Na een maandenlang onderzoek naar meer dan 7 000 mobiele VPN-apps wereldwijd, heeft Proton vastgesteld dat 85% van de apps die in de VS zijn gedownload trackers bevatten, en dat ongeveer een kwart daarvan de fysieke locatie van gebruikers actief volgt.
Misschien nog verontrustender is dat we ook ontdekten dat 64 van de 390 VPN’s die in de VS via de Apple App Store en Google Play zijn gedownload, eigendom zijn van Chinese bedrijven, die wettelijk verplicht zijn gegevens te delen met hun autoritaire regering.
Aangezien de meeste mensen die een virtueel privénetwerk gebruiken dat specifiek doen om hun privacy te beschermen, zijn de risico’s duidelijk. En ondanks beloftes om het publiek te beschermen, stonden Google en Apple toe dat deze verdachte VPN’s in juni 2026 alleen al meer dan 13,2 miljoen keer werden gedownload.
Methodologie
We hebben gratis downloads uit de Google Play Store onderzocht. De maandelijkse downloadaantallen zijn schattingen van AppTweak voor de maand mei. Voor het aantal trackers hebben we gegevens gebruikt van Exodus Privacy(nieuw venster), een opensourceplatform dat Android-apps analyseert om de codehandtekeningen van analytics-, advertentie- en profilingtrackers op te sporen.
Hoe VPN’s zouden moeten werken
Wanneer u een VPN gebruikt, verwacht u privacy. Een betrouwbare VPN voorkomt dat websites uw echte IP-adres zien en verhindert dat uw internet service provider (en, in het verlengde daarvan, uw overheid) weet wat u online doet.
VPN’s zijn een deel van het dagelijks leven geworden voor maar liefst 100 miljoen Amerikanen(nieuw venster). Besteedt u slechts een paar minuten op YouTube en u komt vrijwel zeker een advertentie voor VPN’s tegen, die doorgaans worden gepromoot als een essentieel hulpmiddel voor privacy, veiligheid en het omzeilen van censuur.
Voor de meest gerespecteerde diensten klopt deze bewering grotendeels. Maar dit kan op zichzelf een vals gevoel van veiligheid creëren bij miljoenen consumenten die verleid worden door de gratis VPN’s die prominent aanwezig zijn in de appstores, en het verbergt het feit dat veel dubieuze VPN’s precies het tegenovergestelde doen van wat u ervan zou verwachten.
Wie is de eigenaar van uw VPN?
Als het om VPN’s gaat, is transparantie essentieel.
U moet weten wie eigenaar is van het bedrijf waaraan u uw privacy toevertrouwt. Uit onze analyse blijkt dat tientallen VPN’s die in de VS beschikbaar zijn, eigendom zijn van bedrijven die zijn gevestigd in rechtsgebieden met vergaande wetgeving voor gegevenssurveillance. Het is misschien niet verrassend dat veel van hen aanzienlijke moeite doen om dit feit te verbergen.
Van de VPN’s die we hebben onderzocht, zijn er 64 eigendom van Chinese bedrijven. Volgens de Chinese wet zijn bedrijven verplicht om gebruikersgegevens beschikbaar te stellen(nieuw venster) aan de overheid op verzoek. Wat het nog erger maakt, is dat 31 van deze in Chinese handen zijnde VPN’s hun werkelijke eigenaarschap actief verbergen achter brievenbusfirma’s die zijn geregistreerd in plaatsen als Singapore, Hongkong SAR van China en het VK.
Gebruikers in de VS hebben deze schimmige Chinese apps in één maand meer dan 3 miljoen keer gedownload.
Waar gaat uw data naartoe?
Zelfs VPN’s die niet direct eigendom zijn van bedrijven die zijn gevestigd in landen die bekendstaan om hun massasurveillance, kunnen de privacy van gebruikers in gevaar brengen.
Uit onze analyse blijkt dat 85% van de VPN’s die in de VS beschikbaar zijn trackers bevatten die zijn ontworpen om zeer persoonlijke gebruikersgegevens te verzamelen en te delen. Dit kan uw unieke apparaat-ID (GAID), apparaatmodel, netwerktype, naam van de mobiele provider en meer omvatten.
| Trackers die gegevens verzenden naar | Downloads in juni |
|---|---|
| China | 1,5 miljoen |
| Rusland | 1,4 miljoen |
| Israël | 2,6 miljoen |
| Alle drie | 800 000 |
| Five Eyes-landen | 4,6 miljoen |
Veel van deze apps die eigendom zijn van Amerikaanse bedrijven, sloten commerciële overeenkomsten met buitenlandse bedrijven, waarbij hun trackingsoftware als onderdeel van de deal werd ingesloten. Ze zien VPN-apps (vaak gekocht als kant-en-klare white-labelproducten) doorgaans als slechts een andere populaire appcategorie die, net als games, kan worden gemonetiseerd via advertenties.
Dit is nu eenmaal hoe de mobiele app-industrie werkt. En in een wereld waar appstores ongeveer 30% van de verkoopopbrengsten innen, is het niet verrassend dat appaanbieders ervoor kiezen hun producten te monetiseren via privacy-invasieve advertenties in plaats van vooraf betaalde abonnementen.
Maar VPN-apps zijn geen games. Miljoenen Amerikanen gebruiken ze om hun privacy te beschermen, niet om hun privacy te verkopen aan adtechbedrijven, waarvan vele zijn gevestigd in landen met regeringen die vijandig staan tegenover privacy en in veel gevallen ook tegenover de belangen van de VS.
Hoewel het moeilijk is om precies te weten wat er met uw gegevens wordt gedaan, zijn er zorgwekkende signalen. Drie van de VPN-diensten die we hebben bekeken, zijn in werkelijkheid eigendom van marktonderzoeksbureaus: Phone Guardian Safe WiFi (Sensor Tower(nieuw venster)), My Mobile Secure VPN (Comscore(nieuw venster)) en Urban VPN (BiScience(nieuw venster), waarvan is aangetoond(nieuw venster) dat het gebruikersgesprekken via verschillende diensten vastlegt en deelt met AI-chatplatforms).
Sommige VPN’s volgen uw locatie
In wat velen redelijkerwijs als de ultieme daad van verraad kunnen zien, volgen 64 VPN-apps uw fysieke locatie actief met behulp van GPS en andere geolocatiegegevens. Iedereen met toegang tot deze gegevens kan zien of u bij een protest bent of een journalist, advocaat of bron ontmoet, en die informatie uiteindelijk delen met wetshandhaving of inlichtingendiensten.
Deze apps behoren tot de populairste VPN’s in de VS, zoals VPN Proxy Master, VPN-Fast VPN Super en X-VPN, en samen zijn ze in juni meer dan 3 miljoen keer gedownload. Dit betekent dat ongeveer 20% van alle VPN-downloads in onze dataset afkomstig is van apps die volgen waar u bent, wat waarschijnlijk precies hetgene is dat u met een VPN wilde voorkomen.
En deze trackinggegevens worden vaak beschikbaar gesteld aan overheden die moeilijk te vertrouwen zijn.
Appstores profiteren van surveillance
Apple en Google pronken publiekelijk met hun privacyreferenties. Toch zijn deze apps, die alles kunnen volgen wat u online doet en uw persoonlijke gegevens naar adtechbedrijven kunnen sturen, vrij downloadbaar in hun appstores zonder waarschuwingslabels.
Hoewel appstores van VPN-ontwikkelaars eisen dat ze hun identiteit en privacybeleid indienen, vertrouwen ze sterk op zelfrapportage en doen ze weinig om te verifiëren wat hen wordt verteld. Apple en Google controleren of de papieren bestaan, maar ze controleren niet onafhankelijk of een VPN zich daadwerkelijk gedraagt zoals het privacybeleid beweert.
Ondanks hun privacyclaims stellen Apple en Google winst boven de belangen van hun gebruikers. Ze rekenen doorgaans ongeveer 30% commissie op alle inkomsten uit in-app aankopen en abonnementen. Apple probeert deze commissie met name te rechtvaardigen door te stellen dat deze nodig is om de kosten te dekken van het beoordelen en cureren van apps om gebruikers veilig te houden (ondanks geloofwaardig bewijs dat het 78% van deze kosten opstrijkt(nieuw venster) als pure winst).
Het winstgerichte model wordt ook ruimschoots geïllustreerd door de bereidheid van Apple om mee te werken aan autoritaire bevelen van de Chinese regering, wat ertoe heeft geleid dat 66 van de 100 populairste apps wereldwijd niet beschikbaar zijn voor iOS-gebruikers in China.
Veel van deze apps zijn nieuwsapps (waaronder The New York Times, BBC News en Reuters), wat laat zien dat Apple graag het censuurregime van de Chinese regering helpt in ruil voor toegang tot de zeer lucratieve Chinese markt. Het dreigde zelfs Proton VPN te verwijderen(nieuw venster) omdat in de beschrijving in de App Store stond dat onze app kon worden gebruikt om “gecensureerde websites te deblokkeren”.
Het resultaat? Autoritair gelinkte VPN’s die toegang hebben tot al uw verkeer, waaronder uw webbrowsen, appgebruik en persoonlijke informatie, volgen uw onlinegedrag voor advertentiedoeleinden.
Dus wat kan eraan worden gedaan?
Toestaan dat deze verdachte apps op hun platforms bestaan, is een verzuim van plicht tegenover zowel consumenten als ontwikkelaars. Dit is onacceptabel. Daarom dringen we er bij Apple en Google op aan om:
- Strengere forensische veiligheids- en eigenaarscontroles uit te voeren op VPN-apps (en niet simpelweg te vertrouwen op zelfrapportage)
- Alle apps die niet aan deze controles voldoen uit hun appstores te verwijderen
- Meer transparantie te bieden over alle VPN-apps, zodat mensen weloverwogen beslissingen kunnen nemen over welke VPN’s te vertrouwen zijn. Dit omvat informatie over waar een bedrijf (werkelijk) is gevestigd en wat het met uw gegevens doet
Wil dergelijke transparantie effectief zijn, dan moeten Apple en Google een klein deel van hun enorme middelen gebruiken om diensten te onderzoeken en vast te stellen dat ze zijn wat ze beweren te zijn.
Wat u kunt doen om veilig te blijven
Om uw privacy veilig te beschermen met een VPN:
- Gebruik een dienst met transparant eigenaarschap die is gevestigd in een land met echte privacywetten
- Vertrouw alleen VPN’s die onafhankelijk zijn gecontroleerd
Er is geen excuus
Omdat al uw internetactiviteit via de servers van een VPN verloopt, kan elke VPN toegang krijgen tot een grote hoeveelheid zeer persoonlijke informatie over u, uw leven, uw politieke voorkeuren, wat u graag koopt en uw hobby’s en interesses. Zelfs als privacy geen primaire zorg is bij het kiezen van een VPN-app, moet u zich zorgen maken over schimmige bedrijven die zich aan niemand verantwoorden, met koppelingen naar landen als China en Rusland, waar de overheid onbeperkte toegang heeft tot alle data.
In totaal vertoont 85% van de apps die we in de VS hebben onderzocht gedrag dat in strijd is met hoe ze worden gepromoot en wat u redelijkerwijs van een VPN-dienst mag verwachten. Dit is onvergeeflijk.
Veel van deze apps beweren misschien dat deze gegevensverzameling alleen plaatsvindt om de prestaties te optimaliseren. Maar het feit dat ze deze gegevens kunnen verzamelen – en dat zo veel ervan naar landen als Rusland en China wordt verzonden – is reden tot grote zorg.
Gelukkig zijn er betrouwbare VPN-diensten die echt om uw privacy geven. Daaronder valt Proton VPN, dat een 100% gratis VPN-dienst biedt met open-source-apps, geen advertenties, geen datalimieten en een strikt beleid zonder logboeken dat onafhankelijk is gecontroleerd en wordt ondersteund door de Zwitserse privacywetten.
Hoe kunnen we dit doen? Het is heel eenvoudig. We financieren ons gratis abonnement op transparante wijze met een premiumdienst die een reeks geavanceerde (maar volledig optionele) functies biedt. Want bij Proton vinden we dat privacy niet met verplichtingen gepaard mag gaan.
Omslagafbeelding door Bernard Leonardo.
