Publicado: julio 21, 2026, 7:24 am
Sabemos que las VPN son unas herramientas muy útiles y cada vez más populares para proteger la privacidad a la hora de navegar por internet, sobre todo cuando se utilizan redes WiFi públicas o se quiere acceder a algún tipo de contenido restringido, pero no todas ofrecen la misma protección. En el caso de las VPN gratuitas, los expertos llevan tiempo advirtiendo de que algunas recopilan datos de los usuarios y presentan fallos de seguridad que pueden acabar teniendo el efecto contrario al esperado, sin que el usuario se dé cuenta.
Ahora, una investigación que reúne a la Universidad de Michigan, la Universidad de Nuevo México y el IIT Delhi ha alertado y puesto en el foco a este tipo de aplicaciones. En el estudio, los investigadores analizaron 281 VPN gratuitas para Android disponibles en Play Store y encontraron numerosos problemas de seguridad y privacidad en muchas de ellas. Explican que el fallo más preocupante afecta a estas cinco aplicaciones: BambooVPN, VPN Pro, Free VPN, Hexa VPN y 101 VPN.
Desde The Hacker News recogen la información del estudio, donde informan que estas VPN descargaban su archivo de configuración sin cifrar, un archivo que indica a la app a qué servidor debe conectarse. De viajar sin protección, un ciberdelincuente que se conecta a la misma red podría interceptarlo y modificarlo. Esto quiere decir que, por ejemplo, al conectarse a una WiFi pública creyendo que la conexión está protegida, un atacante podría redirigir el tráfico hacia donde él quiere sin que el usuario se percate.
De hecho, los investigadores avisaron a los desarrolladores de estas aplicaciones sobre los errores y, aunque varias aseguraron que los corregirían utilizando conexiones HTTPS, una segunda revisión confirmó que solo VPN Pro y Hexa VPN habían solucionado el problema. A día de hoy se desconoce si ha habido algún avance con las demás. El estudio también detectó que muchas de estas aplicaciones no protegían correctamente la navegación.
Una de cada cinco seguía recurriendo a sistemas de cifrado obsoletos
- 29 de ellas dejaban escapar parte del tráfico fuera del canal seguro que debían utilizar.
- En otros 24 casos era posible conocer las páginas web que visitaba el usuario.
- Seis dejaban parte de la navegación sin proteger.
- Cuatro aplicaciones no cifraban ningún dato, a pesar de prometer una conexión privada y segura.
- 76 aplicaciones enviaban el identificador publicitario del dispositivo.
- 246 se comunicaban con servidores relacionados con publicidad y rastreo.
Algunas también compartían información como el modelo del móvil, versión de Android o el tamaño de la pantalla e incluso una de ellas llevó a transmitir la ubicación GPS exacta del usuario. Un dato que todavía llama mucho más la atención es que, al revisar la configuración de 108 aplicaciones, comprobaron que solo una cumplía todas las buenas prácticas de seguridad analizadas. Además, cerca del 89% utilizaba un único método de autenticación y casi una de cada cinco seguía recurriendo a sistemas de cifrado obsoletos con vulnerabilidades conocidas desde hace 10 años.
La investigación deja una conclusión clara. Aunque no todas las VPN gratuitas presenten estos problemas, una de ellas puede acabar siendo peor que no utilizar ninguna, si no protege claramente la conexión y recopila datos personales. Por ello, los investigadores hacen hincapié en que, antes de descargar una VPN, hay que comprobar quién la desarrolla, qué política de privacidad tiene y si realmente ofrece las garantías de seguridad que promete.
