Nemokamas VPN gali kainuoti jūsų privatumą: taip atpažinsite, ar programėlė parduoda naudotojų duomenis

VPN programėlė daugeliui atrodo kaip papildomas saugumo sluoksnis. Ji paslepia tikrąjį IP adresą, užšifruoja interneto ryšį ir leidžia prisijungti per kitoje šalyje esantį serverį. Tačiau nemokama paslauga gali veikti visiškai priešingai, nei žada reklamoje – vietoje privatumo ji gali stebėti naudotojo veiklą ir perduoti surinktą informaciją reklamos bendrovėms ar duomenų brokeriams.

Atlikus 100 populiariausių nemokamų „Android“ skirtų VPN programėlių saugumo peržiūrą paaiškėjo, kad 71 iš jų dalijosi naudotojų duomenimis su trečiosiomis šalimis. Bendras šių programėlių atsisiuntimų skaičius viršijo 2,5 milijardo, todėl kalbama ne apie kelias mažai žinomas programas, o apie milžinišką naudotojų ratą.

Duomenų gavėjų sąraše buvo reklamos tinklai, analizės bendrovės, duomenų brokeriai ir didžiosios technologijų įmonės. Dar daugiau nerimo kelia tai, kad nemaža dalis programėlių neužtikrino net pagrindinės žadėtos apsaugos – naudotojo interneto veikla galėjo būti atskleista per IP ar DNS nutekėjimus.

Nemokamas VPN nebūtinai yra pavojingas vien todėl, kad nieko nekainuoja. Tačiau prieš jį diegiant verta atsakyti į vieną paprastą klausimą: jei paslaugai išlaikyti reikia serverių, programuotojų ir nuolatinės priežiūros, kas už visa tai sumoka?

Kai nemokate pinigais, mokėjimu gali tapti jūsų naršymo įpročiai

VPN teikėjas atsiduria ypatingoje padėtyje. Įprastai interneto srautą mato ryšio tiekėjas, tačiau įjungus VPN dalis šio pasitikėjimo perduodama programėlės valdytojui. Teoriškai jis turėtų apsaugoti duomenis, tačiau nepatikima paslauga gali juos rinkti, analizuoti ir naudoti savo verslo tikslams.

Nemokama programėlė gali fiksuoti, kada naudotojas prisijungia, kiek laiko naršo, iš kokio įrenginio jungiasi, kokiose šalyse esantys serveriai pasirenkami ir kokie interneto adresai lankomi. Net jei nerenkamas visas atvertų puslapių turinys, metaduomenys gali nemažai pasakyti apie žmogaus įpročius, buvimo vietą, interesus ir dienos režimą.

Ypač atsargiai reikėtų vertinti privatumo politikoje vartojamas formuluotes apie „anonimizuotų“, „apibendrintų“ arba „techninių“ duomenų perdavimą partneriams. Tokie žodžiai skamba nekaltai, tačiau dažnai reiškia, kad informacija naudojama reklamai, vartotojų profiliams kurti arba perduodama kitoms įmonėms.

Pagal pateiktą programėlių peržiūrą, 77 proc. tikrintų VPN neužtikrino tokio privatumo, kokį žadėjo. Kai kuriais atvejais tikrasis IP adresas ar DNS užklausos galėjo būti matomos net įjungus VPN. Tai reiškia, kad naudotojas mato apsaugos simbolį telefono ekrane, tačiau jo veikla vis tiek nėra tinkamai paslėpta.

Dar 85 proc. programėlių turėjo pernelyg plačius leidimus arba funkcijas, galinčias kelti pavojų privatumui. VPN, kuris prašo prieigos prie kontaktų, tikslios buvimo vietos, mikrofono ar kitų su jo pagrindine paskirtimi nesusijusių telefono funkcijų, turėtų kelti klausimų.

Šešios nemokamos programėlės tapo milžiniško nusikaltėlių tinklo dalimi

Kad pavojus nėra vien teorinis, parodė 2024 metais JAV institucijų uždarytas milžiniškas botnetas. Jį sudarė apie 19 milijonų užkrėstų IP adresų daugiau nei 190 šalių.

Tinklas buvo platinamas per šešias nemokamas VPN programėles: „MaskVPN“, „DewVPN“, „PaladinVPN“, „ProxyGate“, „ShieldVPN“ ir „ShineVPN“. Programos taip pat buvo platinamos kartu su piratiniais žaidimais ir kita nelegalia programine įranga.

Jas įdiegusių žmonių kompiuteriuose slapta veikė tarpinio serverio funkcija. Naudotojas galėjo manyti, kad pats saugiau naršo internete, tačiau tuo metu jo interneto ryšiu naudojosi visiškai nepažįstami žmonės.

Nusikaltėliai išsinuomodavo užgrobtus IP adresus ir naudodavo juos finansiniam sukčiavimui, grasinimams bei kitai neteisėtai veiklai. Kadangi veiksmai atrodė atliekami iš aukos įrenginio ar interneto ryšio, tikrasis nusikaltėlis galėjo pasislėpti už nieko neįtariančio VPN naudotojo.

Tyrėjų vertinimu, prieigos prie užkrėstų įrenginių pardavimas sugeneravo apie 99 mln. JAV dolerių pajamų. Po operacijos naudotojai buvo paraginti pašalinti minėtas programas ir itin atsargiai vertinti nežinomų kūrėjų nemokamas VPN paslaugas.

Šis atvejis parodė vieną pavojingiausių nemokamo VPN scenarijų: programėlė ne tik renka informaciją, bet ir gali panaudoti žmogaus interneto ryšį kaip paslaugą, kuri slapta parduodama kitiems.

Programėlių parduotuvė ir milijonai atsisiuntimų saugumo negarantuoja

Daugelis naudotojų programą vertina pagal jos vietą „Google Play“ ar „App Store“, atsisiuntimų skaičių ir žvaigždučių įvertinimą. Tačiau vien tai, kad programėlė pateko į oficialią parduotuvę, dar nereiškia, kad jos privatumo praktika yra patikima.

Programėlių parduotuvėse ne kartą buvo aptikta programų, kurios rinko daugiau duomenų, nei skelbė, rodė agresyvią reklamą ar turėjo šnipinėjimo požymių. Kai kurios pašalinamos tik gavus saugumo tyrėjų pranešimus, nors iki tol jau būna atsisiųstos milijonus kartų.

Aukštas vertinimas taip pat gali klaidinti. Dalis atsiliepimų gali būti nupirkta, parašyta automatiškai arba palikta žmonių, kurie vertina tik greitį ir galimybę atidaryti užblokuotą turinį. Naudotojas gali parašyti penkių žvaigždučių atsiliepimą nė nežinodamas, kad programėlė tuo metu siunčia informaciją trečiosioms šalims.

Įtarimą turėtų kelti ir neaiškus kūrėjas. Jeigu sunku rasti tikrą įmonės pavadinimą, adresą, vadovus ar kontaktus, o privatumo politikoje nurodytos kelios tarpusavyje nesusijusios bendrovės, geriau rinktis kitą paslaugą.

Taip pat verta patikrinti, ar kūrėjas neturi daugybės beveik vienodų VPN programėlių skirtingais pavadinimais. Kartais viena grupė valdo dešimtis programų, kurios vizualiai atrodo kaip atskiri produktai, tačiau naudoja tą pačią infrastruktūrą ir duomenų rinkimo sistemą.

Penki ženklai, kad VPN gali uždirbti iš jūsų duomenų

Pirmas įspėjamasis signalas – neaiškus verslo modelis. Serveriai, duomenų perdavimas ir programinės įrangos priežiūra kainuoja pinigus. Jei paslauga neturi mokamo plano, nerodo reklamos ir nepaaiškina, iš ko uždirba, tikėtina, kad pajamos gaunamos kitu būdu.

Antras ženklas – miglota privatumo politika. Patikimas teikėjas aiškiai nurodo, kokie duomenys renkami, kiek laiko jie saugomi ir kam gali būti perduoti. Formuluotės apie dalijimąsi informacija su „patikimais partneriais“ be konkretesnio paaiškinimo nėra geras ženklas.

Trečias signalas – pertekliniai leidimai. VPN programėlei reikia valdyti tinklo ryšį, tačiau jai paprastai nereikia prieigos prie kontaktų, nuotraukų, mikrofono ar tikslios buvimo vietos. Kuo daugiau nereikalingų leidimų prašoma, tuo daugiau galimybių rinkti papildomą informaciją.

Ketvirtas ženklas – reklamos programėlės viduje ir už jos ribų. Jei įdiegus VPN telefone staiga padaugėja iššokančių reklamų, pranešimų ar pasiūlymų įsidiegti kitas programas, tai gali rodyti agresyvų duomenų monetizavimą.

Penktas signalas – sunkiai nustatomas savininkas. Patikima įmonė paprastai neslepia savo būstinės, juridinio pavadinimo ir kontaktų. Jei programėlės savininkas registruotas neaiškioje jurisdikcijoje, nuolat keičia pavadinimą ar internete beveik nepalieka pėdsakų, tokiai paslaugai perduoti visą savo interneto srautą rizikinga.

Ar mokamas VPN automatiškai yra saugus

Prenumerata savaime negarantuoja privatumo. Mokama paslauga taip pat gali rinkti prisijungimų informaciją, naudoti analizės sistemas ar perduoti dalį duomenų partneriams. Skirtumas tas, kad aiškų prenumeratos modelį turinčiai įmonei bent jau nereikia slėpti, iš ko ji uždirba.

Renkantis VPN verta ieškoti aiškios duomenų nerašymo politikos. Joje turėtų būti konkrečiai nurodyta, kad nesaugoma naudotojo naršymo istorija, DNS užklausos ir interneto srauto turinys. Dar geriau, jei šie pažadai buvo tikrinti nepriklausomo audito metu.

Taip pat svarbu atskirti, kam apskritai reikalingas VPN. Jis gali padėti saugiau prisijungti prie viešo „Wi-Fi“, paslėpti IP adresą nuo lankomos svetainės arba pasiekti tam tikrame regione prieinamą turinį. Tačiau VPN neapsaugo nuo visų sukčiavimo formų, kenksmingų nuorodų ar paskyros slaptažodžio vagystės.

Jeigu žmogus pats įveda prisijungimo duomenis suklastotoje svetainėje, VPN to nesustabdys. Jis taip pat nepadės, jei telefone jau įdiegta šnipinėjimo programa arba naudojamas tas pats silpnas slaptažodis keliose paskyrose.

Todėl privatumui svarbus ne vien VPN. Reikėtų naudoti unikalius slaptažodžius, dviejų veiksnių autentifikavimą, reguliariai atnaujinti įrenginius ir jautriems pokalbiams rinktis visapusiškai užšifruotas bendravimo programėles.

Nemokama VPN programėlė gali atrodyti kaip paprastas būdas tapti mažiau matomam internete. Tačiau naudotojas kartais tik pakeičia vieną stebėtoją kitu – interneto tiekėją pakeičia neaiški bendrovė, per kurios serverius pradeda keliauti visas jo srautas.

Todėl prieš paspaudžiant mygtuką „Įdiegti“ verta patikrinti ne tik žvaigždučių skaičių. Daug svarbiau išsiaiškinti, kas valdo paslaugą, iš ko ji uždirba ir ką tiksliai žada daryti su jūsų duomenimis. Kai šių atsakymų nėra, nemokamas VPN gali pasirodyti gerokai brangesnis, nei atrodė iš pradžių.