El costo oculto de las VPN gratuitas para Android: rastreo, filtraciones y una falsa sensación de seguridad
Las VPN gratuitas prometen una oferta difícil de resistir: privacidad sin pagar por ella. SplitVPN hizo esa promesa de forma especialmente explícita. En su página principal afirma: «¡La VPN que te hará olvidarte de los problemas de privacidad!». Justo debajo, promete tráfico ilimitado, servidores rápidos y «sin registros».
Para ser precisos, SplitVPN no es completamente gratuita. Ofrece planes gratuitos y de pago, mientras que su ficha en Google Play indica que la aplicación contiene anuncios y compras dentro de la app. Sin embargo, la versión gratuita sigue vendiendo esa atractiva idea de privacidad sin costo. Para esos usuarios, el precio se vuelve más evidente al leer la letra pequeña.
La política de privacidad enlazada desde la ficha actual de Google Play indica que servicios publicitarios de terceros pueden recopilar información como identificadores publicitarios, direcciones IP, detalles del dispositivo, uso de la aplicación y ubicación aproximada. También reconoce que, según la definición de la ley de privacidad de California, algunas versiones con publicidad de su producto pueden «vender» ciertos datos a socios publicitarios. La política especifica que esto no incluye la actividad de navegación a través de la VPN, por lo que, por sí sola, no contradice la promesa de no guardar registros. Pero sí complica la idea de privacidad sin costo: los usuarios gratuitos no pagan una suscripción, pero su atención y otros datos pueden seguir teniendo valor comercial.
A finales de julio, la idea de que los datos de los usuarios tienen valor comercial adquirió un significado más inquietante. Mensajes publicados en foros de hackers afirmaban que una base de datos robada de SplitVPN, anteriormente comercializada como NotVPN, había sido puesta a la venta. El vendedor aseguraba que contenía datos de millones de usuarios, incluidos correos electrónicos, direcciones IP, información de dispositivos, suscripciones y registros de pago. Supuestamente también incluía cerca de 58 millones de registros de conexión, una acusación especialmente grave para un servicio construido sobre la promesa de no guardar registros.
SplitVPN/NotVPN confirmó la filtración, pero cuestionó la afirmación de que se hubieran expuesto registros de conexión. La empresa declaró que alguien accedió a su base de datos de suscripciones el 21 de julio y reconoció que quedaron expuestos correos electrónicos, países de residencia, estados de suscripción, nombres de dispositivos e información limitada sobre pagos. Sin embargo, insistió en que no registra los sitios web que visitan los usuarios y afirmó que los atacantes inventaron la tabla de registros de conexión para hacer que la filtración pareciera más valiosa.
No era la primera vez que NotVPN aparecía en un contexto relacionado con la privacidad. Un reciente estudio académico sobre VPN para Android descubrió que paquetes vinculados a la aplicación enviaban algunos datos generados por la propia app mediante conexiones sin cifrar y eran fáciles de identificar como tráfico VPN. Es importante señalar que los investigadores no acusaron a NotVPN de filtrar tráfico de navegación ni de almacenar registros de actividad o conexión.
Pero NotVPN era solo una parte de un patrón mucho más amplio y preocupante.
Muchas VPN gratuitas son verdaderas bombas de tiempo para la privacidad y la seguridad.
Los servidores, el ancho de banda, el desarrollo y el mantenimiento cuestan dinero. Si los usuarios no pagan por el servicio, es posible que el proveedor obtenga ingresos mediante publicidad, rastreo o recopilación de datos. Y como una VPN tiene acceso privilegiado a la conexión a Internet del usuario, el costo potencial puede ser mucho mayor que el de una aplicación gratuita convencional.
En conjunto, las aplicaciones problemáticas identificadas en el estudio habían acumulado más de 2,400 millones de instalaciones. A continuación, presentamos los principales hallazgos.
VPN gratuitas: qué se analizó
El estudio fue realizado por investigadores de la Universidad de Michigan, la Universidad de Nuevo México y el IIT Delhi, y fue presentado en el Simposio de Seguridad de Redes y Sistemas Distribuidos (NDSS) en febrero de 2026.
El equipo reunió su conjunto de datos en noviembre de 2024 buscando en Google Play 40 términos populares relacionados con VPN, incluidos «VPN», «VPN gratis», «mejor VPN gratis», «VPN segura», «VPN sin registros», «VPN para privacidad», «VPN para streaming» y «VPN para gaming», entre otros. Google Play devolvió hasta 30 aplicaciones por término de búsqueda, generando hasta 1,200 resultados por país antes de eliminar duplicados. La muestra final incluyó 281 aplicaciones VPN gratuitas.
Posteriormente, las probaron en un dispositivo físico con Android 14 utilizando MVPNalyzer, una herramienta desarrollada específicamente para el proyecto. Las aplicaciones se evaluaron en busca de:
- comunicaciones sin cifrar entre la aplicación y sus propios servidores;
- fugas de DNS o tráfico de navegación fuera del túnel VPN;
- envío de identificadores publicitarios y otros datos del dispositivo a rastreadores;
- configuraciones VPN débiles u obsoletas;
- tráfico VPN fácil de identificar y bloquear.
Fugas de tráfico y DNS, rastreo y huellas digitales: los riesgos ocultos detrás de las VPN gratuitas
El primer problema iba en contra del propósito mismo de usar una VPN: 61 aplicaciones enviaban datos propios a servidores sin cifrado. Se trataba de tráfico generado por la aplicación, no del tráfico de navegación del usuario, pero aun así podía ser visto o manipulado por el proveedor de Internet, el operador de una red Wi-Fi pública o un atacante que monitoreara la conexión. En 5 casos, las aplicaciones incluso descargaban sus archivos de configuración VPN de esta manera. Un atacante podría sustituir esos archivos y redirigir la conexión supuestamente protegida a un servidor bajo su control, mientras la aplicación seguía mostrando que la VPN estaba «conectada».
Otras 29 aplicaciones permitían que el tráfico escapara del túnel VPN. Ese tráfico podía seguir estando cifrado mediante HTTPS, pero perdía la capa adicional de privacidad y protección que la VPN debía proporcionar. Esto incluía aplicaciones con fugas de DNS, fugas de tráfico del navegador y túneles que transportaban datos sin aplicar ningún cifrado VPN. Cada uno de estos problemas, por sí solo, anula una de las razones fundamentales para usar una VPN. Una fuga de DNS, por ejemplo, puede revelar qué sitios web o servicios intenta visitar una persona, incluso si el contenido permanece cifrado.
La magnitud del rastreo fue aún más llamativa. Más del 80 % de las aplicaciones analizadas se comunicaban con dominios de publicidad o seguimiento. Los investigadores los identificaron utilizando EasyList, EasyPrivacy, Disconnect y el filtro AdGuard Mobile Ads.
Setenta y seis aplicaciones transmitían el Android Advertising ID, mientras que otras compartían direcciones IP, modelos de dispositivos, versiones del sistema operativo, idioma o información de ubicación. Una aplicación incluso transmitía coordenadas precisas. Por separado, muchos de estos datos pueden parecer inofensivos. Combinados, pueden crear un perfil persistente del dispositivo, vincular la actividad entre aplicaciones y sesiones e incluso asociarla a una red o ubicación reales. En lugar de eliminar una capa de vigilancia, una VPN gratuita puede simplemente añadir una nueva.
Las configuraciones ocultas detrás del botón «Conectar» tampoco resultaron tranquilizadoras. De las 108 configuraciones OpenVPN obtenidas por los investigadores, 107 fallaron al menos una verificación de seguridad. Muchas dependían de métodos de autenticación débiles, configuraciones obsoletas o carecían de protecciones básicas contra ataques conocidos.
OpenVPN es una tecnología ampliamente utilizada para crear una conexión cifrada entre tu dispositivo y un servidor VPN. Su configuración indica a la aplicación cómo establecer y proteger esa conexión.
Para quienes utilizan VPN para evitar la censura, existía otro problema. Los investigadores pudieron identificar fácilmente 169 aplicaciones como VPN gracias a puertos estándar, protocolos comunes o nombres de dominio evidentes. En 101 casos, las aplicaciones se conectaban a dominios que contenían la palabra «vpn». Una vez que un censor puede reconocer una conexión VPN, bloquearla resulta mucho más sencillo.
Los investigadores buscaban analizar las aplicaciones VPN para Android más populares, así que si piensas que se trataba de servicios poco conocidos con apenas unos miles de usuarios, lamentablemente no es así. Las fichas actuales de Google Play muestran que varias de las VPN mencionadas en el informe han superado los 100 millones de descargas:
- Instabridge — más de 100 millones de descargas — fue señalada por tráfico sin cifrar, rastreo, fácil identificación y problemas de configuración.
- VPN Proxy Master — más de 100 millones de descargas — fue relacionada con tráfico sin cifrar, rastreo y fácil identificación.
- Super VPN — más de 100 millones de descargas — fue detectada transmitiendo ciertos datos sin cifrado.
- Thunder VPN — más de 100 millones de descargas — figuró entre las aplicaciones que enviaban identificadores publicitarios.
Si algo hacen los números de descargas es volver los hallazgos aún más inquietantes. Estas aplicaciones no estaban escondidas en rincones oscuros de Internet: los usuarios las encontraron en Google Play, rodeadas de calificaciones, cifras de descargas, etiquetas de privacidad y marcas de verificación que las hacían parecer confiables.
Las protecciones de Google no son suficientes
Google Play sí impone ciertos requisitos a las aplicaciones VPN. Para permanecer en la tienda, deben declarar el uso del servicio VPN de Android y cifrar los datos entre el dispositivo y el punto de conexión VPN, cumplir con las políticas de Google sobre datos de usuario y software malicioso, publicar una política de privacidad y completar el formulario de Seguridad de datos. Google también afirma que revisa las aplicaciones para verificar que cumplan sus políticas. Desde la perspectiva de los usuarios, esto da la impresión de que Google ya comprobó que la aplicación es segura.
El problema es que estas verificaciones son mucho menos exhaustivas de lo que sugieren las etiquetas. La sección Seguridad de datos depende en gran medida de información proporcionada por el propio desarrollador, y no del resultado de una revisión independiente por parte de Google de todo lo que la aplicación envía o recopila. La documentación oficial de Google señala claramente: «Usted es el único responsable de realizar declaraciones completas y precisas en la ficha de su aplicación en Google Play». Google puede tomar medidas si detecta discrepancias, pero no afirma verificar cada declaración antes de que los usuarios la vean. En otras palabras, lo que parece un sello de aprobación de Google puede ser poco más que la palabra del desarrollador. Peor aún, en lugar de aportar transparencia, estas declaraciones pueden generar una falsa sensación de seguridad.
Por ejemplo, la página actual de Seguridad de datos de Google Play para VPN Proxy Master indica que los datos se cifran durante la transmisión y muestra una marca de verificación de «Revisión de seguridad independiente». Sin embargo, la versión analizada por los investigadores de MVPNalyzer fue señalada por tráfico sin cifrar, rastreo y tráfico VPN fácil de identificar.
Página actual de Seguridad de datos de Google Play para VPN Proxy Master, capturada el 30 de julio de 2026.
Los investigadores probaron la aplicación en noviembre de 2024, mientras que la ficha fue actualizada en julio de 2026, por lo que la versión actual podría ser diferente.
La insignia Verified de Google tiene más peso. Para obtenerla, un proveedor de VPN debe superar una Evaluación de Seguridad de Aplicaciones Móviles de Nivel 2, conocida como MASA Level 2. Se trata del nivel más alto de los dos que contempla el programa: en lugar de basarse principalmente en las declaraciones del desarrollador, un laboratorio autorizado por Google realiza pruebas manuales de la aplicación siguiendo un estándar internacional de seguridad móvil. AdGuard VPN también superó esta evaluación. Esto ofrece mucha más confianza que una simple declaración del desarrollador, pero sigue aplicándose a una versión específica de la aplicación en un momento concreto, no a cada solicitud enviada a los servidores ni a futuras actualizaciones.
Luego está el indicador que quizá resulte más convincente para muchos usuarios: el número de descargas. Una VPN con 100 millones de instalaciones parece una opción probada y confiable. Pero incluso cuando esa cifra es real, no garantiza que la aplicación funcione correctamente ni que cumpla sus promesas de privacidad. Además, el número puede estar considerablemente inflado. Como demuestra el estudio, la popularidad solo indica hasta dónde se ha difundido una VPN, no qué tan bien protege a sus usuarios.
Si el producto es gratuito, probablemente tú seas el producto
Las VPN gratuitas no funcionan solo gracias a las buenas intenciones. Los servidores, el ancho de banda, el desarrollo y el mantenimiento cuestan dinero. Si los usuarios no pagan por el servicio, alguien más debe hacerlo y, en muchos casos, serán anunciantes o empresas interesadas en recopilar datos de los usuarios.
Esto no significa que todas las VPN gratuitas sean inseguras. Algunos proveedores ofrecen versiones gratuitas limitadas financiadas mediante suscripciones de pago. El plan gratuito de AdGuard VPN, por ejemplo, incluye 3 GB de tráfico mensual, cuatro ubicaciones de servidor y soporte para dos dispositivos, mientras que los usuarios de pago obtienen tráfico ilimitado y acceso a más ubicaciones.
Entonces, ¿cómo distinguir un plan gratuito razonable de una trampa para la privacidad? Aquí tienes una guía rápida para elegir una VPN:
Busca su nombre en Internet. Investiga el nombre de la VPN y de la empresa que la opera junto con términos como «filtración», «brecha de seguridad», «privacidad» o «estafa».
Averigua quién está detrás del servicio. Una empresa legítima debería contar con un sitio web profesional, datos de contacto claros y cierto historial. Si el desarrollador ofrece decenas de VPN prácticamente idénticas bajo nombres genéricos, es una señal de alerta.
Comprueba cómo gana dinero la versión gratuita. El proveedor debería explicar claramente si se financia mediante suscripciones, publicidad u otro modelo. Además, su política de privacidad debería indicar de forma transparente qué datos recopila.
No te quedes solo con las calificaciones y las descargas. Lee reseñas recientes, especialmente las negativas. Pero recuerda que ni millones de instalaciones ni una puntuación alta pueden demostrar que una VPN sea segura.
Revisa los permisos que solicita. Si una VPN pide acceso a tus contactos, fotos, micrófono o ubicación precisa sin una razón convincente, es mejor buscar otra opción.
Ninguna de estas comprobaciones lleva mucho tiempo, pero en conjunto pueden revelar mucho más que un simple contador de descargas o una insignia llamativa. Antes de entregar a una VPN las llaves de tu conexión a Internet, vale la pena averiguar quién está al otro lado. Una VPN debería darte una preocupación menos, no añadir una nueva a la lista.
