari es connecta, veu la pantalla «connectat» habitual i ho encamina tot a través de l’atacant. Els investigadors van construir aquest atac i van confirmar que funcionava en telèfons sota el seu control.

Els investigadors van dir quins eren els cinc a The Hacker News. Diversos porten noms genèrics compartits per aplicacions no relacionades, de manera que l’ID del paquet de Play Store és la manera de distingir-los:

• BambooVPN: VPN Turbo Ràpida (free.vpn.unblock.proxy.bamboovpn)
• VPN Pro (com.nebulatech.voocvpnpro)
• VPN gratuïta (com.appoxide.freevpn)
• Hexa VPN (com.secure.vpn.proxy)
• 101 VPN (com.shwe.vpn101)

L’equip va revelar la falla a tots cinc com a prioritat. BambooVPN i VPN Pro van respondre, comprometent-se tots dos a traslladar els fitxers de configuració a HTTPS, i un va prometre enviar-los «de manera segura mitjançant HTTPS amb la validació adequada del certificat.» Els altres tres no van respondre.

Des de llavors, les correccions han estat irregulars. Aaron Ortwein, un dels investigadors, va dir a The Hacker News que les cinc aplicacions encara són a la Google Play Store. El seu equip va tornar a provar les darreres versions i va descobrir que VPN Pro i Hexa VPN ja no enviaven el fitxer de configuració sense cap problema, mentre que les altres tres, BambooVPN, Free VPN i 101 VPN, encara estan exposades al segrest de túnels. Les respostes no van fer un seguiment de les correccions: BambooVPN en va prometre una i no l’ha enviada, mentre que Hexa VPN no va respondre mai però va solucionar el problema de totes maneres.

Filtracions i aplicacions que no amaguen res

Dels 29, 24 van filtrar trànsit DNS, i van exposar els llocs que els usuaris visitaven a la xarxa local; aquestes aplicacions per si soles representen uns 360 milions d’instal·lacions. Sis van filtrar tot el trànsit de navegació fora del túnel i quatre van executar «túnels» sense cap xifratge, i algunes d’aquestes aplicacions van fallar en més d’una manera.

Per separat, 169 aplicacions no van intentar dissimular el seu trànsit com res més que una VPN, de manera que un operador de xarxa o un censor governamental les pot detectar i bloquejar amb eines bàsiques. Gairebé dos terços d’aquestes aplicacions anuncien que eviten el bloqueig o desbloquegen contingut restringit. Fan la promesa i no fan res per complir-la.

Per a algú que viu en un país on utilitzar una VPN ja és arriscat, ser fàcil d’identificar com a usuari de VPN és justament el contrari del que vol quan accedeix a aquesta eina.

Seguiment des de les aplicacions creades per aturar-lo

La gent sovint instal·la VPN per evitar ser rastrejada. Moltes d’aquestes aplicacions rastregen de totes maneres. 76 van enviar l’ID de publicitat del dispositiu, un codi únic que fan servir els anunciants per seguir una persona d’una aplicació a la següent.

L’estudi va descobrir que més del 80 % de les aplicacions, 246, contactaven amb servidors de publicitat i seguiment coneguts. Moltes també enviaven detalls com el model del telèfon, la versió del sistema operatiu i la mida de la pantalla.

Per si soles, semblen inofensives, però combinades formen una «empremta digital» que pot identificar un dispositiu. Una aplicació fins i tot va enviar les coordenades GPS exactes del telèfon.

Configuracions febles sota el capó

Els investigadors també van desmuntar els fitxers de configuració d’OpenVPN que venien amb 108 de les aplicacions, una comprovació separada de les proves de trànsit en directe anteriors. Només una va seguir totes les millors pràctiques de seguretat que va mesurar l’estudi.

Aproximadament el 89 % es basava en un únic mètode d’autenticació, sigui una contrasenya o un certificat, en lloc de combinar-los. Gairebé un de cada cinc feia servir un xifratge feble o obsolet, incloent-hi el xifratge Blowfish, que ja no funcionava bé, i el triple DES. Alguns van establir el xifratge de dades del túnel a res, cosa que desactiva completament el xifratge. Tots dos xifratges antics presenten vulnerabilitats conegudes des de fa temps (CVE-2016-6329 i CVE-2016-2183) que permeten que un atacant recuperi dades de connexions de llarga durada.

La majoria d’aquests problemes es remunten a la mateixa arrel: les aplicacions amb prou feines es mantenen i les comprovacions automatitzades de Play Store les permeten passar. Moltes es troben entre els resultats principals de cerca, on les etiquetes de seguretat de Google i les seves Insígnies de «Verificat» per a aplicacions VPN tenen com a objectiu indicar confiança.

Quan se li va demanar a Google que respongués, va assenyalar les seves polítiques d’aplicació de la llei. Un portaveu va dir que l’empresa es pren seriosament les reclamacions de seguretat i privadesa contra les aplicacions i que «si descobrim que una aplicació ha violat les nostres polítiques, prenem les mesures adequades.»

Google va afegir que les seves normes de seguretat de dades exigeixen que els desenvolupadors declarin les seves pràctiques de dades amb precisió, i que el desenvolupador, no Google, és responsable d’aquestes divulgacions. Va dir que la insígnia de «Verificat» significa que una aplicació ha superat una Avaluació de Seguretat d’Aplicacions Mòbils a través d’un laboratori de l’App Defense Alliance, la mateixa insígnia que l’estudi argumenta que no detecta problemes com aquests. Google no va dir si revisaria o eliminaria les aplicacions esmentades aquí.

Això no és un cas puntual

Altres investigacions recents apunten en el mateix sentit. L’agost de 2025, investigadors del Citizen Lab de la Universitat de Toronto i de la Universitat Estatal d’Arizona van trobar que diverses aplicacions VPN populars d’Android, amb més de 700 milions de descàrregues combinades, estaven enllaçades en secret, compartien contrasenyes codificades i recopilaven dades de localització discretament.

L’octubre de 2025, l’empresa de seguretat mòbil Zimperium va informar que tres de les aproximadament 800 aplicacions VPN gratuïtes que va provar encara incloïen una versió de la biblioteca OpenSSL vulnerable a Heartbleed, un error conegut que es va corregir el 2014. Moltes també demanaven permisos de telèfon molt més enllà del que necessita una VPN.

Els tres estudis expliquen una història: les aplicacions VPN gratuïtes continuen combinant un argument de privadesa fort amb una enginyeria feble, i continuen arribant a milions d’instal·lacions abans que ningú les detecti.

Què poden fer els usuaris

Els defectes més greus són la configuració de text sense xifrar i la configuració feble del túnel, que són invisibles des del costat de l’usuari. No es poden detectar mirant l’aplicació, i aquest és el problema. Per tant, la veritable defensa no és quin protocol anuncia l’aplicació. És qui hi ha darrere.

Afavoreix els proveïdors que publiquin una auditoria de seguretat independent recent. Desconfia de les aplicacions gratuïtes que t’enterren en anuncis. I tracta les afirmacions «verificades» o «sense registre» com a punt de partida, no com a prova.

Els investigadors enumeren totes les aplicacions marcades a l’apèndix de l’article, de manera que podeu comprovar si la que teniu al telèfon hi és.

L’equip té previst fer públic MVPNalyzer, amb el codi font i la documentació, abans del 15 d’agost, després d’una xerrada sobre les fallades de seguretat i privadesa de les VPN a la conferència de seguretat USENIX. La idea és permetre que les botigues d’aplicacions i els reguladors executin les mateixes comprovacions ells mateixos. Amb aquesta evidència, ho hauran de fer.

Actualització: aquesta història s’ha actualitzat després de la publicació amb comentaris de Google i dels autors de l’estudi, que van dir quines eren les cinc aplicacions vulnerables al segrest de túnels i han compartit els resultats de les proves recents.