Após um estudo de vários meses sobre mais de 7 000 aplicações VPN móveis em todo o mundo, a Proton descobriu que 85% das transferidas nos EUA contêm rastreadores e cerca de um quarto destas rastreia ativamente a localização física dos utilizadores.
Talvez ainda mais preocupante, soube-se também que 64 das 390 VPN transferidas da App Store da Apple e da Google Play nos EUA pertencem a empresas chinesas, que estão legalmente obrigadas a partilhar dados com o seu governo autoritário.
Dado que a maioria das pessoas que utiliza uma rede privada virtual fá-lo especificamente para proteger a sua privacidade, os riscos são óbvios. E, apesar das promessas de proteger o público, a Google e a Apple permitiram que estas VPN suspeitas fossem transferidas mais de 13,2 milhões de vezes só em junho de 2026.
Metodologia
Analisámos transferências de aplicações sem custo inicial da loja Google Play. As contagens mensais de transferências são estimativas da AppTweak para o mês de maio. Para as contagens de rastreadores, utilizámos dados da Exodus Privacy(nova janela), uma plataforma de código aberto que analisa aplicações Android para detetar as assinaturas de código de rastreadores de análise, publicidade e criação de perfis.
Como as VPN devem funcionar
Quando utiliza uma VPN, espera ter privacidade. Uma VPN de confiança impede os sítios web de ver o seu verdadeiro endereço IP e impede o seu provedor de serviços de internet e, por extensão, o seu governo, de saber o que faz online.
As VPN tornaram-se parte da vida quotidiana de até 100 milhões de norte-americanos(nova janela). Basta passar alguns minutos no YouTube para quase certamente encontrar um anúncio de VPN, que são normalmente promovidas como uma ferramenta vital para a privacidade, a segurança e contornar a censura.
Para os serviços mais reputados, esta afirmação é largamente válida. Mas isto, por si só, pode criar uma falsa sensação de segurança em milhões de consumidores que são tentados pelas VPN gratuitas que se destacam nas lojas de aplicações e oculta o facto de muitas VPN duvidosas fazerem exatamente o oposto do que se esperaria delas.
A quem pertence a sua VPN?
No que toca às VPN, a transparência é vital.
Deve saber a quem pertence a empresa a quem confia a sua privacidade. A nossa análise concluiu que dezenas de VPN disponíveis nos EUA pertencem a empresas sediadas em jurisdições com leis intrusivas de vigilância de dados. Talvez sem surpresa, muitas fazem grandes esforços para ocultar este facto.
Das VPN que analisámos, 64 pertencem a empresas chinesas. Ao abrigo da lei chinesa, as empresas são obrigadas a disponibilizar dados dos utilizadores(nova janela) ao governo, a pedido deste. O que agrava a situação é que 31 destas VPN de propriedade chinesa ocultam ativamente a sua verdadeira propriedade por trás de empresas de fachada registadas em locais como Singapura, Hong Kong, RAE da China e o Reino Unido.
Os utilizadores nos EUA transferiram estas aplicações chinesas duvidosas mais de 3 milhões de vezes num mês.
Para onde vão os seus dados?
Mesmo as VPN que não pertencem diretamente a empresas sediadas em países conhecidos pelas suas práticas de vigilância em massa podem pôr em risco a privacidade dos utilizadores.
A nossa análise concluiu que 85% das VPN disponíveis nos EUA contêm rastreadores concebidos para recolher e partilhar dados altamente pessoais dos utilizadores. Isto pode incluir o identificador único do seu dispositivo, GAID, o modelo do dispositivo, o tipo de rede, o nome da operadora móvel, etc.
| Rastreadores que enviam dados para | Transferências em junho |
|---|---|
| China | 1,5 milhões |
| Rússia | 1,4 milhões |
| Israel | 2,6 milhões |
| Todos os três | 800 000 |
| Países do Five Eyes | 4,6 milhões |
Muitas destas aplicações detidas por empresas dos EUA celebraram acordos comerciais com empresas estrangeiras, incorporando o seu software de rastreamento como parte do acordo. Normalmente veem as aplicações VPN, muitas vezes adquiridas como produtos de marca branca prontos a usar, como apenas mais uma categoria popular de aplicações que, tal como os jogos, pode ser monetizada através de publicidade.
É simplesmente assim que a indústria das aplicações móveis funciona. E num mundo em que as lojas de aplicações ficam com cerca de 30% da receita de vendas, não é surpreendente que os fornecedores de aplicações optem por monetizar os seus produtos através de publicidade invasiva da privacidade, em vez de subscrições pagas antecipadamente.
Mas as aplicações VPN não são jogos. Milhões de norte-americanos usam-nas para proteger a sua privacidade, não para vender a sua privacidade a empresas de tecnologia publicitária, muitas das quais estão sediadas em países com governos hostis à privacidade e, em muitos casos, também hostis aos interesses dos EUA.
Embora seja difícil saber exatamente o que é feito com os seus dados, há sinais preocupantes. Três dos serviços VPN que analisámos pertencem, na verdade, a empresas de estudos de mercado: Phone Guardian Safe Wi-Fi, da Sensor Tower(nova janela); My Mobile Secure VPN, da Comscore(nova janela); e Urban VPN, da BiScience(nova janela), que, conforme mostrado(nova janela), captura conversas de utilizadores em vários serviços e as partilha com plataformas de conversação com IA.
Algumas VPN rastreiam a sua localização
Naquilo que muitos podem razoavelmente considerar o derradeiro ato de traição, 64 aplicações VPN rastreiam ativamente a sua localização física utilizando GPS e outros dados de geolocalização. Qualquer pessoa com acesso a estes dados pode ver se está num protesto ou a reunir-se com um jornalista, advogado ou fonte, e, em última análise, partilhar essa informação com autoridades policiais ou serviços de informações.
Estas aplicações incluem algumas das VPN mais populares nos EUA, como VPN Proxy Master, VPN-Fast VPN Super e X-VPN, e, em conjunto, foram transferidas mais de 3 milhões de vezes em junho. Isto significa que cerca de 20% de todas as transferências de VPN no nosso conjunto de dados vêm de aplicações que rastreiam onde está, que é provavelmente exatamente aquilo que instalou uma VPN para evitar.
E estes dados de rastreamento são frequentemente disponibilizados a governos em que é difícil confiar.
As lojas de aplicações estão a lucrar com a vigilância
A Apple e a Google proclamam publicamente as suas credenciais de privacidade. No entanto, estas aplicações, que podem rastrear tudo o que faz online e enviar os seus dados pessoais para empresas de tecnologia publicitária, podem ser transferidas livremente nas suas lojas de aplicações sem etiquetas de aviso.
Embora as lojas de aplicações exijam que os programadores de VPN apresentem as suas identidades e as suas políticas de privacidade, baseiam-se fortemente na autodeclaração e fazem pouco para verificar o que lhes é dito. A Apple e a Google verificam que a documentação existe, mas não auditam de forma independente se uma VPN se comporta realmente como a sua política de privacidade afirma.
Apesar das suas alegações de privacidade, a Apple e a Google dão prioridade aos lucros em detrimento do melhor interesse dos seus utilizadores. Normalmente cobram uma comissão de cerca de 30% sobre toda a receita gerada por compras integradas e subscrições. A Apple, em particular, procura justificar esta comissão alegando que é necessária para cobrir os custos de análise e curadoria das aplicações para manter os utilizadores em segurança, apesar de provas credíveis de que embolsa 78% destas taxas(nova janela) como lucro puro.
O modelo centrado no lucro é também amplamente ilustrado pela vontade da Apple de cooperar com ordens autoritárias do governo chinês, o que resultou em 66 das 100 aplicações mais populares em todo o mundo estarem indisponíveis para os utilizadores de iOS na China.
Muitas destas são aplicações de notícias, incluindo nomes como The New York Times, BBC News e Reuters, o que mostra que a Apple não se importa de ajudar o regime de censura do governo chinês em troca de acesso ao muito lucrativo mercado chinês. A Apple chegou mesmo a ameaçar remover a Proton VPN(nova janela) porque a descrição na App Store dizia que a nossa aplicação podia ser usada para «desbloquear sítios web censurados».
O resultado? VPN ligadas a regimes autoritários, que têm acesso a todo o seu tráfego, incluindo a sua navegação web, a utilização de aplicações e informações pessoais, estão a rastrear o seu comportamento online para fins publicitários.
Então, o que pode ser feito quanto a isto?
Permitir que estas aplicações suspeitas existam nas suas plataformas é um incumprimento do dever para com consumidores e programadores. Isto é inaceitável. Por isso, apelamos à Apple e à Google para que:
- Realizem verificações forenses de segurança e de propriedade mais rigorosas nas aplicações VPN, em vez de se limitarem a confiar na autodeclaração.
- Removam todas as aplicações que não cumpram estas verificações das suas lojas de aplicações.
- Proporcionem maior transparência sobre todas as aplicações VPN para que as pessoas possam tomar decisões informadas sobre em quais se pode confiar. Isto inclui fornecer informações sobre onde uma empresa está realmente sediada e o que está a fazer com os seus dados.
Para que essa transparência seja eficaz, a Apple e a Google devem usar uma pequena parte dos seus vastos recursos para investigar serviços e confirmar que são aquilo que afirmam ser.
O que pode fazer para se manter em segurança
Para proteger a sua privacidade em segurança com uma VPN:
- Utilize um serviço com propriedade transparente e sediado num país com leis de privacidade reais.
- Confie apenas em VPNs que tenham sido auditadas de forma independente.
Não há desculpa
Como toda a sua atividade na internet passa pelos servidores da VPN, qualquer VPN tem o potencial de aceder a uma grande quantidade de informações altamente pessoais sobre si, a sua vida, as suas inclinações políticas, aquilo que gosta de comprar e os seus passatempos e interesses. Mesmo que a privacidade não seja uma preocupação principal ao escolher uma aplicação VPN, deve preocupar-se com empresas obscuras e que não prestam contas, com ligações a locais como a China e a Rússia, onde o governo tem acesso sem restrições a todos os dados.
No total, 85% das aplicações que estudámos nos EUA comportam-se de formas contrárias à forma como são comercializadas e ao que se esperaria razoavelmente de um serviço VPN. Isto é inexcusável.
Muitas destas aplicações podem alegar que esta recolha de dados serve apenas para otimizar o desempenho. Mas o facto de conseguirem recolher estes dados — e de uma quantidade tão grande deles ser enviada para locais como a Rússia e a China — é motivo de grave preocupação.
Felizmente, existem serviços VPN de boa reputação que se preocupam genuinamente em proteger a sua privacidade. É o caso do Proton VPN, que oferece um serviço VPN 100% gratuito com aplicações de código aberto, sem anúncios nem limites de dados e uma política sem registos rigorosa, auditada de forma independente e apoiada pelas leis suíças de privacidade.
Como é que fazemos isto? É bastante simples. Financiamos o nosso plano gratuito de forma transparente com um serviço premium que oferece uma série de funcionalidades avançadas, mas totalmente opcionais. Porque, na Proton, acreditamos que a privacidade não deve vir com condições ocultas.
Imagem de capa de Bernard Leonardo.
