Dopo un’indagine durata mesi su oltre 7.000 app VPN per dispositivi mobili in tutto il mondo, Proton ha scoperto che l’85% di quelle scaricate negli Stati Uniti contiene tracker e che circa un quarto di esse traccia attivamente la posizione fisica degli utenti.
Forse ancora più preoccupante, abbiamo anche scoperto che 64 delle 390 VPN scaricate dall’App Store di Apple e da Google Play negli Stati Uniti appartengono ad aziende cinesi, legalmente obbligate a condividere i dati con il loro governo autoritario.
Dal momento che la maggior parte delle persone che usa una rete privata virtuale lo fa proprio per proteggere la propria privacy, i rischi sono evidenti. E nonostante le promesse di proteggere il pubblico, Google e Apple hanno permesso che queste VPN sospette venissero scaricate più di 13,2 milioni di volte solo a giugno 2026.
Metodologia
Abbiamo esaminato gli scaricamenti di app free-to-pay dal Google Play Store. I conteggi mensili degli scaricamenti sono stime di AppTweak per il mese di maggio. Per il numero di tracker, abbiamo usato i dati di Exodus Privacy(nuova finestra), una piattaforma open source che analizza le app Android per rilevare le firme del codice dei tracker di analisi, pubblicità e profilazione.
Come dovrebbero funzionare le VPN
Quando usi una VPN, ti aspetti la privacy. Una VPN attendibile impedisce ai siti web di vedere il tuo vero indirizzo IP e al tuo fornitore di servizi internet (e, di conseguenza, al tuo governo) di sapere cosa fai online.
Le VPN sono ormai parte della vita quotidiana di fino a 100 milioni di americani(nuova finestra). Basta passare qualche minuto su YouTube per imbattersi quasi sicuramente in una pubblicità delle VPN, di solito promosse come strumento essenziale per la privacy, la sicurezza e per aggirare la censura.
Per i servizi più affidabili, questa promessa è in gran parte fondata. Ma ciò può di per sé creare un falso senso di sicurezza in milioni di consumatori, tentati dalle VPN gratis ben visibili negli app store, e nasconde il fatto che molte VPN dubbie fanno esattamente il contrario di ciò che ci si aspetterebbe da loro.
Chi possiede la tua VPN?
Quando si parla di VPN, la trasparenza è fondamentale.
È bene sapere chi possiede l’azienda a cui affidi la tua privacy. La nostra analisi ha rilevato che decine di VPN disponibili negli Stati Uniti appartengono ad aziende con sede in giurisdizioni dotate di leggi intrusive sulla sorveglianza dei dati. Forse non sorprende che molte si adoperino non poco per nascondere questo fatto.
Delle VPN che abbiamo studiato, 64 appartengono ad aziende cinesi. Secondo la legge cinese, le aziende sono tenute a rendere disponibili i dati degli utenti(nuova finestra) al governo su richiesta. A peggiorare le cose, 31 di queste VPN di proprietà cinese nascondono attivamente la loro vera proprietà dietro società di comodo registrate in luoghi come Singapore, la RAS di Hong Kong e il Regno Unito.
Gli utenti negli Stati Uniti hanno scaricato queste app cinesi sospette più di 3 milioni di volte nell’arco di un mese.
Dove finiscono i tuoi dati?
Anche le VPN che non appartengono direttamente ad aziende con sede in paesi noti per le loro pratiche di sorveglianza di massa possono mettere a rischio la privacy degli utenti.
La nostra analisi ha rilevato che l’85% delle VPN disponibili negli Stati Uniti contiene tracker progettati per raccogliere e condividere dati degli utenti altamente personali. Tra questi possono esserci l’ID univoco del dispositivo (GAID), il modello del dispositivo, il tipo di rete, il nome dell’operatore mobile e altro ancora.
| Tracker che inviano dati a | Scaricamenti a giugno |
|---|---|
| Cina | 1,5 milioni |
| Russia | 1,4 milioni |
| Israele | 2,6 milioni |
| Tutti e tre | 800.000 |
| Paesi Five Eyes | 4,6 milioni |
Molte di queste app di proprietà statunitense hanno stipulato accordi commerciali con aziende straniere, incorporando il loro software di tracciamento nell’ambito dell’accordo. Di solito considerano le app VPN (spesso acquistate come prodotti white-label pronti all’uso) semplicemente come un’altra categoria di app popolari che, come i giochi, può essere monetizzata tramite la pubblicità.
È semplicemente così che funziona l’industria delle app per dispositivi mobili. E in un mondo in cui gli app store trattengono circa il 30% dei ricavi delle vendite, non sorprende che i fornitori di app scelgano di monetizzare i propri prodotti con pubblicità che viola la privacy, anziché con abbonamenti a pagamento anticipati.
Ma le app VPN non sono giochi. Milioni di americani le usano per proteggere la propria privacy, non per venderla alle aziende di ad-tech, molte delle quali hanno sede in paesi i cui governi sono ostili alla privacy e, in molti casi, anche agli interessi degli Stati Uniti.
Sebbene sia difficile sapere con esattezza cosa viene fatto con i tuoi dati, ci sono segnali preoccupanti. Tre dei servizi VPN che abbiamo esaminato appartengono in realtà a società di ricerche di mercato: Phone Guardian Safe WiFi (Sensor Tower(nuova finestra)), My Mobile Secure VPN (Comscore(nuova finestra)) e Urban VPN (BiScience(nuova finestra), che è stata dimostrata(nuova finestra) in grado di catturare le conversazioni degli utenti su diversi servizi e condividerle con piattaforme di chat AI).
Alcune VPN tracciano la tua posizione
In quello che molti potrebbero ragionevolmente considerare l’ultimo atto di tradimento, 64 app VPN tracciano attivamente la tua posizione fisica usando il GPS e altri dati di geolocalizzazione. Chiunque abbia accesso a questi dati può vedere se ti trovi a una protesta o se incontri un giornalista, un avvocato o una fonte, e infine condividere queste informazioni con le forze dell’ordine o i servizi di intelligence.
Queste app includono alcune delle VPN più popolari negli Stati Uniti, come VPN Proxy Master, VPN-Fast VPN Super e X-VPN, e nel loro insieme sono state scaricate più di 3 milioni di volte a giugno. Ciò significa che circa il 20% di tutti gli scaricamenti di VPN nel nostro set di dati proviene da app che tracciano dove ti trovi, ovvero proprio ciò che probabilmente volevi evitare installando una VPN.
E questi dati di tracciamento vengono spesso messi a disposizione di governi di cui è difficile fidarsi.
Gli app store guadagnano dalla sorveglianza
Apple e Google vantano pubblicamente le loro credenziali in materia di privacy. Eppure queste app, capaci di tracciare tutto ciò che fai online e di inviare i tuoi dati personali alle aziende di ad-tech, sono scaricabili liberamente dai loro app store senza alcuna etichetta di avviso.
Sebbene gli app store richiedano agli sviluppatori di VPN di comunicare la propria identità e le proprie informative sulla privacy, si affidano in larga misura all’autodichiarazione e fanno poco per verificare quanto viene loro riferito. Apple e Google controllano che i documenti esistano, ma non verificano in modo indipendente se una VPN si comporta davvero come dichiara la sua informativa sulla privacy.
Nonostante le loro dichiarazioni sulla privacy, Apple e Google danno priorità ai profitti rispetto al miglior interesse dei loro utenti. Di norma trattengono una commissione di circa il 30% su tutti i ricavi generati da acquisti in-app e abbonamenti. Apple, in particolare, cerca di giustificare questa commissione sostenendo che è necessaria a coprire i costi di revisione e selezione delle app per garantire la sicurezza degli utenti (nonostante prove credibili che ne incassa il 78% come puro profitto(nuova finestra)).
Il modello incentrato sul profitto è ampiamente illustrato anche dalla disponibilità di Apple a collaborare con gli ordini autoritari del governo cinese, con il risultato che 66 delle 100 app più popolari al mondo non sono disponibili per gli utenti iOS in Cina.
Molte di queste sono app di notizie (tra cui The New York Times, BBC News e Reuters), il che dimostra che Apple è felice di sostenere il regime di censura del governo cinese in cambio dell’accesso al mercato cinese, estremamente redditizio. Ha persino minacciato di rimuovere Proton VPN(nuova finestra) perché la descrizione sull’App Store diceva che la nostra app poteva essere usata per “sbloccare siti web censurati”.
Il risultato? Le VPN legate a regimi autoritari, che hanno accesso a tutto il tuo traffico, inclusa la navigazione web, l’uso delle app e le informazioni personali, tracciano il tuo comportamento online a fini pubblicitari.
Cosa si può fare al riguardo?
Permettere che queste app sospette esistano sulle loro piattaforme è una violazione del dovere nei confronti sia dei consumatori sia degli sviluppatori. È inaccettabile. Esortiamo quindi Apple e Google a:
- Eseguire controlli forensi di sicurezza e di proprietà più rigorosi sulle app VPN (senza limitarsi alle autodichiarazioni)
- Rimuovere dai loro app store tutte le app che non superano questi controlli
- Garantire maggiore trasparenza su tutte le app VPN, così che le persone possano decidere in modo consapevole di quali fidarsi. Questo include fornire informazioni su dove (davvero) ha sede un’azienda e su cosa fa con i tuoi dati
Perché questa trasparenza sia efficace, Apple e Google devono usare una minima parte delle loro vaste risorse per indagare sui servizi e accertare che siano davvero ciò che dichiarano di essere.
Cosa puoi fare per restare al sicuro
Per proteggere la tua privacy con una VPN in tutta sicurezza:
- Usa un servizio con una proprietà trasparente, con sede in un paese dotato di vere leggi sulla privacy
- Fidati solo delle VPN che sono state sottoposte a audit indipendenti
Non ci sono scuse
Poiché tutta la tua attività su internet passa attraverso i suoi server, qualsiasi VPN può potenzialmente accedere a una grande quantità di informazioni altamente personali su di te, sulla tua vita, sulle tue inclinazioni politiche, su ciò che ti piace acquistare e sui tuoi hobby e interessi. Anche se la privacy non è una preoccupazione principale quando si sceglie un’app VPN, dovresti preoccuparti di aziende opache e non soggette ad alcun controllo con legami verso luoghi come la Cina e la Russia, dove il governo ha accesso illimitato a tutti i dati.
In totale, l’85% delle app che abbiamo studiato negli Stati Uniti si comporta in modi contrari a come vengono pubblicizzate e a ciò che ci si aspetterebbe ragionevolmente da un servizio VPN. È inescusabile.
Molte di queste app possono sostenere che questa raccolta di dati venga effettuata solo per ottimizzare le prestazioni. Ma il fatto che possano raccogliere questi dati, e che una così grande quantità venga inviata in luoghi come la Russia e la Cina, è motivo di grave preoccupazione.
Per fortuna, esistono servizi VPN affidabili che tengono davvero a proteggere la tua privacy. Tra questi c’è Proton VPN, che offre un servizio VPN gratis al 100% con app open source, senza pubblicità, senza limiti di dati e con una rigorosa politica di non conservazione dei log, verificata in modo indipendente e sostenuta dalle leggi svizzere sulla privacy.
Come possiamo farlo? È molto semplice. Finanziamo il nostro piano gratuito in modo trasparente con un servizio premium che offre una serie di funzionalità avanzate (ma del tutto opzionali). Perché in Proton crediamo che la privacy non debba avere condizioni.
Immagine di copertina di Bernard Leonardo.
