VPN gratuitas y maliciosas

Hace unas semanas, advertíamos en este espacio de que el uso de las redes privadas virtuales (VPN, por sus siglas en inglés) no son sinónimo de impunidad. El hecho de enmascarar la dirección IP no es garantía de que, si cometemos una tropelía, no terminemos siendo identificados. Afortunadamente, el uso más extendido de esta tecnología se corresponde con visitar páginas web que, por el motivo que sea, no son accesibles en nuestra ubicación real, y como refuerzo de seguridad. Precisamente esta parcela puede quedar comprometida si lo que utilizamos es una VPN gratuita.

Las VPN gratuitas se han popularizado en los últimos años, resultando atractivas por sus prestaciones y coste cero. Sin embargo, si algo hemos aprendido en internet es que la mayoría de las veces, cuando un producto o servicio es gratis, el producto terminas siendo tú. Esto es lo que sucede con buena parte de las VPN gratuitas que se ofertan en la red.

En este punto es importante precisar que no es lo mismo una VPN gratuita con funciones limitadas o restricciones de datos, ubicaciones de servidores, velocidad de conexión, etc., que las VPN gratuitas que aparentemente no tienen ningún otro modelo de negocio detrás. Las primeras, como hace Proton VPN, son versiones limitadas con el objetivo de que termines suscribiéndote a una superior. No hay peligro, el modelo de negocio es claro. Las segundas, en cambio, son las que nos pueden dar un disgusto. Para empezar y a diferencia de las VPN de pago o básicas, no acostumbran a someterse a auditorías independientes de no registro de datos. Dicho de otro modo, almacenan nuestros datos y, muy posiblemente, comercien con ellos a nuestras espaldas.

Top10VPN lleva estudiando las VPN gratuitas desde 2018. Entre sus hallazgos de los últimos años podemos encontrar, por ejemplo, que de las 100 VPN gratuitas para Android más populares, el 88% sufrió fugas de datos, mientras que los fallos de cifrado afectaron a una de cada diez, provocando desde la exposición total de la actividad en internet hasta la filtración de detalles de los sitios web visitados. El cifrado de una VPN es esencial y, como mínimo, debería ser AES de 256 bits. Asimismo, Top10VPN advirtió que casi el 70% de las aplicaciones VPN probadas solicitaron al menos un permiso que comprometía la privacidad del usuario o usuaria, como el seguimiento de la ubicación (20%) y el escaneo de aplicaciones instaladas (46%).

Unos años antes, en un estudio a menor escala (20 VPNs gratuitas) para el sistema operativo iOS de Apple, las revelaciones tampoco resultaron especialmente positivas. A pesar de estar disponibles todas ellas en el App Store, únicamente el 12% mostraba etiquetas de privacidad que cumplieran con las directrices de Apple. Además, tan sólo tres aplicaciones (15%) respetaban la decisión del usuario de no permitir que los anunciantes lo rastrearan.

A finales del año pasado, la empresa de seguridad móvil Zimperium publicó otro estudio en el que analizaba 800 aplicaciones VPN gratuitas para Android e iOS. Entre sus conclusiones, el estudio alertaba de la falta de mantenimiento por parte de los desarrolladores y cómo algunas VPN utilizaban bibliotecas (software) de terceros obsoletas con vulnerabilidades críticas conocidas y documentadas. En consecuencia, quienes usaran esa aplicación quedaban expuestos a riesgos que hace años que se corrigieron con sus debidos parches de seguridad.

Zimperium también denunció cómo cada vez más se solicitan permisos que van mucho más allá de la funcionalidad básica de una aplicación. Por ejemplo, a AUTHENTICATE_ACCOUNTS, que para entenderlo es lo que controla la identidad digital del usuario en el dispositivo, es decir, que si la VPN tiene este permiso -que en realidad no necesita para su funcionamiento-, podría agregar, eliminar o administrar cuentas en un dispositivo o, incluso, cambiar las contraseñas de las cuentas existentes. Asimismo, más del 6% de las aplicaciones VPN (30 en total) en iOS solicitaban permisos de privacidad, de modo que, según advierte, "otorga a la aplicación un control extenso sobre el dispositivo, lo que le permite realizar acciones como ejecutar llamadas al sistema o acceder a la memoria con información confidencial".

Las VPN maliciosas campan a sus anchas y conviene prestar atención a la privacidad que realmente nos proporcionan, así como a que tengan funciones básicas de seguridad, como el denominado kill switch. Se trata de un mecanismo mediante el cual, si la VPN se desconecta inesperadamente, se evita que el dispositivo se acceda a internet, pues de hacerlo su navegación no estaría cifrada y los datos circularían sin protección. Otra funcionalidad con la que deberían contar las VPN es una política de no registro de datos y protección contra fugas de DNS (Domain Name System), que a efectos prácticos es como la agenda telefónica de direcciones IP, para evitar que las consultas de los sitios web que se visitan pasen por los servidores DNS del proveedor de internet.

Por último, y aunque no resulte tan crítica como la seguridad, la velocidad de navegación también puede verse significativamente afectada, en algunos casos incluso a la mitad. Ninguna VPN debería superar una penalización del 25% en la velocidad, pero la realidad es que en ocasiones lo hacen.