在对全球 7000 多款移动 VPN 应用进行了长达数月的调查后，Proton 发现，其中在美国下载的应用有 85% 包含跟踪器，约四分之一会主动跟踪用户的实际位置。

也许更令人担忧的是，我们还发现，在美国从 Apple App Store 和 Google Play 下载的 390 款 VPN 中，有 64 款由中国公司拥有，而这些公司依法必须与其威权政府分享数据。

鉴于大多数人使用 虚拟专用网络 正是为了保护自己的隐私，这些风险显而易见。尽管 Google 和 Apple 承诺保护公众，他们却任由这些可疑的 VPN 仅在 2026 年 6 月就被下载超过 1320 万次。

研究方法

我们检查了 Google Play 商店中免费下载的应用。每月下载量是 AppTweak 对 5 月份的估算。至于跟踪器数量，我们使用了 Exodus Privacy（新窗口） 的数据；这是一个开源平台，可分析 Android 应用，以检测分析、广告和用户画像跟踪器的代码签名。

VPN 应如何工作

使用 VPN 时，你期望获得隐私。一个值得信赖的 VPN 会阻止网站看到你真实的 IP 地址，并防止你的 互联网服务提供商（以及，推而广之，你的政府）知道你在网上的活动。

VPN 已成为 多达 1 亿美国人（新窗口） 日常生活的一部分。只需在 YouTube 上花几分钟，你几乎肯定会遇到 VPN 广告，这些广告通常把 VPN 宣传为保护隐私、保障安全和绕过审查的重要工具。

对于最知名的服务而言，这种说法大体上站得住脚。但这本身可能让数百万被应用商店中醒目展示的免费 VPN 所吸引的消费者产生虚假的安全感，并掩盖了一个事实：许多可疑的 VPN 所做的恰恰与人们的预期相反。

谁拥有你的 VPN？

谈到 VPN，透明度至关重要。

你应该知道，自己把隐私托付给了哪家公司，以及这家公司归谁所有。我们的分析发现，美国有数十款 VPN 由注册在数据监控法律严苛的司法管辖区的公司拥有。也许并不令人意外的是，许多公司会费尽心机隐瞒这一事实。

在我们研究的 VPN 中，有 64 款由中国公司拥有。根据中国法律，公司必须按要求提供用户数据（新窗口）给政府。更糟糕的是，这些中国公司拥有的 VPN 中有 31 款通过空壳公司积极隐藏其真实所有权，这些空壳公司注册在新加坡、中国香港特别行政区、英国等地。

美国用户在一个月内下载这些可疑的中国应用超过 300 万次。

你的数据会流向哪里？

即使 VPN 并非由那些以大规模监控行为闻名的国家/地区的公司直接拥有，也可能危及用户的隐私。

我们的分析发现，美国有 85% 的 VPN 包含跟踪器，这些跟踪器旨在收集并分享高度私密的用户数据。这可能包括你的唯一设备 ID (GAID)、设备型号、网络类型、移动运营商名称等。

跟踪器将数据发送至6 月下载量
中国150 万
俄罗斯140 万
以色列260 万
三者全部80 万
五眼联盟国家460 万

许多这些美国拥有的应用与外国公司签订了商业协议，并将对方的跟踪软件嵌入其中作为交易的一部分。它们通常将 VPN 应用（往往是以现成白标产品形式购买的）视为又一个热门应用类别，就像游戏一样，可以通过广告变现。

这就是移动应用行业的运作方式。在应用商店抽走约 30% 销售收入的环境下，应用提供商选择通过侵犯隐私的广告来变现其产品，而不是采用预付费订阅，也就不足为奇了。

但 VPN 应用不是游戏。数百万美国人使用它们是为了保护自己的隐私，而不是把隐私卖给广告科技公司；这些公司许多位于对隐私怀有敌意的政府所在国家，而且在很多情况下也敌视美国利益。

虽然很难确切知道你的数据被用来做什么，但已有令人担忧的迹象。我们调查的 VPN 服务中有三款实际上由市场研究公司拥有：‎Phone Guardian Safe WiFi (Sensor Tower（新窗口）)、My Mobile Secure VPN (Comscore（新窗口）) 和 Urban VPN（BiScience（新窗口），该公司已被证明（新窗口）会截取多个服务中的用户会话，并将其分享给 AI 聊天平台）。

一些 VPN 会跟踪你的位置

许多人完全有理由将其视为终极背叛：64 款 VPN 应用会利用 GPS 和其他地理位置数据主动跟踪你的实际位置。任何能访问这些数据的人都可以看到你是否在参加抗议活动，或与记者、律师或线人见面，并最终将这些信息分享给执法机构或情报部门。

这些应用包括美国最受欢迎的一些 VPN，例如 VPN Proxy Master、VPN-Fast VPN Super 和 X-VPN，并且它们在 6 月合计被下载超过 300 万次。这意味着我们数据集中大约 20% 的 VPN 下载量来自跟踪你所在位置的应用，而这很可能正是你安装 VPN 想要防止的事情。

而且这些跟踪数据往往会被提供给难以信任的政府。

应用商店正从监控中获利

Apple 和 Google 公开宣扬自己的隐私资质。然而，这些能够跟踪你在网上的一切活动并将个人数据发送给广告科技公司的应用，却可以在它们的应用商店中随意下载，且没有任何警告标签。

虽然应用商店要求 VPN 开发者提交身份信息和隐私政策，但它们严重依赖自我申报，几乎不核实对方所说的情况。Apple 和 Google 会检查文件是否存在，却不会独立审计 VPN 是否真的如其隐私政策所称那样运作。

尽管 Apple 和 Google 声称重视隐私，但它们将利润置于用户最大利益之上。它们通常对应用内购买和订阅产生的所有收入抽取约 30% 的佣金。Apple 尤其试图为这笔佣金辩护，声称有必要用它来支付审查和筛选应用以保障用户安全的成本（尽管有可信证据表明，它将这些手续费的 78% 收入囊中（新窗口）作为纯利润）。

这种以利润为中心的模式的另一个充分例证是，Apple 愿意配合中国政府的威权命令，导致全球 100 款最热门应用中有 66 款无法供中国的 iOS 用户使用。

其中许多是新闻应用（包括 The New York Times、BBC News 和 Reuters 等），这表明 Apple 乐于协助中国政府的审查制度，以换取进入利润丰厚的中国市场。它甚至威胁要移除 Proton VPN（新窗口），因为 App Store 描述称我们的应用可用于“解锁被审查的网站”。

结果如何？与威权政府有关联的 VPN 能够访问你的全部流量，包括网页浏览、应用使用情况和个人信息，却为了广告目的跟踪你的在线行为。

那么，对此能做些什么呢？

允许这些可疑应用存在于它们的平台上，是对消费者和开发者双重失职。这是不可接受的。因此，我们敦促 Apple 和 Google：

  • 对 VPN 应用执行更严格的取证安全与所有权检查（而不是仅仅依赖自我申报）
  • 将所有未通过这些检查的应用从各自的应用商店中移除
  • 对所有 VPN 应用提供更高的透明度，以便人们能够明智地决定哪些可以信任。这包括提供有关公司（真正）位于何地以及它如何处理你的数据的信息

要让这种透明度发挥作用，Apple 和 Google 必须动用其庞大资源中的一小部分来调查各项服务，并确认它们确实名副其实。

你可以做些什么来保护自己的安全

要安全地使用 VPN 保护隐私：

  • 使用所有权透明、且位于拥有真正隐私法律的国家/地区的服务
  • 只信任经过独立审计的 VPN

没有任何借口

由于你的所有互联网活动都会经过其服务器，任何 VPN 都有可能访问大量高度私密的信息，涉及你本人、你的生活、你的政治倾向、你喜欢购买的商品，以及你的爱好和兴趣。即使隐私不是选择 VPN 应用时的主要顾虑，你也应当警惕那些背景不明、不受问责的公司，它们与中国和俄罗斯等地有关联，而在这些地方，政府可以不受限制地访问所有数据。

总的来说，我们在美国研究的应用中有 85% 的行为方式与其宣传方式以及你对 VPN 服务的合理预期相悖。这是不可原谅的。

这些应用中有许多可能声称，收集这些数据只是为了优化性能。但它们能够收集这些数据——而且其中很大一部分会被发送到俄罗斯和中国等地——这一事实令人深感担忧。

值得庆幸的是，确实有一些可靠的 VPN 服务真正关心保护你的隐私。其中就包括 Proton VPN，它提供 100% 免费 VPN 服务，配有开源应用、无广告、无数据限制，并遵循严格的无日志原则，该原则经过独立审计，且受瑞士隐私法律支持。

我们如何做到这一点？其实很简单。我们通过高级版服务透明地为免费套餐提供资金，该服务提供一系列高级（但完全可选）功能。因为在 Proton，我们相信隐私不应附带任何条件。

封面图片由 Bernard Leonardo 提供。