O custo oculto das VPNs gratuitas para Android: rastreamento, vazamentos e falsa sensação de segurança
As VPNs gratuitas prometem uma oferta difícil de resistir: privacidade sem pagar por ela. A SplitVPN fez essa promessa de forma especialmente explícita. Em sua página inicial, afirma: “A VPN que vai fazer você esquecer dos problemas de privacidade!”. Logo abaixo, promete tráfego ilimitado, servidores rápidos e “sem registros”.
Para ser preciso, a SplitVPN não é totalmente gratuita. Ela oferece planos gratuitos e pagos, enquanto sua página na Google Play informa que o aplicativo contém anúncios e compras dentro do app. Ainda assim, a versão gratuita continua vendendo essa atraente ideia de privacidade sem custos. Para esses usuários, o preço fica mais evidente quando se lê as letras miúdas.
A política de privacidade vinculada na página atual da Google Play informa que serviços de publicidade de terceiros podem coletar informações como identificadores de publicidade, endereços IP, detalhes do dispositivo, uso do aplicativo e localização aproximada. Ela também reconhece que, segundo a definição da lei de privacidade da Califórnia, algumas versões com anúncios de seu produto podem “vender” determinados dados a parceiros publicitários. A política especifica que isso não inclui a atividade de navegação realizada por meio da VPN, portanto, por si só, não contradiz a promessa de não manter registros. Mas complica a ideia de privacidade gratuita: usuários da versão sem custo não pagam uma assinatura, mas sua atenção e outros dados ainda podem ter valor comercial.
No fim de julho, a ideia de que os dados dos usuários têm valor comercial ganhou um significado ainda mais preocupante. Mensagens publicadas em fóruns de hackers afirmavam que um banco de dados roubado da SplitVPN, anteriormente comercializada como NotVPN, havia sido colocado à venda. O vendedor alegava que ele continha dados de milhões de usuários, incluindo e-mails, endereços IP, informações de dispositivos, assinaturas e registros de pagamento. Supostamente, também incluía cerca de 58 milhões de registros de conexão — uma acusação especialmente grave para um serviço construído sobre a promessa de não manter logs.
A SplitVPN/NotVPN confirmou o vazamento, mas contestou a alegação de que registros de conexão tivessem sido expostos. A empresa declarou que alguém acessou seu banco de dados de assinaturas em 21 de julho e reconheceu que e-mails, países de residência, status de assinatura, nomes de dispositivos e informações limitadas de pagamento foram expostos. No entanto, insistiu que não registra os sites visitados pelos usuários e afirmou que os invasores inventaram a tabela de registros de conexão para tornar o vazamento mais valioso.
Não foi a primeira vez que a NotVPN apareceu em um contexto relacionado à privacidade. Um estudo acadêmico recente sobre VPNs para Android descobriu que pacotes associados ao aplicativo enviavam alguns dados gerados pelo próprio app por conexões sem criptografia e eram facilmente identificáveis como tráfego de VPN. É importante destacar que os pesquisadores não acusaram a NotVPN de vazar tráfego de navegação nem de armazenar registros de atividade ou conexão.
Mas a NotVPN era apenas uma parte de um padrão muito mais amplo e preocupante.
Muitas VPNs gratuitas são verdadeiras bombas-relógio para a privacidade e a segurança.
Servidores, largura de banda, desenvolvimento e manutenção custam dinheiro. Se os usuários não pagam pelo serviço, é possível que o provedor obtenha receita por meio de publicidade, rastreamento ou coleta de dados. E como uma VPN tem acesso privilegiado à conexão de internet do usuário, o custo potencial pode ser muito maior do que o de um aplicativo gratuito comum.
No total, os aplicativos problemáticos identificados no estudo haviam acumulado mais de 2,4 bilhões de instalações. A seguir, apresentamos os principais resultados.
VPNs gratuitas: o que foi analisado
O estudo foi conduzido por pesquisadores da Universidade de Michigan, da Universidade do Novo México e do IIT Delhi, e foi apresentado no Simpósio de Segurança de Redes e Sistemas Distribuídos (NDSS) em fevereiro de 2026.
A equipe reuniu seu conjunto de dados em novembro de 2024 pesquisando na Google Play 40 termos populares relacionados a VPN, incluindo “VPN”, “VPN grátis”, “melhor VPN grátis”, “VPN segura”, “VPN sem registros”, “VPN para privacidade”, “VPN para streaming” e “VPN para jogos”, entre outros. A Google Play retornou até 30 aplicativos por termo de pesquisa, gerando até 1.200 resultados por país antes da remoção de duplicatas. A amostra final incluiu 281 aplicativos VPN gratuitos.
Em seguida, eles testaram os aplicativos em um dispositivo físico com Android 14 usando o MVPNalyzer, uma ferramenta desenvolvida especificamente para o projeto. Os aplicativos foram avaliados em busca de:
- comunicações sem criptografia entre o aplicativo e seus próprios servidores;
- vazamentos de DNS ou de tráfego de navegação fora do túnel VPN;
- envio de identificadores publicitários e outros dados do dispositivo para rastreadores;
- configurações VPN fracas ou desatualizadas;
- tráfego VPN fácil de identificar e bloquear.
Vazamentos de tráfego e DNS, rastreamento e impressões digitais: os riscos ocultos por trás das VPNs gratuitas
O primeiro problema contrariava o próprio propósito de usar uma VPN: 61 aplicativos enviavam dados próprios para servidores sem criptografia. Tratava-se de tráfego gerado pelo aplicativo, não do tráfego de navegação do usuário, mas ainda assim ele podia ser visualizado ou manipulado pelo provedor de internet, pelo operador de uma rede Wi-Fi pública ou por um invasor monitorando a conexão. Em cinco casos, os aplicativos chegavam a baixar seus arquivos de configuração VPN dessa forma. Um invasor poderia substituir esses arquivos e redirecionar a conexão supostamente protegida para um servidor sob seu controle, enquanto o aplicativo continuaria exibindo que a VPN estava “conectada”.
Outros 29 aplicativos permitiam que o tráfego escapasse do túnel VPN. Esse tráfego ainda poderia estar protegido por HTTPS, mas perderia a camada adicional de privacidade e proteção que a VPN deveria fornecer. Isso incluía aplicativos com vazamentos de DNS, vazamentos de tráfego do navegador e túneis que transportavam dados sem aplicar qualquer criptografia VPN. Cada um desses problemas, isoladamente, já invalida um dos principais motivos para usar uma VPN. Um vazamento de DNS, por exemplo, pode revelar quais sites ou serviços uma pessoa está tentando acessar, mesmo que o conteúdo permaneça criptografado.
A escala do rastreamento foi ainda mais impressionante. Mais de 80% dos aplicativos analisados se comunicavam com domínios de publicidade ou rastreamento. Os pesquisadores os identificaram usando EasyList, EasyPrivacy, Disconnect e o filtro AdGuard Mobile Ads.
Setenta e seis aplicativos transmitiam o Android Advertising ID, enquanto outros compartilhavam endereços IP, modelos de dispositivos, versões do sistema operacional, idioma ou informações de localização. Um aplicativo chegou a transmitir coordenadas precisas. Separadamente, muitos desses dados podem parecer inofensivos. Combinados, podem criar um perfil persistente do dispositivo, vincular atividades entre aplicativos e sessões e até associá-las a uma rede ou localização reais. Em vez de eliminar uma camada de vigilância, uma VPN gratuita pode simplesmente adicionar uma nova.
As configurações ocultas por trás do botão “Conectar” também não inspiravam confiança. Das 108 configurações OpenVPN obtidas pelos pesquisadores, 107 falharam em pelo menos uma verificação de segurança. Muitas dependiam de métodos de autenticação fracos, configurações desatualizadas ou não possuíam proteções básicas contra ataques conhecidos.
OpenVPN é uma tecnologia amplamente utilizada para criar uma conexão criptografada entre seu dispositivo e um servidor VPN. Sua configuração informa ao aplicativo como estabelecer e proteger essa conexão.
Para quem utiliza VPN para contornar censura, havia outro problema. Os pesquisadores conseguiram identificar facilmente 169 aplicativos como VPNs graças a portas padrão, protocolos comuns ou nomes de domínio evidentes. Em 101 casos, os aplicativos se conectavam a domínios que continham a palavra “vpn”. Uma vez que um sistema de censura consegue reconhecer uma conexão VPN, bloqueá-la se torna muito mais simples.
Os pesquisadores buscavam analisar os aplicativos VPN para Android mais populares, então, se você imagina que se tratava de serviços pouco conhecidos com apenas alguns milhares de usuários, infelizmente não é o caso. As páginas atuais da Google Play mostram que várias das VPNs mencionadas no relatório já ultrapassaram 100 milhões de downloads:
- Instabridge — mais de 100 milhões de downloads — foi sinalizada por tráfego sem criptografia, rastreamento, fácil identificação e problemas de configuração.
- VPN Proxy Master — mais de 100 milhões de downloads — foi associada a tráfego sem criptografia, rastreamento e fácil identificação.
- Super VPN — mais de 100 milhões de downloads — foi detectada transmitindo determinados dados sem criptografia.
- Thunder VPN — mais de 100 milhões de downloads — estava entre os aplicativos que enviavam identificadores publicitários.
Os números de downloads tornam essas descobertas ainda mais preocupantes. Esses aplicativos não estavam escondidos em cantos obscuros da internet: os usuários os encontraram na Google Play, cercados por avaliações, contadores de downloads, selos de privacidade e marcas de verificação que os faziam parecer confiáveis.
As proteções do Google não são suficientes
A Google Play realmente impõe alguns requisitos aos aplicativos VPN. Para permanecerem na loja, eles devem declarar o uso do serviço VPN do Android e criptografar os dados entre o dispositivo e o ponto de conexão VPN, cumprir as políticas do Google sobre dados do usuário e software malicioso, publicar uma política de privacidade e preencher o formulário de Segurança de Dados. O Google também afirma revisar os aplicativos para verificar se eles cumprem suas políticas. Do ponto de vista dos usuários, isso transmite a impressão de que o Google já verificou que o aplicativo é seguro.
O problema é que essas verificações são muito menos rigorosas do que os selos sugerem. A seção Segurança de Dados depende, em grande parte, das informações fornecidas pelo próprio desenvolvedor, e não de uma análise independente realizada pelo Google sobre tudo o que o aplicativo coleta ou transmite. A documentação oficial do Google afirma claramente: “Você é o único responsável por fornecer informações completas e precisas na ficha do seu aplicativo no Google Play.” O Google pode tomar medidas caso identifique inconsistências, mas não afirma verificar cada declaração antes que ela seja exibida aos usuários. Em outras palavras, o que parece ser um selo de aprovação do Google pode ser pouco mais do que a palavra do desenvolvedor. Pior ainda: em vez de trazer transparência, essas declarações podem criar uma falsa sensação de segurança.
Por exemplo, a página atual de Segurança de Dados da Google Play para o VPN Proxy Master informa que os dados são criptografados durante a transmissão e exibe um selo de “Revisão de segurança independente”. No entanto, a versão analisada pelos pesquisadores do MVPNalyzer foi apontada por tráfego sem criptografia, rastreamento e tráfego VPN facilmente identificável.
Página atual de Segurança de Dados da Google Play para o VPN Proxy Master, capturada em 30 de julho de 2026.
Os pesquisadores testaram o aplicativo em novembro de 2024, enquanto a ficha foi atualizada em julho de 2026, portanto a versão atual pode ser diferente.
O selo Verified do Google tem mais peso. Para obtê-lo, um provedor de VPN precisa passar por uma Avaliação de Segurança de Aplicativos Móveis de Nível 2, conhecida como MASA Level 2. Trata-se do nível mais alto entre os dois previstos pelo programa: em vez de se basear principalmente nas declarações do desenvolvedor, um laboratório autorizado pelo Google realiza testes manuais no aplicativo seguindo um padrão internacional de segurança móvel. A AdGuard VPN também passou por essa avaliação. Isso oferece muito mais confiança do que uma simples declaração do desenvolvedor, mas ainda se aplica a uma versão específica do aplicativo em um momento determinado — não a cada solicitação enviada aos servidores nem a futuras atualizações.
Há ainda o indicador que talvez seja o mais convincente para muitos usuários: o número de downloads. Uma VPN com 100 milhões de instalações parece uma opção testada e confiável. Mas, mesmo quando esse número é real, ele não garante que o aplicativo funcione corretamente nem que cumpra suas promessas de privacidade. Além disso, o total pode estar significativamente inflado. Como mostra o estudo, a popularidade apenas indica o alcance de uma VPN, não o quão bem ela protege seus usuários.
Se o produto é gratuito, provavelmente você é o produto
VPNs gratuitas não funcionam apenas com boas intenções. Servidores, largura de banda, desenvolvimento e manutenção custam dinheiro. Se os usuários não pagam pelo serviço, alguém precisa pagar — e, em muitos casos, serão anunciantes ou empresas interessadas em coletar dados dos usuários.
Isso não significa que todas as VPNs gratuitas sejam inseguras. Alguns provedores oferecem versões gratuitas limitadas, financiadas por assinaturas pagas. O plano gratuito da AdGuard VPN, por exemplo, inclui 3 GB de tráfego mensal, quatro localizações de servidor e suporte para dois dispositivos, enquanto os usuários pagantes recebem tráfego ilimitado e acesso a mais localizações.
Então, como diferenciar um plano gratuito razoável de uma armadilha para a privacidade? Aqui está um guia rápido para escolher uma VPN:
Pesquise o nome do serviço na internet. Procure pelo nome da VPN e da empresa responsável junto com termos como “vazamento”, “violação de dados”, “privacidade” ou “golpe”.
Descubra quem está por trás do serviço. Uma empresa legítima deve ter um site profissional, informações de contato claras e algum histórico. Se o desenvolvedor oferece dezenas de VPNs praticamente idênticas com nomes genéricos, isso é um sinal de alerta.
Verifique como a versão gratuita gera receita. O provedor deve explicar claramente se o serviço é financiado por assinaturas, publicidade ou outro modelo. Além disso, sua política de privacidade deve informar de forma transparente quais dados são coletados.
Não se baseie apenas em avaliações e números de downloads. Leia comentários recentes, especialmente os negativos. Mas lembre-se: nem milhões de instalações nem uma pontuação elevada são prova de que uma VPN é segura.
Analise as permissões solicitadas. Se uma VPN pedir acesso aos seus contatos, fotos, microfone ou localização precisa sem uma justificativa convincente, vale a pena procurar outra alternativa.
Nenhuma dessas verificações leva muito tempo, mas, juntas, podem revelar muito mais do que um simples contador de downloads ou um selo chamativo. Antes de entregar a uma VPN as chaves da sua conexão com a internet, vale a pena descobrir quem está do outro lado. Uma VPN deveria eliminar uma preocupação, não adicionar mais uma à lista.
