Por qué las VPN gratis son un riesgo

Quién paga una VPN gratis

Siempre paga alguien. Un proveedor de VPN alquila servidores en muchos países, compra tránsito, paga a desarrolladores y soporte y cubre las comisiones de las tiendas de aplicaciones. Para un servicio popular, eso suma un coste recurrente serio que no desaparece porque el botón de descarga diga «gratis».

Un proveedor de pago lo cubre con suscripciones, lo que mantiene los incentivos simples: tú pagas dinero, recibes un túnel, y al proveedor le interesa conservarte como cliente. Un proveedor gratuito sin suscripciones tiene que encontrar ingresos en otra parte, y el único activo que posee son sus usuarios, su tráfico y sus dispositivos.

Cómo ganan dinero de verdad las apps de VPN gratis

Los modelos de negocio detrás de las VPN gratuitas están bien estudiados, y la mayoría choca de frente con la privacidad. La app ocupa una posición perfecta para observar todo lo que haces en línea, y ese punto de observación es en sí el producto que se vende.

Ninguno de estos modelos exige que la app esté rota técnicamente. El túnel puede funcionar exactamente como se anuncia mientras el registro ocurre en silencio del lado del servidor, donde no tienes manera de verlo.

• Vender registros de navegación y conexión a brókeres de datos y anunciantes
• Inyectar anuncios o scripts de rastreo en las páginas y apps que usas
• Revender la conexión de tu dispositivo como parte de una red de proxies, de modo que el tráfico de desconocidos sale por tu IP
• Incrustar SDK de terceros que recogen ubicación, identificadores del dispositivo y lista de apps
• Empujar hacia un plan de pago mientras se monetiza a los usuarios gratuitos con cualquiera de las anteriores

Lo que los informes de seguridad encuentran una y otra vez

Los investigadores independientes que analizan apps de VPN gratuitas en bloque suelen toparse con las mismas categorías de problemas una y otra vez: políticas de privacidad que permiten compartir datos de tráfico con terceros, rastreadores incrustados de empresas publicitarias, permisos que un túnel no necesita y, en algunos casos, ningún cifrado funcional en absoluto.

Otro hallazgo recurrente es la propiedad opaca. Muchas apps gratuitas con nombres y logotipos distintos llevan a las mismas pocas empresas, así que un usuario que compara opciones en una tienda de aplicaciones puede estar eligiendo entre fachadas de un mismo operador.

Los detalles varían de un informe a otro, pero el patrón es tan estable que conviene tomarlo como supuesto por defecto: de una VPN gratis sin fuente de ingresos clara hay que presumir que monetiza a sus usuarios mientras no demuestre lo contrario.

El riesgo va más allá de los anuncios

Una app plagada de anuncios es molesta; un túnel comprometido es peligroso. Una app de VPN funciona con la capacidad de ver y redirigir todo el tráfico de tu dispositivo. Si el operador es negligente o malicioso, esa posición puede abusarse para cosechar credenciales en conexiones no-HTTPS, para redirigirte a páginas clonadas o para instalar un certificado raíz que rompe las protecciones frente a la inspección TLS.

El abandono es un riesgo más silencioso. Las apps gratuitas suelen ser proyectos secundarios: el túnel sigue corriendo sobre software de servidor viejo con vulnerabilidades conocidas, nadie responde a los avisos de seguridad y la app cambia de manos en silencio cuando el desarrollador original la vende. No tendrías forma de notar que el nuevo dueño tiene otros planes para tus datos.

Con un servicio de pago al menos conoces la estructura de incentivos y tienes una contraparte que responde ante clientes que pagan. Aurora, por ejemplo, publica qué registra y qué no, y da una ventana de devolución de 14 días, así que probarla no cuesta nada — pero no se financia con tus datos.

Cuándo una VPN gratis sí está bien

Gratis no es automáticamente una estafa. Una prueba con límite de tiempo de un servicio de pago es gratuita precisamente porque el proveedor espera que algunos usuarios se suscriban; la economía es transparente. Lo mismo vale para un nivel gratuito limitado — tráfico capado o menos ubicaciones — ofrecido por un operador cuya infraestructura financian claramente los clientes de pago.

El rasgo distintivo es una respuesta visible a la pregunta del dinero. Si el proveedor dice sin rodeos que los usuarios gratuitos reciben una porción de la infraestructura de pago como marketing, sus incentivos están alineados con los tuyos. Si el servicio promete ancho de banda gratis e ilimitado para siempre y nunca explica sus ingresos, no lo están.

Cómo comprobar de qué vive un servicio gratuito

No hace falta ser investigador de seguridad para hacer una prueba del algodón básica. Diez minutos de lectura te dicen casi todo lo que importa, porque la monetización tiene que estar declarada en algún sitio — normalmente en la política de privacidad, en los permisos o en el propio marketing de la empresa hacia los anunciantes.

Ninguna de estas comprobaciones necesita herramientas especiales, y un proveedor que falle dos o más ya te ha dicho suficiente. Márchate; alternativas no faltan.

• Lee la política de privacidad buscando las palabras vender, compartir, socios, publicidad y afiliados aplicadas a datos de tráfico o de uso
• Mira qué permisos pide la app; un túnel necesita acceso a la red, no tus contactos ni tu ubicación precisa
• Averigua quién es el dueño de la empresa, dónde está registrada y si el mismo dueño opera muchas apps parecidas
• Busca una auditoría de seguridad independiente o una verificación publicada de que no hay registros
• Desconfía del ancho de banda gratis ilimitado; el ancho de banda es lo más caro que compra un proveedor de VPN
• Prefiere la prueba o la ventana de devolución de un servicio de pago antes que un desconocido gratis para siempre