Dünya genelinde 7.000’den fazla mobil VPN uygulamasını kapsayan aylar süren bir araştırmanın ardından Proton, ABD’de indirilenlerin %85’inin izleyici içerdiğini ve bunların yaklaşık dörtte birinin kullanıcıların fiziksel konumunu aktif olarak izlediğini tespit etti.
Daha da endişe verici olan, ABD’de Apple App Store ve Google Play’den indirilen 390 VPN’den 64’ünün, otoriter hükümetleriyle yasal olarak veri paylaşmakla yükümlü Çin şirketlerine ait olduğunu öğrenmemiz oldu.
Sanal özel ağ kullanan çoğu kişinin bunu özellikle gizliliğini korumak için yaptığı düşünülürse riskler ortada. Üstelik kamuoyunu koruma sözü vermelerine rağmen Google ve Apple, bu şüpheli VPN’lerin yalnızca Haziran 2026’da 13,2 milyon kezden fazla indirilmesine izin verdi.
Metodoloji
Google Play mağazasından ücretsiz indirilebilen uygulamaları inceledik. Aylık indirme sayıları, AppTweak’in Mayıs ayına ilişkin tahminleridir. İzleyici sayıları için ise Android uygulamalarını analiz ederek analitik, reklam ve profilleme izleyicilerinin kod imzalarını tespit eden açık kaynaklı bir platform olan Exodus Privacy(yeni pencere) verilerini kullandık.
VPN’ler nasıl çalışmalı
Bir VPN kullandığınızda gizlilik beklersiniz. Güvenilir bir VPN, sitelerin gerçek IP adresinizi görmesini engeller ve İnternet hizmeti sağlayıcınızın (ve dolayısıyla, hükümetinizin) çevrim içi olarak neler yaptığınızı bilmesini önler.
VPN’ler 100 milyon Amerikalı(yeni pencere) için günlük hayatın bir parçası hâline geldi. YouTube’da yalnızca birkaç dakika geçirin, neredeyse kesinlikle bir VPN reklamıyla karşılaşırsınız. Bu reklamlar genellikle VPN’leri gizlilik, güvenlik ve sansürü aşmak için hayati bir araç olarak tanıtır.
En saygın hizmetler için bu iddia büyük ölçüde doğru. Ancak bu durum, uygulama mağazalarında öne çıkan ücretsiz VPN’lerin cazibesine kapılan milyonlarca tüketicide yanlış bir güvenlik hissi yaratabiliyor ve birçok şüpheli VPN’in, kendilerinden beklenecek şeyin tam tersini yaptığı gerçeğini gizliyor.
VPN’nizin sahibi kim?
VPN’ler söz konusu olduğunda şeffaflık hayati önem taşır.
Gizliliğinizi emanet ettiğiniz şirketin kime ait olduğunu bilmelisiniz. Analizimiz, ABD’de sunulan düzinelerce VPN’in, müdahaleci veri gözetleme yasalarının geçerli olduğu yargı bölgelerinde bulunan şirketlere ait olduğunu ortaya koydu. Şaşırtıcı olmayan bir şekilde, birçoğu bu gerçeği gizlemek için büyük çaba harcıyor.
İncelediğimiz VPN’lerden 64’ü Çin şirketlerine ait. Çin yasaları uyarınca şirketler, talep üzerine kullanıcı verilerini hükümete sunmak zorunda(yeni pencere). Daha da kötüsü, bu Çin’e ait VPN’lerin 31’i, Singapur, Çin Hong Kong ÖİB ve Birleşik Krallık gibi yerlerde kayıtlı paravan şirketler aracılığıyla gerçek sahipliklerini aktif olarak gizliyor.
ABD’deki kullanıcılar bu şüpheli Çin uygulamalarını bir ay içinde 3 milyon kezden fazla indirdi.
Verileriniz nereye gidiyor?
Kitlesel gözetleme uygulamalarıyla bilinen ülkelerde bulunan şirketlere doğrudan ait olmayan VPN’ler bile kullanıcıların gizliliğini tehlikeye atabilir.
Analizimiz, ABD’de sunulan VPN’lerin %85’inin izleyici içerdiğini ortaya koydu. Bu izleyiciler, son derece kişisel kullanıcı verilerini toplamak ve paylaşmak üzere tasarlanmıştır. Bunlar arasında benzersiz aygıt kimliğiniz (GAID), aygıt modeli, ağ türü, mobil operatör adı ve daha fazlası yer alabilir.
| Veri gönderen izleyiciler | Haziran indirmeleri |
|---|---|
| Çin | 1,5 milyon |
| Rusya | 1,4 milyon |
| İsrail | 2,6 milyon |
| Üçü de | 800.000 |
| Beş Göz ülkeleri | 4,6 milyon |
Bu ABD’ye ait uygulamaların çoğu, izleme yazılımlarını anlaşmanın bir parçası olarak gömmek için yabancı şirketlerle ticari anlaşmalar yaptı. Bu şirketler genellikle VPN uygulamalarını (çoğunlukla hazır beyaz etiketli ürünler olarak satın alınan) oyunlar gibi reklam yoluyla gelir elde edilebilecek sıradan bir popüler uygulama kategorisi olarak görüyor.
Mobil uygulama sektörü basitçe böyle işliyor. Uygulama mağazalarının satış gelirinin yaklaşık %30’unu aldığı bir dünyada, uygulama sağlayıcılarının ürünlerinden ön ödemeli abonelikler yerine gizliliği ihlal eden reklamlarla para kazanmayı seçmesi şaşırtıcı değil.
Ancak VPN uygulamaları oyun değildir. Milyonlarca Amerikalı bunları gizliliklerini korumak için kullanıyor; gizliliklerini, çoğu gizliliğe düşman, hatta birçok durumda ABD çıkarlarına da düşman hükümetlere sahip ülkelerde bulunan reklam teknolojisi şirketlerine satmak için değil.
Verilerinizle tam olarak ne yapıldığını bilmek zor olsa da endişe verici işaretler var. İncelediğimiz VPN hizmetlerinden üçü aslında pazar araştırması şirketlerine ait: Phone Guardian Safe WiFi (Sensor Tower(yeni pencere)), My Mobile Secure VPN (Comscore(yeni pencere)) ve Urban VPN (BiScience(yeni pencere); bu şirketin, çeşitli hizmetlerdeki kullanıcı yazışmalarını yakalayıp yapay zeka sohbet platformlarıyla paylaştığı gösterildi(yeni pencere)).
Bazı VPN’ler konumunuzu izliyor
Birçok kişinin haklı olarak ihanetin zirvesi sayabileceği bir durumda, 64 VPN uygulaması GPS ve diğer coğrafi konum verilerini kullanarak fiziksel konumunuzu aktif olarak izliyor. Bu verilere erişimi olan herkes, bir protestoda mı yoksa bir gazeteci, avukat ya da kaynakla görüşüyor musunuz görebilir ve sonuçta bu bilgiyi kolluk kuvvetleri veya istihbarat servisleriyle paylaşabilir.
Bu uygulamalar arasında VPN Proxy Master, VPN-Fast VPN Super ve X-VPN gibi ABD’nin en popüler VPN’lerinden bazıları yer alıyor ve bunlar haziranda toplamda 3 milyon kezden fazla indirildi. Bu da veri setimizdeki tüm VPN indirmelerinin yaklaşık %20’sinin, muhtemelen bir VPN’i tam da bunu önlemek için kurduğunuz hâlde konumunuzu izleyen uygulamalardan geldiği anlamına geliyor.
Üstelik bu izleme verileri sıklıkla güvenilmesi zor hükümetlerin erişimine sunuluyor.
Uygulama mağazaları gözetlemeden kazanç sağlıyor
Apple ve Google, gizlilik konusundaki sicillerini kamuoyuna övüyor. Oysa çevrim içi yaptığınız her şeyi izleyebilen ve kişisel verilerinizi reklam teknolojisi şirketlerine gönderebilen bu uygulamalar, hiçbir uyarı etiketi olmadan kendi uygulama mağazalarından serbestçe indirilebiliyor.
Uygulama mağazaları VPN geliştiricilerinden kimliklerini ve gizlilik ilkelerini sunmalarını istese de büyük ölçüde beyanlara güveniyor ve kendilerine söylenenleri doğrulamak için neredeyse hiçbir şey yapmıyor. Apple ve Google evrakların var olup olmadığını kontrol ediyor, ancak bir VPN’in gizlilik ilkesinin iddia ettiği gibi davranıp davranmadığını bağımsız olarak denetlemiyor.
Gizlilik iddialarına rağmen Apple ve Google, kârı kullanıcılarının çıkarlarının önüne koyuyor. Uygulama içi satın almalardan ve aboneliklerden elde edilen tüm gelirden genellikle yaklaşık %30 komisyon alıyorlar. Apple özellikle, kullanıcıları güvende tutmak için uygulamaları incelemenin ve düzenlemenin maliyetlerini karşılamak gerektiğini öne sürerek bu komisyonu meşrulaştırmaya çalışıyor (bu ücretlerin %78’ini saf kâr olarak cebe indirdiğine(yeni pencere) dair inandırıcı kanıtlar olmasına rağmen).
Kâr odaklı model, Apple’ın Çin hükümetinden gelen otoriter taleplere uyma konusundaki istekliliğiyle de fazlasıyla gözler önüne seriliyor; bu durum, dünya çapında en popüler 100 uygulamanın 66’sının Çin’deki iOS kullanıcıları için kullanılamaz hâle gelmesiyle sonuçlandı.
Bunların çoğu haber uygulaması (The New York Times, BBC News ve Reuters gibi yayınlar dahil) ve bu da Apple’ın son derece kazançlı Çin pazarına erişim karşılığında Çin hükümetinin sansür rejimine yardımcı olmaktan memnuniyet duyduğunu gösteriyor. Apple, App Store açıklamasında uygulamamızın “sansürlenmiş sitelerin engelini kaldırmak” için kullanılabileceği yazdığı için Proton VPN’i kaldırmakla tehdit etti(yeni pencere) bile.
Sonuç? Web’de gezinmeniz, uygulama kullanımınız ve kişisel bilgileriniz dahil tüm trafiğinize erişimi olan otoriter rejimlerle bağlantılı VPN’ler, reklam amacıyla çevrim içi davranışlarınızı izliyor.
Peki bu konuda ne yapılabilir?
Bu şüpheli uygulamaların platformlarında barınmasına izin vermek, hem tüketicilere hem de geliştiricilere karşı görev ihmalidir. Bu kabul edilemez. Bu nedenle Apple ve Google’ı şunları yapmaya çağırıyoruz:
- VPN uygulamalarında daha sıkı adli güvenlik ve sahiplik kontrolleri yapmak (yalnızca beyanlara güvenmekle yetinmemek)
- Bu kontrolleri geçemeyen tüm uygulamaları uygulama mağazalarından kaldırmak
- Tüm VPN uygulamaları hakkında daha fazla şeffaflık sağlamak, böylece insanlar hangilerine güvenilebileceği konusunda bilinçli kararlar verebilir. Bu, bir şirketin (gerçekte) nerede bulunduğu ve verilerinizle ne yaptığı hakkında bilgi sunmayı da kapsar
Bu tür bir şeffaflığın etkili olabilmesi için Apple ve Google’ın, hizmetleri araştırmak ve iddia ettikleri şey olduklarını doğrulamak üzere devasa kaynaklarının çok küçük bir bölümünü kullanması gerekiyor.
Güvende kalmak için yapabilecekleriniz
Bir VPN ile gizliliğinizi güvenle korumak için:
- Sahipliği şeffaf ve gerçek gizlilik yasalarına sahip bir ülkede bulunan bir hizmet kullanın
- Yalnızca bağımsız olarak denetlenmiş VPN’lere güvenin
Mazeret yok
Tüm internet etkinliğiniz VPN’in sunucularından geçtiği için herhangi bir VPN, sizinle, yaşamınızla, siyasi eğilimlerinizle, ne satın almayı sevdiğinizle, hobileriniz ve ilgi alanlarınızla ilgili çok sayıda son derece kişisel bilgiye erişme potansiyeline sahiptir. Bir VPN uygulaması seçerken gizlilik birincil bir kaygı olmasa bile, Çin ve Rusya gibi hükümetin tüm verilere sınırsız erişime sahip olduğu yerlerle bağlantıları olan şüpheli, hesap vermeyen şirketler için endişelenmelisiniz.
ABD’de incelediğimiz uygulamaların toplamda %85’i, pazarlanma biçimlerine ve bir VPN hizmetinden makul olarak bekleyebileceklerinize aykırı davranıyor. Bu kabul edilemez.
Bu uygulamaların çoğu, bu veri toplama işleminin yalnızca performansı optimize etmek için yapıldığını iddia edebilir. Ancak bu verileri toplayabilmeleri ve bu kadarının Rusya ve Çin gibi yerlere gönderilmesi ciddi endişe kaynağıdır.
Neyse ki gizliliğinizi korumayı gerçekten önemseyen saygın VPN hizmetleri var. Buna Proton VPN de dahildir. Proton VPN, açık kaynaklı uygulamalarla, reklamsız bir deneyimle, veri sınırı olmadan ve bağımsız olarak denetlenen, İsviçre gizlilik yasalarıyla desteklenen katı bir kayıt tutmama ilkesiyle %100 ücretsiz VPN hizmeti sunar.
Bunu nasıl yapıyoruz? Oldukça basit. Ücretsiz tarifemizi, bir dizi gelişmiş (ancak tamamen isteğe bağlı) özellik sunan ücretli bir hizmetle şeffaf bir şekilde finanse ediyoruz. Çünkü Proton’da gizliliğin koşullara bağlı olmaması gerektiğine inanıyoruz.
Kapak görseli: Bernard Leonardo.
