Un equipo de la Universidad de Michigan, la Universidad de Nuevo México y el IIT de Delhi analizó 281 apps de VPN populares de Google Play con una herramienta propia, MVPNalyzer. Lo presentaron en NDSS, uno de los congresos de seguridad informática más exigentes, en febrero de 2026. El resultado: 61 apps enviaban datos sin cifrar y 29 dejaban escapar tráfico fuera del túnel.
Es justo lo contrario de lo que promete una VPN. Abajo están las cifras del estudio y qué hacer con ellas al elegir una app, sobre todo si es gratuita.
En corto
- 281 apps de VPN populares de Android, analizadas en 2026.
- 61 enviaban datos sin cifrar; 29 filtraban tráfico fuera del túnel; 76 enviaban el identificador de publicidad.
- Una VPN pasa a ver todo tu tráfico. Si la app es mala, estás peor que sin ella.
Qué encontró el estudio
Las cifras salen del resumen oficial del artículo en NDSS:
| Problema | Apps afectadas (de 281) |
|---|---|
| Envían datos sin cifrar | 61 |
| Mandan su configuración de VPN en texto claro, lo que permite secuestrar el túnel | 5 |
| Filtran tráfico, incluido el DNS, fuera del túnel | 29 |
| Envían el identificador de publicidad del móvil | 76 |
| No siguen las buenas prácticas de seguridad en su configuración | 107 |
| No ocultan su tráfico, así que es fácil bloquearlas | 169 |
Los autores subrayan que entre todas suman cientos de millones de instalaciones. No hablamos de apps raras.
Por qué esto es grave en una VPN
Los autores lo resumen con una idea: una VPN provoca una «transferencia de confianza». Dejas de confiar en tu operador o en la wifi del hotel y pasas a confiar en la empresa de la VPN, que ve todo lo que sale de tu móvil.
Si esa app manda datos sin cifrar, cualquiera en la red puede leerlos. Si filtra el DNS, tu operador sigue viendo qué webs visitas aunque creas que no. Y si envía el identificador de publicidad, te pueden seguir entre apps. En los tres casos, crees estar protegido y no lo estás.
¿Y las VPN gratuitas?
Un matiz importante. El estudio analiza apps populares, no solo gratuitas, y el resumen no separa los resultados por precio. No se puede decir con sus datos que «las gratuitas fallan más».
Lo que sí es lógico preguntarse: si una VPN es gratis y no tiene un plan de pago detrás, ¿de qué vive? Montar servidores cuesta dinero. Si no pagas tú, alguien paga por algo, y el identificador de publicidad que mandaban 76 apps es una pista de qué puede ser.
Hay excepciones razonables. El plan gratuito de Proton, por ejemplo, lo explico en el análisis de Proton VPN.
Cómo elegir una app de VPN sin caer en esto
- Busca auditorías independientes publicadas. Con nombre de la auditora y fecha. Comparo las de cuatro servicios en esta comparativa.
- Mira quién está detrás. Empresa, país y si tiene web con política de privacidad clara.
- Desconfía de las que piden permisos que no necesitan: contactos, ubicación precisa, accesibilidad.
- Activa en Android «Bloquear conexiones sin VPN». Evita parte de las fugas si la VPN se cae. Lo explico en qué es una VPN.
- Valora si te basta el DNS privado, que es gratis y no depende de una app desconocida: cómo activarlo.
Lo que el estudio no dice
El resumen no da nombres de apps. Si buscas detalles, ve al artículo completo en PDF y desconfía de listas que no lo enlacen.
Si lo que buscas es solo que no quede rastro en tu navegador, no necesitas una VPN: mira qué protege el modo incógnito.