在對全球超過 7,000 款行動 VPN 應用程式進行長達數月的調查後，Proton 發現，其中在美國下載的應用程式有 85% 含有追蹤程式，而約有四分之一會主動追蹤使用者的實際位置。

或許更令人擔憂的是，我們還發現，在美國從 Apple App Store 和 Google Play 下載的 390 款 VPN 中，有 64 款由中國公司持有，而這些公司在法律上有義務與其威權政府共享資料。

鑑於大多數使用虛擬私人網路的人，都是為了保護自身隱私，這些風險顯而易見。儘管 Google 和 Apple 承諾保護大眾，卻任由這些可疑的 VPN 在 2026 年 6 月單月被下載超過 1,320 萬次。

研究方法

我們檢視了 Google Play 商店中採免費增值模式（free-to-pay）的下載項目。每月下載次數為 AppTweak 針對 5 月份所做的估計值。至於追蹤程式數量，我們採用 Exodus Privacy(新視窗) 的資料，這是一個開放原始碼平台，能分析 Android 應用程式，以偵測分析、廣告與剖析類追蹤程式的代碼簽名。

VPN 應該如何運作

使用 VPN 時，您期待擁有隱私。值得信任的 VPN 會阻止網站看到您真實的 IP 位址，並防止您的網際網路服務供應商（以及連帶地，您的政府）得知您在線上從事什麼活動。

VPN 已成為多達 1 億美國人(新視窗)日常生活的一部分。只要在 YouTube 上花幾分鐘，您幾乎一定會看到 VPN 廣告，這些廣告通常將 VPN 宣傳為保護隱私、維護安全及規避審查的重要工具。

對多數信譽良好的服務而言，這種說法大致成立。但這本身可能讓數百萬名受應用程式商店上顯眼免費 VPN 吸引的消費者產生虛假的安全感，也掩蓋了許多可疑 VPN 實際上正做出與您期望完全相反之事實。

誰擁有您的 VPN？

談到 VPN，透明度至關重要。

您應該知道，自己將隱私託付給哪家公司。我們的分析發現，美國有數十款 VPN 由總部設於資料監控法律具侵入性之司法管轄區的公司持有。許多公司更是費盡心思隱瞞此事，這或許不令人意外。

在我們研究的 VPN 中，有 64 款由中國公司持有。根據中國法律，企業必須在政府要求時提供使用者資料(新視窗)。更糟的是，這些中資 VPN 中有 31 款主動透過註冊於新加坡、中國香港特別行政區及英國等地的空殼公司隱藏真正的所有者。

美國使用者在一個月內下載這些可疑的中國應用程式超過 300萬次。

您的資料流向何處？

即使是並非由以大规模監控聞名的國家之公司直接持有的 VPN，也可能危害使用者的隱私。

我們的分析發現，美國可取得的 VPN 中有 85% 含有追蹤程式，這些追蹤程式旨在收集並共享高度個人化的使用者資料，可能包括您的專屬裝置 ID (GAID)、裝置型號、網路類型、行動電信業者名稱等。

追蹤程式傳送資料的對象6 月下載次數
中國150 萬
俄羅斯140 萬
以色列260 萬
三者全部80 萬
五眼聯盟國家460 萬

這些美資應用程式有許多與外國公司簽訂商業協議，並將追蹤軟體內嵌其中作為交易的一部分。這些公司通常將 VPN 應用程式（往往是購自現成的白標產品）視為另一個熱門應用程式類別，就像遊戲一樣，可透過廣告獲利。

這正是行動應用程式產業的運作方式。在應用程式商店抽成約 30% 銷售收入的情況下，應用程式供應商選擇透過侵犯隱私的廣告、而非預先付費訂閱來將產品變現，並不令人意外。

但 VPN 應用程式不是遊戲。數百萬美國人使用它們來保護隱私，而非將自己的隱私賣給廣告科技公司；這些公司許多總部所在的國家，其政府敵視隱私，在許多情況下也敵視美國利益。

雖然很難確切得知您的資料被如何處理，但有些跡象令人擔憂。我們檢視的 VPN 服務中，有三款實際上由市場研究公司持有：‎Phone Guardian Safe WiFi（Sensor Tower(新視窗)）、My Mobile Secure VPN（Comscore(新視窗)）以及 Urban VPN（BiScience(新視窗)，該公司已被揭露(新視窗)會在多項服務中擷取使用者的對話並與 AI 聊天平台共享）。

部分 VPN 會追蹤您的位置

在許多人眼中，這或許可說是終極的背叛：64 款 VPN 應用程式會利用 GPS 及其他地理定位資料，主動追蹤您的實際位置。任何能存取這些資料的人，都能看出您是否正在參與抗議活動，或與記者、律師或消息來源會面，最終還能將這些資訊與執法機關或情報機構共享。

這些應用程式包括一些美國最受歡迎的 VPN，例如 VPN Proxy Master、VPN-Fast VPN Super 和 X-VPN，它們在 6 月合計被下載超過 300 萬次。這意味著我們的資料集中，約有 20% 的 VPN 下載來自會追蹤您所在位置的應用程式，而這很可能正是您安裝 VPN 想要防範的事。

而這些追蹤資料經常被提供給難以信任的政府。

應用程式商店正從監控中獲利

Apple 和 Google 公開吹捧自身的隱私信譽。然而，這些能追蹤您在線上的一舉一動、並將您的個人資料傳送給廣告科技公司的應用程式，卻可在其應用程式商店自由下載，且沒有任何警示標籤。

雖然應用程式商店要求 VPN 開發者提交其身分與隱私權政策，但他們高度依賴自行申報，幾乎不查證所收到的資訊。Apple 和 Google 只確認文件是否存在，並不會獨立稽核 VPN 是否真的如其隱私權政策所宣稱般運作。

儘管打著隱私的旗號，Apple 和 Google 仍將利潤置於使用者的最佳利益之上。他們通常會對應用程式內購與訂閱所產生的所有收入抽取約 30% 的佣金。Apple 尤其試圖為這筆佣金辯護，聲稱這筆費用是為了支付審查與策劃應用程式、以保障使用者安全的成本（儘管有可信證據顯示，它將其中 78% 的費用(新視窗)當作純利收進口袋）。

這種以利潤為中心的模式，也充分體現在 Apple 願意配合中國政府的威權命令，導致全球 100 款最受歡迎的應用程式中，有 66 款無法提供給中國的 iOS 使用者使用。

其中許多是新聞應用程式（包括《紐約時報》、BBC News 和路透社等），顯示 Apple 樂於協助中國政府的審查體制，以換取進入利潤豐厚的中國市場。它甚至威脅要移除 Proton VPN(新視窗)，只因 App Store 的說明文字寫著我們的應用程式可用來「解鎖被封鎖的網站」。

結果呢？與威權政權有關聯、能存取您所有流量（包括網頁瀏覽、應用程式使用情形及個人資訊）的 VPN，正為了廣告目的追蹤您的線上行為。

那麼，可以怎麼因應？

允許這些可疑的應用程式存在於自家平台，是對消費者和開發者失職。這令人無法接受。因此，我們促請 Apple 和 Google：

  • 對 VPN 應用程式執行更嚴格的鑑識安全與所有權審查（而非僅依賴自行申報）
  • 將所有未通過這些審查的應用程式從其應用程式商店移除
  • 針對所有 VPN 應用程式提供更高的透明度，讓人們能就哪些值得信任做出明智決定。這包括提供公司（真正）設立地點的資訊，以及公司如何處理您的資料

若要讓這樣的透明度發揮作用，Apple 和 Google 必須動用其龐大資源中的極小一部分，來調查這些服務，並確認它們名副其實。

如何確保自身安全

若要安全地透過 VPN 保護您的隱私：

  • 使用所有權透明、且位於具備真正隱私法律的國家之服務
  • 只信任經過獨立稽核的 VPN

沒有任何藉口

由於您所有的網際網路活動都會經過 VPN 的伺服器，任何 VPN 都有可能存取大量與您有關的個人資訊，涵蓋您本人、您的生活、您的政治傾向、您喜歡購買什麼，以及您的嗜好與興趣。即使在挑選 VPN 應用程式時，隱私並非主要考量，您也應該擔心那些來路不明、不受問責，且與中國和俄羅斯等地有連結的公司，因為在這些地方，政府可以不受限制地存取所有資料。

總體來說，我們在美國研究的應用程式中，有 85% 的行為方式與其行銷宣傳，以及您對 VPN 服務的合理期望背道而馳。這不可原諒。

其中許多應用程式可能聲稱，收集這些資料只是為了最佳化效能。但它們能收集這些資料，而且其中這麼多資料會被傳送到俄羅斯和中國等地，這令人深感擔憂。

值得慶幸的是，仍有信譽良好的 VPN 服務真心在乎保護您的隱私。Proton VPN 就是其中之一，它提供 100% 免費 VPN 服務，具備開放原始碼應用程式、沒有廣告、沒有資料限制，並採用嚴格的零日誌政策，該政策經過獨立稽核，且受瑞士隱私法律保障。

我們如何做到這一點？很簡單。我們透過頂級質子版服務透明地資助我們的免費方案，該服務提供一系列進階（但完全可選）的功能。因為在 Proton，我們相信隱私不應該附帶任何條件。

封面圖片由 Bernard Leonardo 提供。