Ücretsiz VPN'in bedelini biri ödüyor, o siz değilsiniz

VPN, bütün trafiğinizi başkasının bilgisayarından geçirir. Ürünün tamamı budur. Dolayısıyla ücretsiz bir VPN hakkında sorulmaya değer tek soru şudur: o bilgisayarın parasını kim ödüyor ve karşılığında ne alıyor?

Bant genişliği para eder. Sunucu para eder. Bir milyon kişinin trafiğini taşıyan bir sağlayıcıya her ay bir fatura gelir; o bir milyonun hiçbiri ödemiyorsa fatura başka bir yoldan kapatılıyor demektir. Bazen bu yol dürüsttür: ücretli bir ürünün vitrin olarak kullanılan, bilerek kısıtlanmış ücretsiz paketi. Çoğu zaman değildir.

Araştırmacılar gerçekte ne buldu

Bunlar tahmin değil. İki büyük çalışma uygulamaların içine baktı.

Şubat 2026'da NDSS güvenlik konferansında Michigan Üniversitesi, New Mexico Üniversitesi ve IIT Delhi'den bir ekip MVPNalyzer'ı tanıttı: VPN uygulamalarının açıklamasına güvenmek yerine onları otomatik olarak test eden bir sistem. Sistemi toplam 2,4 milyar kurulumu olan 281 ücretsiz Android VPN uygulaması üzerinde çalıştırdılar. Sonuçlar sınırda değildi: DNS sorguları tünelin dışına sızıyor, trafiğin bir kısmı düz metin gidiyor ve tüneller yıllar önce emekliye ayrılmış şifrelerle kuruluyordu — beşte birine yakını zayıf ya da modası geçmiş şifreleme kullanıyordu; aralarında Blowfish ve triple DES vardı.

Ekim 2025'te Zimperium'un zLabs ekibi Android ve iOS'ta 800 ücretsiz VPN uygulamasını inceledi. Raporda bir VPN'in hiçbir işine yaramayacak izinler — rehbere erişim, konum takibi — ve güncelliğini yitirmiş, açık barındıran kod var.

Ağustos 2025'te Citizen Lab ve Arizona State University, aralarında 700 milyondan fazla indirme bulunan popüler Android VPN uygulamalarının konum verisi topladığını ortaya koydu.

Daha eski ve çok atıf alan bir tarama ise ücretsiz sağlayıcıların kabaca dörtte üçünün üçüncü taraf takip kütüphaneleri barındırdığını buldu. Takip kütüphanesi kazara oraya girmez. Uygulamanın para kazanma yöntemi odur.

Bir de sızıntı var

Toplanan veri toplandığı yerde kalmıyor. 2023'te ücretsiz SuperVPN hizmetine bağlı kayıtlar açığa çıktı; haberlerde rakam 360 milyon kaydın üzerinde geçti ve içinde e-posta adresleri, kullanıcıların gerçek IP adresleri, konum bilgisi, cihaz kimlikleri ve ziyaret edilen sitelere dair bilgiler vardı. Daha önce SuperVPN, GeckoVPN ve ChatVPN ile ilişkilendirilen bir olayda yaklaşık 21 milyon kayıt açığa çıkmıştı.

Şu listeyi bir daha okuyun. Gerçek IP adresinin ziyaret edilen sitelerle yan yana durması, tam olarak hiçbir yerde var olmasın diye VPN alınan şeydir. Var oldu, bir veritabanında durdu ve sonra açık internete düştü.

İpucu: bu şirket ne yiyip içiyor?

APK sökmenize gerek yok. Dört soru işin çoğunu halleder.

• Sahibi kim ve bu sitede yazıyor mu? Uygulama mağazasında "farklı" görünen pek çok ücretsiz VPN'in aynı sahibi, aynı SDK'sı ve aynı sunucu havuzu çıkıyor. Kim olduğunu gizleyen bir sağlayıcı size zaten bir şey anlatmıştır.
• Gizlilik politikası neye izin veriyor — reklam ne vaat ediyor değil. Pazarlama "log tutmuyoruz" der. Bağlayıcı belge politikadır. Bağlantı zaman damgası, kaynak IP, "toplulaştırılmış analitik" ve "iş ortaklarıyla paylaşım" maddelerini arayın.
• Uygulama hangi izinleri istiyor? VPN'in bir ağ arayüzü açması gerekir. Rehberinize, arama kaydınıza veya hassas konumunuza ihtiyacı yoktur.
• Bağımsız biri denetledi mi? Tarihi ve kapsamı yazılı, yayımlanmış bir üçüncü taraf denetimi, açılış sayfasındaki her rozetten değerlidir.

Sorunsuz ücretsiz paketler de var

Her ücretsiz teklif tuzak değil. Dürüst olanın deseni kolay tanınır: ücretli bir ürünü olan şirket size o ürünün gerçekten kısıtlı bir dilimini verir — ayda birkaç gigabayt, tek cihaz, daha az konum — çünkü ücretliye geçmenizi ister. Hizmet birebir aynıdır, sadece karneye bağlanmıştır. Şirketin geliri aboneliktir; trafiğiniz onun için satmaya çalıştığı bir varlık değil, dönüştürmeye çalıştığı bir masraftır.

Uzak durulacak desen şu: arkasında ücretli bir ürün olmayan, sınırsız, karnesiz ve nedeni hiç açıklanmayan ücretsiz hizmet. Kimse pahalı olan şeyi sonsuza kadar iyilikten dağıtmaz.

Kısa kontrol listesi

1. Ücretli ürünü bulun. Yoksa gelir kaynağını bulun. Onu da bulamıyorsanız sayfayı kapatın.
2. Ana sayfayı değil, politikanın saklama bölümünü okuyun.
3. İzinleri kabul etmeden önce inceleyin.
4. Kim olduğunu ve nerede kurulu olduğunu açıkça yazan sağlayıcıyı tercih edin.
5. "Askeri düzeyde şifreleme" pazarlamadır. Protokolün adı, şifrenin adı ve yayımlanmış bir denetim bilgidir.

Rahatsız edici özet

Ücretli bir VPN kendiliğinden güvenilir olmaz; para güdü satın alır, dürüstlük değil ve kötü ücretli sağlayıcılar da vardır. Ama ücretsizde müşteri siz değilsinizdir ve uygulamanın içindeki her teknik kararı, geliri sizi korumaktan başka bir şeye bağlı olan biri verir. 2026 ölçümleri, bunun içi açıldığında neye benzediğini gösteriyor.