Skumma VPN-tjänster kan spionera på miljontals amerikaner

Efter en månadslång undersökning av över 7 000 mobila VPN-appar världen över har Proton upptäckt att 85 % av dem som laddats ner i USA innehåller spårare, och att ungefär en fjärdedel av dessa aktivt spårar användarnas fysiska plats.

Kanske ännu mer oroande är att vi också upptäckte att 64 av de 390 VPN-appar som laddats ner från Apple App Store och Google Play i USA ägs av kinesiska företag, som enligt lag är skyldiga att dela data med sin auktoritära regering.

Med tanke på att de flesta som använder ett virtuellt privat nätverk gör det just för att skydda sin integritet, är riskerna uppenbara. Och trots löften om att skydda allmänheten lät Google och Apple dessa misstänkta VPN-appar laddas ner fler än 13,2 miljoner gånger enbart i juni 2026.

Metod

Vi granskade nedladdningar av gratisappar från Google Play. Antalet nedladdningar per månad är uppskattningar från AppTweak för maj månad. För antalet spårare använde vi data från Exodus Privacy(nytt fönster), en plattform med öppen källkod som analyserar Android-appar för att upptäcka kodsignaturer för analys-, reklam- och profileringsspårare.

Så bör VPN-tjänster fungera

När du använder en VPN förväntar du dig integritet. En pålitlig VPN gör att webbplatser inte kan se din riktiga IP-adress och hindrar din internetleverantör (och, i förlängningen , din regering) från att veta vad du gör online.

VPN har blivit en del av vardagen för så många som 100 miljoner amerikaner(nytt fönster). Tillbringa bara några minuter på YouTube och du kommer nästan säkert att stöta på en annons för VPN, som vanligtvis marknadsförs som ett viktigt verktyg för integritet, säkerhet och att kringgå censur.

För de mest välrenommerade tjänsterna håller detta påstående i stort sett. Men detta kan i sig skapa en falsk känsla av säkerhet hos miljontals konsumenter som lockas av de gratis VPN-tjänster som framträder tydligt i appbutikerna, och det döljer det faktum att många tvivelaktiga VPN gör precis motsatsen till vad du förväntar dig av dem.

Vem äger din VPN?

Transparens är avgörande när det gäller VPN.

Du bör veta vem som äger företaget som du anförtror din integritet. Vår analys visar att dussintals VPN som finns i USA ägs av företag i jurisdiktioner med långtgående övervakningslagar för data. Kanske inte helt oväntat anstränger sig många betydligt för att dölja detta.

Av de VPN vi granskade ägs 64 av kinesiska företag. Enligt kinesisk lag är företag skyldiga att göra användardata tillgängliga(nytt fönster) för regeringen på begäran. Det som gör saken värre är att 31 av dessa kinesägda VPN aktivt döljer sitt verkliga ägande bakom skalbolag registrerade i länder som Singapore, Hongkong SAR och Storbritannien.

Användare i USA laddade ner dessa skumma kinesiska appar mer än 3 miljoner gånger under en månad.

Vart tar dina data vägen?

Även VPN som inte ägs direkt av företag i länder kända för sin massövervakning kan äventyra användarnas integritet.

Vår analys visade att 85 % av VPN som finns i USA innehåller spårare som är utformade för att samla in och dela mycket personliga användardata. Det kan till exempel omfatta ditt unika enhets-ID (GAID), enhetsmodell, nätverkstyp, mobiloperatörens namn med mera.

Spårare som skickar data till	Nedladdningar i juni
Kina	1,5 miljoner
Ryssland	1,4 miljoner
Israel	2,6 miljoner
Alla tre	800 000
Five Eyes-länder	4,6 miljoner

Många av dessa USA-ägda appar ingick kommersiella avtal med utländska företag och bäddade in sin spårningsmjukvara som en del av avtalet. De ser vanligtvis VPN-appar (ofta köpta som färdigpaketerade white label-produkter) som bara ännu en populär appkategori som, precis som spel, kan tjäna pengar på genom reklam.

Det är helt enkelt så den mobila appbranschen fungerar. Och i en värld där appbutiker tar omkring 30 % av försäljningsintäkterna är det inte förvånande att appleverantörer väljer att tjäna pengar på integritetskränkande reklam i stället för förskottsbetalda prenumerationer.

Men VPN-appar är inte spel. Miljontals amerikaner använder dem för att skydda sin integritet, inte för att sälja den till reklamteknikföretag, varav många finns i länder med regeringar som är fientligt inställda till integritet och i många fall även fientligt inställda till USA:s intressen.

Även om det är svårt att veta exakt vad som görs med dina data finns det oroande tecken. Tre av de VPN-tjänster vi granskade ägs i själva verket av marknadsundersökningsföretag: ‎Phone Guardian Safe WiFi (Sensor Tower(nytt fönster)), My Mobile Secure VPN (Comscore(nytt fönster)) och Urban VPN (BiScience(nytt fönster), som har visats(nytt fönster) fånga användarkonversationer över flera tjänster och dela dem med AI-chattplattformar).

Vissa VPN spårar din plats

I vad många rimligen kan se som det ultimata sveket, spårar 64 VPN-appar aktivt din fysiska plats med hjälp av GPS och andra geolokaliseringsdata. Den som har åtkomst till dessa data kan se om du är på en protest eller träffar en journalist, advokat eller källa, och i slutändan dela informationen med brottsbekämpande myndigheter eller underrättelsetjänster.

Dessa appar omfattar några av de populäraste VPN i USA, som VPN Proxy Master, VPN-Fast VPN Super och X-VPN, och tillsammans laddades de ner mer än 3 miljoner gånger i juni. Det innebär att ungefär 20 % av alla VPN-nedladdningar i vår datauppsättning kommer från appar som spårar var du är, vilket troligen är just det du installerade en VPN för att förhindra.

Och dessa spårningsdata görs ofta tillgängliga för regeringar som är svåra att lita på.

Appbutiker tjänar på övervakning

Apple och Google skryter offentligt med sina integritetsmeriter. Ändå går dessa appar, som kan spåra allt du gör online och skicka dina personuppgifter till reklamteknikföretag, fritt att ladda ner i deras appbutiker utan varningsetiketter.

Medan appbutiker kräver att VPN-utvecklare lämnar in sina identiteter och sina integritetspolicyer, förlitar de sig i hög grad på egenrapportering och gör lite för att verifiera vad de får höra. Apple och Google kontrollerar att dokumentationen finns, men de granskar inte självständigt om en VPN faktiskt beter sig som dess integritetspolicy påstår.

Trots sina integritetslöften prioriterar Apple och Google vinster framför sina användares bästa. De tar vanligtvis ut en provision på omkring 30 % på alla intäkter från köp i appar och prenumerationer. Apple försöker särskilt rättfärdiga denna provision genom att hävda att den behövs för att täcka kostnaderna för att granska och välja ut appar för att hålla användare säkra (trots trovärdiga bevis för att företaget kammar hem 78 % av dessa avgifter(nytt fönster) som ren vinst).

Den vinstcentrerade modellen illustreras också tydligt av Apples villighet att samarbeta med auktoritära order från den kinesiska regeringen, vilket har lett till att 66 av de 100 populäraste apparna i världen inte är tillgängliga för iOS-användare i Kina.

Många av dessa är nyhetsappar (bland annat The New York Times, BBC News och Reuters), vilket visar att Apple gärna hjälper den kinesiska regeringens censurregim i utbyte mot tillgång till den mycket lukrativa Kina-marknaden. Företaget hotade till och med att ta bort Proton VPN(nytt fönster) eftersom beskrivningen i App Store sa att vår app kunde användas för att ”avblockera censurerade webbplatser”.

Resultatet? VPN med kopplingar till auktoritära regimer som har åtkomst till all din trafik, inklusive din webbläsning, appanvändning och personliga information, spårar ditt beteende online i reklamsyfte.

Så vad kan göras åt det?

Att tillåta dessa misstänkta appar att finnas på sina plattformar är en pliktförsummelse gentemot både konsumenter och utvecklare. Detta är oacceptabelt. Vi uppmanar därför Apple och Google att:

Utför mer stringenta forensiska säkerhets- och ägarkontroller av VPN-appar (förlita dig inte bara på egenrapportering).
Ta bort alla appar som inte klarar dessa kontroller från sina appbutiker.
Ge större transparens kring alla VPN-appar så att människor kan fatta välgrundade beslut om vilka som går att lita på. Detta inkluderar information om var ett företag egentligen är baserat och vad det gör med dina data.

För att sådan transparens ska vara effektiv måste Apple och Google använda en liten del av sina enorma resurser för att utreda tjänster och säkerställa att de är vad de utger sig för att vara.

Vad du kan göra för att hålla dig säker

För att på ett säkert sätt skydda din integritet med en VPN:

Använd en tjänst med transparent ägande som finns i ett land med verkliga integritetslagar.
Lita bara på VPN som har genomgått oberoende granskning.

Det finns ingen ursäkt

Eftersom all din internetaktivitet passerar genom dess servrar kan vilket VPN som helst få åtkomst till en stor mängd mycket personlig information om dig, ditt liv, din politiska läggning, vad du gillar att köpa samt dina hobbyer och intressen. Även om integritet inte är en primär angelägenhet när du väljer en VPN-app bör du oroa dig för skumma företag som inte står till svars med länkar till platser som Kina och Ryssland, där regeringen har obegränsad åtkomst till all data.

Sammantaget beter sig 85 % av apparna vi granskade i USA på sätt som strider mot hur de marknadsförs och vad man rimligen kan förvänta sig av en VPN-tjänst. Detta är oförsvarligt.

Många av dessa appar kan hävda att denna datainsamling bara görs för att optimera prestandan. Men det faktum att de kan samla in dessa data, och att så mycket av dem skickas till platser som Ryssland och Kina, är djupt oroande.

Som tur är finns det seriösa VPN-tjänster som verkligen bryr sig om att skydda din integritet. Det gäller bland annat Proton VPN, som erbjuder en 100 % gratis VPN-tjänst med appar med öppen källkod, inga annonser, inga datagränser och en strikt policy om att inte spara några loggar som granskas oberoende och stöds av schweizisk integritetslagstiftning.

Hur kan vi göra detta? Det är ganska enkelt. Vi finansierar vårt gratis paket på ett transparent sätt med en premiumtjänst som erbjuder en rad avancerade men helt valfria funktioner. För på Proton anser vi att integritet inte ska komma med förbehåll.

Omslagsbild av Bernard Leonardo.