Darmowe VPN na Androida kradły dane – jak wybrać bezpieczny
Darmowe VPN-y na Androida potrafiły wykradać kontakty i lokalizację. Sprawdź, czym grozi darmowy VPN, jak zweryfikować aplikację i co wybrać zamiast niej.
Poradnik jest bezpłatny – stronę utrzymują reklamy.
W tym artykule
Tak – zdarzały się darmowe aplikacje VPN w Google Play, które zamiast chronić, wykradały dane użytkowników, np. listę kontaktów i dokładną lokalizację. Nie oznacza to, że każdy darmowy VPN jest złośliwy, ale pamiętaj: aplikacja VPN widzi cały ruch internetowy Twojego telefonu. Jeśli trafisz na nieuczciwego dostawcę, oddajesz mu więcej, niż przed czymkolwiek się chronisz.
Poniżej opisujemy głośny przypadek z 2023 roku, wyniki badań darmowych VPN-ów na Androida, a przede wszystkim – jak samodzielnie sprawdzić aplikację VPN i co wybrać zamiast przypadkowej darmowej.
Co się stało: szpiegujące VPN-y w Google Play
W czerwcu 2023 roku firma badająca zagrożenia Cyfirma opisała dwie aplikacje dostępne w Google Play: iKHfaa VPN oraz komunikator nSure Chat, obie od wydawcy podpisanego jako „SecurITY Industry”. Według analizy:
- aplikacje prosiły o ryzykowne uprawnienia, m.in. dostęp do kontaktów i dokładnej lokalizacji, a zebrane dane wysyłały na serwer atakujących,
- kod aplikacji VPN został skopiowany z legalnej aplikacji innej firmy i uzupełniony o funkcje szpiegujące,
- badacze przypisali kampanię (ze średnią pewnością) grupie hakerskiej znanej jako DoNot (APT-C-35), działającej w Azji Południowej; celem byli głównie użytkownicy w Pakistanie,
- ofiary namawiano do instalacji przez wiadomości na WhatsAppie i Telegramie – link do Google Play dodawał aplikacji wiarygodności.
Według doniesień medialnych Google usunął aplikacje ze sklepu i zablokował konto wydawcy. To był atak ukierunkowany na wybrane osoby, ale dobrze pokazuje mechanizm: aplikacja w oficjalnym sklepie i z ładną nazwą „VPN” nie jest gwarancją bezpieczeństwa.
To nie był wyjątek – co mówią badania
- Badanie 283 aplikacji VPN na Androida (naukowcy z australijskiego CSIRO, UNSW i amerykańskiego ICSI/UC Berkeley, 2016) wykazało, że 18% z nich w ogóle nie szyfrowało ruchu, mimo obietnic anonimowości. Większość nie przepuszczała przez tunel ruchu IPv6 (ok. 84%) ani zapytań DNS (ok. 66%), więc część aktywności użytkownika i tak była widoczna. Wiele aplikacji zawierało też biblioteki śledzące i reklamowe.
- Raport amerykańskiej organizacji Tech Transparency Project z 2025 roku wskazał, że wśród popularnych darmowych VPN-ów w sklepach Apple i Google są aplikacje powiązane z chińskimi firmami, których własność ukryto za spółkami w innych krajach. W przypadku takich firm nie wiadomo, komu i na jakich zasadach mogą zostać przekazane dane o ruchu użytkowników.
Szczegóły dotyczące konkretnych aplikacji szybko się zmieniają – aplikacje są usuwane, zmieniają nazwy i właścicieli. Dlatego ważniejsza od list „złych VPN-ów” jest umiejętność sprawdzenia aplikacji samemu.
Czym grozi darmowy VPN
| Ryzyko | Na czym polega |
|---|---|
| Sprzedaż danych o ruchu | Dostawca zapisuje, jakie strony odwiedzasz, i zarabia na tych danych |
| Reklamy i śledzenie | Aplikacja zawiera wiele modułów reklamowych i śledzących |
| Brak lub słabe szyfrowanie | Ruch nie jest chroniony mimo obietnic |
| Wycieki | Część ruchu (DNS, IPv6) omija tunel i jest widoczna |
| Złośliwe funkcje | Aplikacja wykrada kontakty, lokalizację, SMS-y albo instaluje inne programy |
| Fałszywe poczucie bezpieczeństwa | Klikasz śmielej w podejrzane linki, bo „masz VPN” – a VPN nie chroni przed phishingiem |
Dlaczego VPN widzi tak dużo
Po włączeniu VPN cały ruch internetowy telefonu przechodzi przez serwery dostawcy. Szyfrowanie stron (https) nadal chroni treść, np. hasło do banku, ale dostawca VPN widzi, z jakimi stronami i kiedy się łączysz. Dlatego wybór dostawcy to kwestia zaufania.
Jak sprawdzić aplikację VPN przed instalacją
- Kto jest wydawcą? W Google Play przewiń do sekcji z informacjami o deweloperze. Szukaj prawdziwej firmy z nazwą, adresem, stroną internetową i polityką prywatności. Anonimowy wydawca z adresem Gmail to zły znak.
- Sekcja „Bezpieczeństwo danych”. Sprawdź, jakie dane aplikacja deklaruje jako zbierane i udostępniane. Jeśli VPN udostępnia firmom zewnętrznym lokalizację, identyfikatory urządzenia czy historię przeglądania – zrezygnuj.
- Oznaczenie niezależnej weryfikacji. Od 2023 roku Google Play wyróżnia aplikacje VPN, które przeszły niezależny audyt bezpieczeństwa według standardu MASA (App Defense Alliance) – oznaczenie jest widoczne w sekcji Bezpieczeństwo danych. Nie gwarantuje braku błędów, ale pokazuje, że firma poddała aplikację zewnętrznej kontroli.
- Uprawnienia. VPN do działania potrzebuje dostępu do sieci i zgody na utworzenie połączenia VPN. Nie potrzebuje dostępu do kontaktów, SMS-ów, rejestru połączeń, zdjęć, mikrofonu, aparatu ani dokładnej lokalizacji. Jeśli aplikacja o to prosi – nie instaluj jej.
- Audyty i polityka „no-logs”. Poważni dostawcy publikują wyniki niezależnych audytów potwierdzających, że nie zapisują historii aktywności użytkowników. Sama deklaracja w reklamie to za mało.
- Opinie i liczba pobrań. Czytaj recenzje z ostatnich miesięcy, szczególnie te negatywne. Mała liczba pobrań, świeża aplikacja i wyłącznie entuzjastyczne opinie to sygnał ostrzegawczy.
- Skąd pochodzi link? Nie instaluj VPN-a, bo ktoś przysłał link na WhatsAppie czy w SMS-ie. Właśnie tak rozsyłano aplikacje z opisanej wyżej kampanii. Nigdy nie instaluj aplikacji spoza Google Play z plików APK.
Masz już darmowy VPN? Sprawdź go
- Uprawnienia: Ustawienia → Aplikacje → wybierz aplikację VPN → Uprawnienia. Odbierz wszystko, co nie jest potrzebne (kontakty, lokalizacja, SMS, pliki).
- Profile VPN: zwykle Ustawienia → Sieć i internet → VPN (Pixel i wiele innych), a w Samsungach Ustawienia → Połączenia → Więcej ustawień połączeń → VPN. Zobaczysz, które aplikacje mają skonfigurowany VPN. Gdy VPN jest aktywny, na pasku stanu widać ikonę kluczyka.
- Google Play Protect: w aplikacji Sklep Play dotknij swojego zdjęcia profilowego → Play Protect → Skanuj.
Jeśli aplikacja budzi wątpliwości: rozłącz VPN, usuń profil VPN, odinstaluj aplikację, a następnie zmień hasła do najważniejszych kont (poczta, bank, media społecznościowe). Jeśli podejrzewasz, że w telefonie działa coś więcej, przeczytaj, jak sprawdzić, czy nie masz szpiega w telefonie, i czym jest oprogramowanie szpiegujące.
Bezpieczniejsze rozwiązania
- Najpierw zastanów się, czy VPN jest Ci potrzebny. W domu, przy bankowości przez aplikację banku i na stronach z https VPN zwykle niewiele dodaje. Przydaje się głównie w publicznym Wi-Fi (hotel, lotnisko, kawiarnia), w podróży lub gdy chcesz ukryć swój adres IP przed odwiedzanymi stronami. Co dokładnie zdradza adres IP, wyjaśniamy w tekście jak sprawdzić czyjś adres IP.
- Darmowy plan znanej firmy zamiast anonimowej aplikacji. Niektórzy uznani dostawcy oferują darmowy plan z ograniczeniami (mniej serwerów, niższa prędkość, jedno urządzenie). Przykładem jest Proton VPN, który w darmowym planie nie wyświetla reklam i publikuje wyniki niezależnych audytów polityki braku logów. Zanim wybierzesz, sprawdź aktualne warunki u dostawcy.
- Sprawdzony płatny VPN. Płacisz pieniędzmi, a nie danymi. Wybieraj dostawców z niezależnymi audytami, przejrzystą polityką prywatności i znaną siedzibą. Porównanie dwóch popularnych usług znajdziesz w tekście NordVPN czy Surfshark, a różnice między VPN a serwerem pośredniczącym – w artykule VPN czy proxy.
- Internet komórkowy zamiast publicznego Wi-Fi. Jeśli masz pakiet danych, przy logowaniu do banku czy poczty w podróży po prostu wyłącz Wi-Fi.
Uwaga na „darmowe VPN premium”
Zmodyfikowane wersje płatnych VPN-ów („premium za darmo”, „crack”, pliki APK z forów) to jeden z najczęstszych sposobów na zainfekowanie telefonu. Instaluj aplikacje wyłącznie z Google Play i od wydawcy, który jest właścicielem usługi.
Lista kontrolna przed instalacją VPN
- Wydawca to znana firma z adresem i polityką prywatności.
- Aplikacja ma niezależny audyt (oznaczenie w Google Play lub raport na stronie firmy).
- Nie prosi o kontakty, SMS-y, zdjęcia, mikrofon ani lokalizację.
- Sekcja Bezpieczeństwo danych nie wskazuje udostępniania danych reklamodawcom.
- Nie instaluję jej z linku z komunikatora ani z pliku APK.
- Wiem, do czego VPN jest mi potrzebny – i wyłączam go, gdy nie jest.
Najczęściej zadawane pytania
Czy darmowy VPN jest bezpieczny?
Nie każdy. Utrzymanie serwerów VPN kosztuje, więc darmowa usługa musi na czymś zarabiać – często na reklamach, śledzeniu lub sprzedaży danych o ruchu. Bezpieczniejsze są darmowe plany znanych firm, które publikują niezależne audyty, albo sprawdzone płatne usługi.
Jak sprawdzić, czy aplikacja VPN jest bezpieczna?
Sprawdź w Google Play wydawcę (prawdziwa firma z adresem i polityką prywatności), sekcję Bezpieczeństwo danych, oznaczenie niezależnej weryfikacji zabezpieczeń, wymagane uprawnienia i opinie. VPN nie potrzebuje dostępu do kontaktów, SMS-ów, zdjęć ani mikrofonu.
Jak usunąć podejrzaną aplikację VPN z Androida?
Najpierw rozłącz VPN w aplikacji lub w Ustawieniach (zwykle Ustawienia → Sieć i internet → VPN albo Ustawienia → Połączenia → Więcej ustawień połączeń → VPN), usuń profil VPN, a potem odinstaluj aplikację. Na koniec zmień hasła do ważnych kont i uruchom skanowanie Google Play Protect.
Czy w ogóle potrzebuję VPN na telefonie?
Większość osób nie potrzebuje go na co dzień – banki, poczta i większość stron szyfrują połączenie (https). VPN przydaje się głównie w publicznym Wi-Fi, w podróży lub gdy chcesz ukryć swój adres IP przed odwiedzanymi stronami. Zły VPN może Ci bardziej zaszkodzić niż pomóc.
