VPN e privacy: 64 app tracciano perfino la posizione degli utenti

Una VPN dovrebbe ridurre la quantità di informazioni che finiscono nelle mani di terzi, non trasformarsi in un’altra sorgente di dati personali. Eppure un’indagine pubblicata da Proton VPN solleva un problema tutt’altro che marginale: dopo aver esaminato oltre 7.000 applicazioni VPN mobili a livello mondiale, la società sostiene che l’85% delle app considerate incorpori almeno un tracker e che 64 VPN arrivino a raccogliere dati sulla posizione fisica dell’utente.

Il dato colpisce soprattutto perché riguarda una categoria di software nata con una funzione praticamente opposta. Le VPN aziendali servivano e servono tutt’oggi a collegare in modo sicuro reti e computer remoti (proprio di recente abbiamo presentato Tailcat per collegare in remoto due PC, in modo sicuro e senza VPN); con la diffusione degli smartphone, dei servizi di streaming e delle reti WiFi pubbliche, le VPN commerciali sono diventate prodotti rivolti al grande pubblico. Oggi decine di milioni di persone le utilizzano per nascondere l’indirizzo IP pubblico, ridurre la visibilità del traffico da parte del provider Internet oppure aggirare restrizioni geografiche.

Proprio la popolarità del settore rende interessante l’analisi. Proton afferma che le applicazioni prese in esame e disponibili negli store più famosi abbiano totalizzato oltre 13,2 milioni di download nel solo mese di giugno 2026. Installare una VPN “qualsiasi” non significa insomma ottenere più privacy: si sposta una parte importante della fiducia dal provider Internet al gestore del servizio VPN e al software installato sul dispositivo.

Una VPN nasconde l’indirizzo IP, ma non rende invisibile lo smartphone

Per capire il problema cui fa riferimento Proton VPN bisogna separare due livelli. Una VPN crea un tunnel cifrato tra il dispositivo e un server remoto: il provider Internet vede generalmente la connessione verso il server VPN, ma non può osservare le destinazioni raggiunte attraverso il tunnel; il sito visitato, invece, vede come indirizzo sorgente quello del nodo di uscita dalla rete VPN anziché l’IP pubblico originario dell’utente.

L’app VPN installata sul telefono, però, rimane un normale programma Android o iOS e può integrare librerie per telemetria, analytics, pubblicità, crash reporting o profilazione. Se ottenesse i permessi corrispondenti, l’applicazione potrebbe inoltre accedere ad altre informazioni messe a disposizione dal sistema operativo.

Ecco perché una VPN può nascondere l’IP reale a un sito web e, contemporaneamente, raccogliere informazioni sul dispositivo ove risulta in esecuzione l’applicazione.

Modello dello smartphone, operatore mobile, tipo di rete, identificatori pubblicitari e posizione possono diventare segnali aggiuntivi. L’acquisizione di questi dati non implica automaticamente una violazione della privacy, ma il loro sfruttamento assume un peso particolare per un’app venduta o comunque proposta come strumento di protezione dei dati.

Come Proton ha individuato i tracker nelle VPN

Per la componente Android dell’indagine, Proton dichiara di essersi appoggiata ai dati di Exodus Privacy, progetto open source che analizza le applicazioni pubblicate su Google Play e cerca nel pacchetto software firme riconducibili a SDK e librerie note per attività di analytics, advertising e tracciamento degli utenti.

Trovare la firma di un tracker nel codice non equivale necessariamente a dimostrare che ogni singolo dato tecnicamente accessibile sia raccolto, trasmesso e conservato in qualsiasi situazione. Exodus stessa precisa che i suoi report descrivono i componenti presenti nell’applicazione; possono esistere falsi positivi o falsi negativi e l’analisi statica non sostituisce l’osservazione completa del traffico generato durante l’esecuzione.

D’altra parte, la presenza di numerosi SDK di terze parti aumenta la superficie di raccolta dei dati. Una libreria può ricevere informazioni non perché il produttore della VPN abbia scritto direttamente il codice necessario, ma perché lo sviluppatore ha integrato un componente esterno per pubblicità, statistiche, misurazione delle campagne o monetizzazione.

Proton sostiene che l’85% delle VPN esaminate (nel mercato statunitense) contenga tracker capaci, a seconda del componente e delle autorizzazioni disponibili, di trattare informazioni quali identificatore pubblicitario, modello del dispositivo, operatore telefonico e caratteristiche della connessione.

Il problema più delicato: 64 VPN raccolgono dati di geolocalizzazione

La parte più sorprendente dell’analisi riguarda la posizione. Proton afferma di avere individuato 64 applicazioni VPN che raccolgono attivamente informazioni geografiche tramite GPS o altri meccanismi di localizzazione.

Tra i nomi citati compaiono VPN Proxy Master, VPN-Fast VPN Super e X-VPN; secondo la società, le applicazioni appartenenti a questo gruppo hanno superato complessivamente 3 milioni di download negli USA soltanto a giugno 2026.

Una VPN non ha normalmente bisogno della posizione geografica per creare un tunnel IP. Il protocollo VPN deve conoscere indirizzi di rete, interfacce, route, chiavi crittografiche e server con cui stabilire la connessione; la locazione geografica precisa non costituisce un requisito tecnico generale per WireGuard, OpenVPN, IKEv2 o protocolli equivalenti.

Certo, possono esistere funzionalità accessorie che giustificano l’uso della posizione. Un’app potrebbe suggerire i server VPN più veloci sulla base dell’area geografica, applicare automatismi legati alla rete o offrire servizi aggiuntivi. Rimane però una domanda fondamentale: serve davvero conoscere le coordinate GPS per raggiungere tale scopo oppure basterebbe, per esempio, una geolocalizzazione approssimativa ricavata dall’indirizzo IP?

VPN gratuite e monetizzazione: dove nasce il conflitto

Gestire una VPN ha costi reali. Servono server con connettività adeguata, larghezza di banda, indirizzi IP, sviluppo delle applicazioni, aggiornamenti di sicurezza, assistenza e infrastrutture distribuite geograficamente. Un servizio gratuito deve quindi finanziare queste risorse in qualche modo.

Alcuni operatori utilizzano il modello freemium: il piano senza costi funge da accesso al servizio mentre gli abbonamenti premium sostengono economicamente l’infrastruttura. Altri puntano sulla pubblicità o su accordi commerciali con società di analytics e data intelligence.

Proton segnala, tra gli esempi individuati, VPN riconducibili a società che operano direttamente nel mercato delle misurazioni digitali: Phone Guardian Safe WiFi è associata a Sensor Tower, My Mobile Secure VPN a Comscore e Urban VPN a BiScience. Le pagine ufficiali delle tre aziende mostrano chiaramente attività legate a misurazione delle audience, analisi dell’utilizzo delle applicazioni, advertising intelligence o studio dei comportamenti digitali, osserva Proton VPN.

Non significa che una VPN appartenente a una società di questo tipo utilizzi impropriamente i dati degli utenti. È però un elemento utile per valutare il modello economico del prodotto: con una VPN la fiducia conta più che in molte altre categorie di software, perché il gestore occupa una posizione privilegiata rispetto al traffico dell’utente.

Google Play vieta di usare VpnService per monetizzare il traffico

Le regole Google dedicate a VpnService, la classe Android che permette di creare una VPN a livello di dispositivo, vietano esplicitamente di raccogliere dati personali o sensibili senza informativa evidente e consenso dell’utente.

Google proibisce inoltre l’uso della VPN per reindirizzare o manipolare il traffico generato da altre applicazioni allo scopo di monetizzarlo. Chi utilizza VpnService deve dichiararlo nella scheda di Google Play e cifrare i dati dal dispositivo fino all’endpoint del tunnel.

La difficoltà consiste nel verificare l’applicazione concreta delle regole: una revisione dello store può controllare manifest, autorizzazioni, dichiarazioni fornite dallo sviluppatore e numerosi comportamenti automatici; dimostrare come un servizio utilizzi realmente ogni dato raccolto, soprattutto sul lungo periodo e attraverso infrastrutture server esterne, è molto più complesso.

Prima di affidare a una VPN il proprio traffico conviene verificare chi controlla la società, dove ha sede, quale modello economico utilizza e se pubblica audit indipendenti della propria politica no-log. Un altro segnale favorevole è la disponibilità del codice sorgente delle applicazioni client, anche se open source non significa automaticamente sicuro.

Permette almeno a ricercatori indipendenti di esaminare parte dell’implementazione e rende più difficile nascondere alcune categorie di comportamenti direttamente nel software distribuito.

Su Android vale la pena controllare le autorizzazioni richieste. Una VPN che domanda l’accesso alla posizione precisa dovrebbe spiegare chiaramente perché ne ha bisogno. Lo stesso ragionamento vale per contatti, microfono, file o altre risorse che non sembrano correlate alla creazione del tunnel.

Bisogna infine evitare una semplificazione frequente: “VPN gratuita uguale VPN pericolosa“. Esistono servizi gratuiti finanziati attraverso abbonamenti premium e prodotti a pagamento che possono comunque raccogliere telemetria. Il prezzo non dimostra la qualità della privacy policy; il modello di finanziamento, la trasparenza tecnica e le verifiche indipendenti dicono molto di più.