Бесплатный VPN: кто-то платит, и это не вы

VPN пропускает весь ваш трафик через чужой компьютер. В этом весь продукт. Поэтому единственный осмысленный вопрос о бесплатном сервисе — кто оплачивает этот компьютер и что получает взамен.

Трафик стоит денег. Серверы стоят денег. У провайдера, через которого идёт трафик миллиона человек, каждый месяц появляется счёт, и если никто из этого миллиона не платит, счёт закрывают как-то иначе. Иногда честно — платный продукт с намеренно ограниченным бесплатным тарифом в роли витрины. Часто нет.

Что на самом деле нашли исследователи

Это не догадки. Две большие работы заглянули внутрь самих приложений.

В феврале 2026 года на конференции по безопасности NDSS команда из Мичиганского университета, Университета Нью-Мексико и IIT Delhi представила MVPNalyzer — систему, которая автоматически проверяет VPN-приложения, а не верит их описаниям. Через неё прогнали 281 бесплатное Android-приложение с 2,4 млрд установок суммарно. Результаты оказались не пограничными: DNS-запросы уходили мимо туннеля, часть трафика шла в открытом виде, а сами туннели строились на шифрах, снятых с эксплуатации много лет назад — почти каждое пятое приложение использовало слабую или устаревшую криптографию, включая Blowfish и triple DES.

В октябре 2025 года zLabs (Zimperium) проанализировала 800 бесплатных VPN-приложений для Android и iOS. В отчёте — запросы разрешений, которые VPN не нужны в принципе (доступ к контактам, к точной геолокации), и устаревший уязвимый код.

В августе 2025 года Citizen Lab совместно с Университетом штата Аризона нашли популярные Android-приложения VPN с суммарно более чем 700 млн загрузок, собиравшие данные о местоположении.

Более ранний и часто цитируемый обзор бесплатных сервисов показал, что примерно три четверти из них включали сторонние трекеры. Трекер в приложении — это не случайность. Это и есть способ монетизации.

И отдельно — утечки

Собранные данные не остаются на месте. В 2023 году в открытый доступ попали записи, связанные с бесплатным сервисом SuperVPN: по сообщениям, речь шла более чем о 360 млн записей — адреса почты, исходные IP-адреса пользователей, геолокация, идентификаторы устройств и сведения о посещённых сайтах. Более ранний инцидент, связанный с SuperVPN, GeckoVPN и ChatVPN, затронул около 21 млн записей.

Перечитайте этот список. Исходный IP-адрес рядом с посещёнными сайтами — ровно та пара, ради отсутствия которой VPN и покупают. Она существовала, в одной базе, а затем оказалась в открытом интернете.

Как понять, на что живёт компания

Разбирать APK не нужно. Четырёх вопросов достаточно.

• Кто владелец и указано ли это на сайте? Многие «разные» бесплатные VPN в одной категории магазина приложений оказываются связаны общим владельцем, общим SDK и общим пулом серверов. Провайдер, скрывающий, кто он такой, уже сообщил вам главное.
• Что политика конфиденциальности разрешает, а не что обещает реклама? Маркетинг говорит «мы не ведём логов». Юридическую силу имеет политика. Ищите время подключения, исходный IP, «агрегированную аналитику» и любые пункты о передаче «партнёрам».
• Какие разрешения просит приложение? VPN нужен сетевой интерфейс. Ему не нужны ваши контакты, журнал звонков и точные координаты.
• Проверял ли кто-то независимый? Опубликованный сторонний аудит с датой и описанием объёма стоит больше любого значка на лендинге.

Бесплатные тарифы, с которыми всё в порядке

Не всякое бесплатное предложение — ловушка. Честная схема узнаётся сразу: у компании есть платный продукт, и она отдаёт вам его ограниченный кусок — несколько гигабайт в месяц, одно устройство, меньше локаций, — потому что рассчитывает на переход в платный тариф. Сервис тот же самый, просто нормированный. Доход компании — подписки, а ваш трафик для неё расход, который она пытается конвертировать, а не актив, который она пытается продать.

Уходить стоит от другого: безлимитный, ничем не ограниченный и никак не объяснённый бесплатный сервис, за которым нет платного продукта. Дорогую вещь бесконечно и просто так не раздают.

Короткий чек-лист

1. Найдите платный продукт. Если его нет — найдите источник дохода. Если не нашли, закройте страницу.
2. Читайте в политике раздел про хранение, а не главную страницу.
3. Смотрите разрешения приложения до того, как согласиться.
4. Выбирайте провайдера, который публикует, кто он и где зарегистрирован.
5. «Военный уровень шифрования» — это реклама. Название протокола, название шифра и опубликованный аудит — это информация.

Неприятный вывод

Платный VPN не становится надёжным автоматически: деньги покупают мотивацию, а не порядочность, и плохие платные провайдеры тоже существуют. Но в бесплатном вы не клиент, и каждое техническое решение внутри приложения принимает человек, чей доход зависит не от вашей защиты. Измерения 2026 года показывают, как именно это выглядит изнутри.