Aplicaciones VPN gratuitas en peligro: 2.400 millones de datos de usuarios expuestos

Un grupo de investigadores internacionales ha identificado graves problemas de seguridad en aplicaciones VPN gratuitas diseñadas para el sistema operativo Android. Los análisis realizados demuestran que muchos servicios que prometen privacidad pueden, en realidad, exponer los datos de los usuarios, transmitirlos a empresas publicitarias e incluso permitir el secuestro del tráfico de Internet. Lo más preocupante es que las aplicaciones con estas vulnerabilidades han sido descargadas más de 2.400 millones de veces hasta la fecha. Así lo informa Ixbt.com informa .

Este estudio, realizado por expertos de la Universidad de Michigan, la Universidad de Nuevo México y el Instituto Indio de Tecnología de Delhi, analizó 281 aplicaciones. Utilizando su herramienta MVPNalyzer, los científicos probaron dispositivos con Android 14. Los resultados fueron presentados en la prestigiosa conferencia de ciberseguridad NDSS.

Riesgo de redirección de tráfico

Durante la investigación, se descubrió que cinco grandes aplicaciones VPN descargan archivos de configuración sin cifrar. Estos archivos definen los parámetros de conexión y el servidor por el que pasa el tráfico del usuario. Esta situación es extremadamente peligrosa, especialmente en redes Wi-Fi públicas. Los hackers pueden falsificar la conexión y redirigir todo el tráfico a sus propios servidores, mientras el usuario sigue pensando que la VPN funciona con normalidad.

La filtración de datos no se limita solo al tráfico. Se determinó que 29 de las 281 aplicaciones analizadas no logran proteger el tráfico por completo. Además, los investigadores registraron los siguientes casos preocupantes:

• 76 aplicaciones contienen un mecanismo para transmitir el identificador publicitario (ID) del dispositivo;
• 246 programas se conectan a plataformas publicitarias y analíticas, enviando datos como el modelo de smartphone, el tamaño de la pantalla y la versión de Android;
• En algunos casos, las aplicaciones también transmiten las coordenadas GPS precisas del usuario a terceros.

Tecnologías obsoletas y protección débil

Los expertos también prestaron especial atención a la configuración de OpenVPN, uno de los protocolos VPN más populares. De las 108 aplicaciones que utilizan este protocolo, solo una cumplía con todos los requisitos de seguridad. Casi el 89 % de los programas utilizaban un solo método de autenticación en lugar de una combinación de certificado y contraseña, lo que reduce drásticamente el nivel de protección.

Asimismo, una de cada cinco aplicaciones utiliza los algoritmos de cifrado Blowfish y Triple DES, considerados hoy en día obsoletos y vulnerables. Según ixbt.com, el problema se agrava porque muchos servicios gratuitos no se actualizan a tiempo. Incluso el sello «Verified» en Google Play Store no puede garantizar la seguridad absoluta de una aplicación, ya que las comprobaciones automáticas no siempre detectan vulnerabilidades tan complejas.

Los expertos recomiendan a los usuarios tener cuidado con los servicios VPN gratuitos que ofrecen publicidad agresiva. Este es un tema relevante para muchos usuarios, ya que la mayoría utiliza estas aplicaciones gratuitas para acceder a redes sociales. La forma más fiable es elegir servicios de pago o de renombre que hayan pasado auditorías de seguridad independientes y hayan demostrado la eficacia de su protección de datos.