Sau cuộc khảo sát kéo dài nhiều tháng với hơn 7.000 ứng dụng VPN di động trên toàn thế giới, Proton phát hiện ra rằng 85% trong số những ứng dụng được tải xuống tại Mỹ có chứa trình theo dõi, và khoảng một phần tư trong số đó chủ động theo dõi vị trí thực tế của người dùng.
Có thể còn đáng lo ngại hơn, kết quả cũng cho thấy rằng 64 trong số 390 VPN được tải xuống từ Apple App Store và Google Play tại Mỹ thuộc sở hữu của các công ty Trung Quốc, những công ty này có nghĩa vụ pháp lý phải chia sẻ dữ liệu với chính phủ độc tài của họ.
Vì hầu hết những người sử dụng mạng riêng ảo đều làm vậy để bảo vệ quyền riêng tư, nên rủi ro là quá rõ ràng. Và bất chấp những lời hứa bảo vệ công chúng, Google và Apple vẫn để những VPN đáng ngờ này được tải xuống hơn 13,2 triệu lần chỉ trong tháng 6 năm 2026.
Phương pháp nghiên cứu
Đã xem xét các lượt tải xuống miễn phí từ cửa hàng Google Play. Số lượt tải xuống hàng tháng là ước tính từ AppTweak cho tháng 5. Về số lượng trình theo dõi, dữ liệu được lấy từ Exodus Privacy(cửa sổ mới), một nền tảng mã nguồn mở phân tích ứng dụng Android để phát hiện chữ ký mã của các trình theo dõi phân tích, quảng cáo và lập hồ sơ.
VPN nên hoạt động như thế nào
Khi bạn sử dụng VPN, bạn mong đợi quyền riêng tư. Một VPN đáng tin cậy ngăn các trang web nhìn thấy địa chỉ IP thực của bạn và ngăn nhà cung cấp dịch vụ internet của bạn (và do đó, chính phủ của bạn) biết những gì bạn làm trực tuyến.
VPN đã trở thành một phần của cuộc sống hàng ngày đối với 100 triệu người Mỹ(cửa sổ mới). Chỉ cần dành vài phút trên YouTube, bạn gần như chắc chắn sẽ bắt gặp quảng cáo về VPN, vốn thường được quảng bá như một công cụ thiết yếu để bảo vệ quyền riêng tư, bảo mật và vượt qua kiểm duyệt.
Đối với những dịch vụ uy tín nhất, tuyên bố này phần lớn là đúng. Nhưng điều đó tự nó có thể tạo ra cảm giác an toàn giả tạo cho hàng triệu người tiêu dùng, những người bị thu hút bởi các VPN miễn phí nổi bật trên các cửa hàng ứng dụng, và nó che giấu sự thật rằng nhiều VPN đáng ngờ đang làm điều hoàn toàn ngược lại với những gì bạn mong đợi ở chúng.
Ai sở hữu VPN của bạn?
Khi nói đến VPN, tính minh bạch là điều thiết yếu.
Bạn nên biết ai sở hữu công ty mà bạn đang tin tưởng giao phó quyền riêng tư của mình. Phân tích của chúng tôi cho thấy hàng chục VPN có sẵn tại Mỹ thuộc sở hữu của các công ty đặt trụ sở tại những khu vực pháp lý có luật giám sát dữ liệu xâm phạm. Có lẽ không ngạc nhiên, nhiều công ty đã nỗ lực không ít để che giấu sự thật này.
Trong số các VPN được nghiên cứu, 64 VPN thuộc sở hữu của các công ty Trung Quốc. Theo luật Trung Quốc, các công ty buộc phải cung cấp dữ liệu người dùng(cửa sổ mới) cho chính phủ khi được yêu cầu. Điều tệ hơn là 31 trong số các VPN thuộc sở hữu Trung Quốc này chủ động che giấu quyền sở hữu thực sự của mình đằng sau các công ty vỏ bọc đăng ký tại những nơi như Singapore, Hồng Kông và Vương quốc Anh.
Người dùng tại Mỹ đã tải xuống các ứng dụng Trung Quốc mờ ám này hơn 3 triệu lần trong một tháng.
Dữ liệu của bạn đi đâu?
Ngay cả những VPN không thuộc sở hữu trực tiếp của các công ty có trụ sở tại những quốc gia nổi tiếng với hoạt động giám sát hàng loạt cũng có thể gây nguy hiểm cho quyền riêng tư của người dùng.
Phân tích của chúng tôi phát hiện ra rằng 85% VPN có sẵn tại Mỹ chứa trình theo dõi được thiết kế để thu thập và chia sẻ dữ liệu người dùng mang tính cá nhân cao. Điều này có thể bao gồm ID thiết bị duy nhất của bạn (GAID), kiểu thiết bị, loại mạng, tên nhà mạng di động, v.v.
| Trình theo dõi gửi dữ liệu đến | Lượt tải xuống trong tháng 6 |
|---|---|
| Trung Quốc | 1,5 triệu |
| Nga | 1,4 triệu |
| Israel | 2,6 triệu |
| Cả ba | 800.000 |
| Các quốc gia Five Eyes | 4,6 triệu |
Nhiều ứng dụng thuộc sở hữu Mỹ này đã ký kết các thỏa thuận thương mại với các công ty nước ngoài, nhúng phần mềm theo dõi của họ như một phần của thỏa thuận. Họ thường coi các ứng dụng VPN (thường được mua dưới dạng sản phẩm nhãn trắng có sẵn) chỉ là một loại ứng dụng phổ biến khác, giống như trò chơi, có thể được kiếm tiền thông qua quảng cáo.
Đây đơn giản là cách ngành công nghiệp ứng dụng di động vận hành. Và trong một thế giới mà các cửa hàng ứng dụng lấy khoảng 30% doanh thu bán hàng, không có gì ngạc nhiên khi các nhà cung cấp ứng dụng có thể chọn kiếm tiền từ sản phẩm của họ thông qua quảng cáo xâm phạm quyền riêng tư, thay vì đăng ký trả phí trước.
Nhưng ứng dụng VPN không phải là trò chơi. Hàng triệu người Mỹ sử dụng chúng để bảo vệ quyền riêng tư, chứ không phải để bán quyền riêng tư của mình cho các công ty công nghệ quảng cáo, nhiều công ty trong số đó có trụ sở tại các quốc gia có chính phủ thù địch với quyền riêng tư, và trong nhiều trường hợp, cũng thù địch với lợi ích của Mỹ.
Mặc dù khó biết chính xác dữ liệu của bạn đang bị làm gì, nhưng có những dấu hiệu đáng lo ngại. Ba trong số các dịch vụ VPN mà chúng tôi xem xét thực sự thuộc sở hữu của các công ty nghiên cứu thị trường: Phone Guardian Safe WiFi (Sensor Tower(cửa sổ mới)), My Mobile Secure VPN (Comscore(cửa sổ mới)), và Urban VPN (BiScience(cửa sổ mới), đã được chứng minh(cửa sổ mới) là thu thập hội thoại của người dùng trên nhiều dịch vụ và chia sẻ chúng với các nền tảng trò chuyện AI).
Một số VPN theo dõi vị trí của bạn
Theo cách mà nhiều người có thể thấy hợp lý là hành vi phản bội tột cùng, 64 ứng dụng VPN chủ động theo dõi vị trí thực tế của bạn bằng GPS và các dữ liệu định vị khác. Bất kỳ ai có quyền truy cập dữ liệu này đều có thể thấy bạn đang ở một cuộc biểu tình hay đang gặp gỡ một nhà báo, luật sư hoặc nguồn tin, và cuối cùng chia sẻ thông tin đó với cơ quan thực thi pháp luật hoặc cơ quan tình báo.
Các ứng dụng này bao gồm một số VPN phổ biến nhất tại Mỹ, như VPN Proxy Master, VPN-Fast VPN Super và X-VPN, và tổng cộng chúng đã được tải xuống hơn 3 triệu lần trong tháng 6. Điều này có nghĩa là khoảng 20% tổng số lượt tải xuống VPN trong tập dữ liệu của chúng tôi đến từ các ứng dụng theo dõi vị trí của bạn, điều có thể chính là thứ bạn cài đặt VPN để ngăn chặn.
Và dữ liệu theo dõi này thường được cung cấp cho các chính phủ khó có thể tin tưởng.
Các cửa hàng ứng dụng đang trục lợi từ hoạt động giám sát
Apple và Google công khai quảng bá thành tích về quyền riêng tư của họ. Tuy nhiên, những ứng dụng này, vốn có thể theo dõi mọi thứ bạn làm trực tuyến và gửi dữ liệu cá nhân của bạn đến các công ty công nghệ quảng cáo, lại được tải xuống miễn phí trên các cửa hàng ứng dụng của họ mà không có nhãn cảnh báo.
Trong khi các cửa hàng ứng dụng yêu cầu nhà phát triển VPN gửi danh tính và chính sách quyền riêng tư của họ, họ dựa rất nhiều vào việc tự báo cáo và làm rất ít để xác minh những gì được nói. Apple và Google kiểm tra xem giấy tờ có tồn tại hay không, nhưng họ không kiểm toán độc lập liệu một VPN có thực sự hoạt động theo cách mà chính sách quyền riêng tư của nó tuyên bố hay không.
Bất chấp những tuyên bố về quyền riêng tư, Apple và Google đặt lợi nhuận lên trên lợi ích tốt nhất của người dùng. Họ thường lấy khoảng 30% hoa hồng trên tất cả doanh thu tạo ra từ giao dịch mua trong ứng dụng và đăng ký. Apple đặc biệt tìm cách biện minh cho khoản hoa hồng này bằng cách tuyên bố rằng cần thiết để trang trải chi phí xem xét và tuyển chọn ứng dụng nhằm bảo vệ người dùng an toàn (bất chấp bằng chứng đáng tin cậy rằng hãng bỏ túi 78% trong số các khoản phí này(cửa sổ mới) như lợi nhuận ròng).
Mô hình lấy lợi nhuận làm trung tâm cũng được minh họa rõ ràng qua việc Apple sẵn sàng hợp tác với các mệnh lệnh độc tài từ chính phủ Trung Quốc, dẫn đến việc 66 trong số 100 ứng dụng phổ biến nhất trên toàn thế giới không khả dụng đối với người dùng iOS tại Trung Quốc.
Nhiều ứng dụng trong số này là ứng dụng tin tức (bao gồm những cái tên như The New York Times, BBC News và Reuters), cho thấy Apple sẵn lòng hỗ trợ chế độ kiểm duyệt của chính phủ Trung Quốc để đổi lấy quyền truy cập vào thị trường Trung Quốc vô cùng sinh lợi. Thậm chí hãng còn đe dọa xóa Proton VPN(cửa sổ mới) vì mô tả trên App Store nói rằng ứng dụng của chúng tôi có thể được dùng để “mở khóa các trang web bị kiểm duyệt”.
Kết quả? Các VPN có liên quan đến chế độ độc tài, những kẻ có quyền truy cập vào toàn bộ lưu lượng của bạn, bao gồm lịch sử duyệt web, việc sử dụng ứng dụng và thông tin cá nhân, đang theo dõi hành vi trực tuyến của bạn cho mục đích quảng cáo.
Vậy có thể làm gì về điều đó?
Việc cho phép những ứng dụng đáng ngờ này tồn tại trên nền tảng của họ là sự bỏ bê trách nhiệm đối với cả người tiêu dùng và nhà phát triển. Điều này là không thể chấp nhận. Do đó, chúng tôi kêu gọi Apple và Google:
- Thực hiện kiểm tra bảo mật pháp y và quyền sở hữu nghiêm ngặt hơn đối với ứng dụng VPN (không chỉ dựa vào tự báo cáo)
- Xóa tất cả ứng dụng không đáp ứng các kiểm tra này khỏi cửa hàng ứng dụng của họ
- Cung cấp thông tin minh bạch hơn về tất cả ứng dụng VPN để mọi người có thể đưa ra quyết định sáng suốt về việc ứng dụng nào đáng tin cậy. Điều này bao gồm cung cấp thông tin về nơi công ty thực sự đặt trụ sở và những gì họ đang làm với dữ liệu của bạn
Để sự minh bạch như vậy có hiệu quả, Apple và Google phải sử dụng một phần nhỏ trong nguồn lực khổng lồ của họ để điều tra các dịch vụ và xác minh rằng chúng đúng như những gì chúng tự nhận.
Bạn có thể làm gì để giữ an toàn
Để bảo vệ quyền riêng tư của bạn một cách an toàn bằng VPN:
- Sử dụng dịch vụ có quyền sở hữu minh bạch, được đặt tại quốc gia có luật quyền riêng tư thực sự
- Chỉ tin tưởng những VPN đã được kiểm toán độc lập
Không có lời biện minh nào
Vì toàn bộ hoạt động internet của bạn đều đi qua máy chủ của nó, bất kỳ VPN nào cũng có khả năng truy cập một lượng lớn thông tin mang tính cá nhân cao về bạn, cuộc sống của bạn, khuynh hướng chính trị, những món đồ bạn thích mua, sở thích và mối quan tâm của bạn. Ngay cả khi quyền riêng tư không phải là mối quan tâm chính khi chọn ứng dụng VPN, bạn vẫn nên lo ngại về những công ty mờ ám, không có trách nhiệm giải trình với các liên kết đến những nơi như Trung Quốc và Nga, nơi chính phủ có quyền truy cập không giới hạn vào mọi dữ liệu.
Tổng cộng, 85% ứng dụng chúng tôi nghiên cứu tại Mỹ đang hành xử trái ngược với cách chúng được quảng cáo và những gì bạn có thể mong đợi một cách hợp lý từ một dịch vụ VPN. Điều này không thể chấp nhận được.
Nhiều ứng dụng trong số này có thể tuyên bố rằng việc thu thập dữ liệu này chỉ nhằm tối ưu hiệu suất. Nhưng việc chúng có thể thu thập dữ liệu này, cùng với việc rất nhiều dữ liệu trong đó được gửi đến những nơi như Nga và Trung Quốc, là nguyên nhân gây lo ngại nghiêm trọng.
May thay, vẫn có những dịch vụ VPN danh tiếng thực sự quan tâm đến việc bảo vệ quyền riêng tư của bạn. Trong đó có Proton VPN, dịch vụ cung cấp VPN miễn phí 100% với ứng dụng mã nguồn mở, không quảng cáo, không giới hạn dữ liệu và chính sách không ghi nhật ký nghiêm ngặt, được kiểm toán độc lập và được luật quyền riêng tư Thụy Sĩ bảo vệ.
Làm thế nào để thực hiện được điều này? Rất đơn giản. Gói miễn phí được tài trợ một cách minh bạch nhờ dịch vụ cao cấp cung cấp nhiều tính năng nâng cao (nhưng hoàn toàn tùy chọn). Bởi vì tại Proton, chúng tôi tin rằng quyền riêng tư không nên đi kèm với những ràng buộc.
Ảnh bìa của Bernard Leonardo.
