Бесплатный VPN: кто за него платит
«Бесплатно» в интернете почти всегда означает «за ваш счёт». VPN-сервисы — самый наглядный пример: чтобы пропускать через себя чужой трафик, нужна инфраструктура, а оплачивает её тот, кому интересны ваши данные.
Что показало исследование 283 приложений
В 2016–2017 годах исследователи из австралийского CSIRO, Калифорнийского университета в Беркли и Университета Нового Южного Уэльса проанализировали 283 бесплатных VPN-приложения из Google Play. Результаты оказались хуже самых пессимистичных ожиданий:
- 75% приложений содержали библиотеки стороннего отслеживания;
- 82% запрашивали доступ к чувствительным ресурсам — аккаунтам, SMS, контактам;
- 38% антивирусные движки VirusTotal пометили как содержащие вредоносный код;
- 18% вообще не шифровали трафик, хотя обещали «защищённое соединение»;
- у 84% утекал IPv6-трафик, у 66% — DNS-запросы, то есть сайты, которые вы открываете, всё равно были видны;
- несколько приложений перехватывали защищённый HTTPS-трафик и встраивали в страницы свой код для рекламы.
Показательно и другое: лишь около 1% пользователей в отзывах в Google Play выражали хоть какое-то беспокойство о приватности. Люди ставят приложение «для защиты» и перестают думать о том, что происходит дальше.
Утечка на 20 миллионов пользователей
В июле 2020 года исследователи обнаружили в открытом доступе незащищённую базу данных на 1,2 терабайта. В ней были записи семи бесплатных VPN-приложений — UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN и Rabbit VPN — более 20 млн пользователей, включая десятки тысяч россиян.
Что лежало в базе: пароли в открытом виде, адреса электронной почты, исходные IP-адреса, с которых подключались к VPN, местоположение, модели устройств и список посещённых сайтов. Каждый из этих сервисов публично заявлял, что «не ведёт логов».
Как монетизируют «бесплатное»
- Продажа истории посещений рекламным сетям и брокерам данных.
- Встроенная реклама — вплоть до подмены баннеров на сайтах.
- Продажа вашего канала. Некоторые сервисы делают из устройств пользователей «выходные узлы» и перепродают доступ к вашему IP-адресу третьим лицам. Что через него будут делать — неизвестно.
- Сбор учётных данных для последующих взломов и мошенничества.
Что делать, если VPN уже стоит
- Удалите приложение и отзовите его разрешения.
- Смените пароли от почты, банка и соцсетей, которыми пользовались при включённом VPN.
- Включите двухфакторную защиту.
- Проверьте телефон на наличие незнакомых приложений и профилей конфигурации.
