Un equipo de la Universidad de Michigan, la Universidad de Nuevo México y el IIT de Delhi analizó 281 apps de VPN populares de Google Play con una herramienta propia, MVPNalyzer. Lo presentaron en NDSS, uno de los congresos de seguridad informática más exigentes, en febrero de 2026. El resultado: 61 apps enviaban datos sin cifrar y 29 dejaban escapar tráfico fuera del túnel.
Es justo lo contrario de lo que promete una VPN. Abajo están las cifras del estudio y qué hacer con ellas al elegir una app, sobre todo si es gratuita.
En corto
- 281 apps de VPN populares de Android, en un estudio publicado en 2026.
- 61 enviaban datos sin cifrar; 29 filtraban tráfico fuera del túnel; 76 enviaban el identificador de publicidad.
- Una VPN pasa a ver todo tu tráfico. Si la app es mala, estás peor que sin ella.
Qué encontró el estudio
Las cifras salen del resumen oficial del artículo en NDSS:
| Problema | Apps afectadas (de 281) |
|---|---|
| Envían datos sin cifrar | 61 |
| Mandan su configuración de VPN en texto claro, lo que permite secuestrar el túnel | 5 |
| Filtran tráfico, incluido el DNS, fuera del túnel | 29 |
| Envían el identificador de publicidad del móvil | 76 |
| No siguen las buenas prácticas de seguridad en su configuración | 107 |
| No ocultan su tráfico, así que es fácil bloquearlas | 169 |
Los autores subrayan que entre todas suman cientos de millones de instalaciones. No hablamos de apps raras.
Diez años antes: el estudio de 2016
No es la primera vez. Ya en 2016 alguien miró dentro de las VPN de Android. Investigadores de Data61-CSIRO (Australia), la Universidad de Nueva Gales del Sur, ICSI y la Universidad de California en Berkeley analizaron 283 apps con permiso de VPN, sacadas de más de 1,4 millones de apps de Google Play. Lo presentaron en el congreso IMC. Estas son las cifras de su artículo:
| Hallazgo (2016) | Porcentaje |
|---|---|
| Usaban protocolos de túnel sin cifrado | 18 % |
| No pasaban el tráfico IPv6 por el túnel | 84 % |
| No pasaban el DNS por el túnel | 66 % |
| Las gratuitas que llevaban al menos una librería de rastreo | 75 % |
| Pedían permisos sensibles, como cuentas o SMS | 82 % |
| Tenían al menos un aviso de malware en VirusTotal (solo un 4 % con más de cinco antivirus de acuerdo) | 38 % |
| Usaban proxies que modificaban el tráfico web (dos llegaban a inyectar JavaScript) | 16 % |
¿Ha mejorado algo en diez años? No se puede decir con estas cifras. Miden cosas distintas y con muestras distintas: 150 apps en 2016 y 281 en el estudio de 2026. Lo que sí se repite es el patrón. Fugas fuera del túnel y tráfico sin cifrar en una parte relevante de las apps.
Por qué esto es grave en una VPN
Los autores lo resumen con una idea: una VPN provoca una «transferencia de confianza». Dejas de confiar en tu operador o en la wifi del hotel y pasas a confiar en la empresa de la VPN, que ve todo lo que sale de tu móvil.
Si esa app manda datos sin cifrar, cualquiera en la red puede leerlos. Si filtra el DNS, tu operador sigue viendo qué webs visitas aunque creas que no. Y si envía el identificador de publicidad, te pueden seguir entre apps. En los tres casos, crees estar protegido y no lo estás.
¿Y las VPN gratuitas?
Un matiz importante. El estudio analiza apps populares, no solo gratuitas, y el resumen no separa los resultados por precio. No se puede decir con sus datos que «las gratuitas fallan más».
Lo que sí es lógico preguntarse: si una VPN es gratis y no tiene un plan de pago detrás, ¿de qué vive? Montar servidores cuesta dinero. Si no pagas tú, alguien paga por algo, y el identificador de publicidad que mandaban 76 apps es una pista de qué puede ser.
Hay excepciones razonables. El plan gratuito de Proton, por ejemplo, lo explico en el análisis de Proton VPN.
Qué llevan dentro las VPN conocidas
El resumen de 2026 no da nombres, pero puedes mirar tú cualquier app. Exodus Privacy, una asociación francesa sin ánimo de lucro, analiza el código de las apps de Google Play. Esto encontró en cuatro VPN conocidas con planes de pago, entre agosto y octubre de 2026:
| App | Rastreadores | Permisos |
|---|---|---|
| Proton VPN | 1 (Sentry, informes de fallos) | 14 |
| CyberGhost | 4 | 23 |
| NordVPN | 3 | 29 |
| Surfshark | 3 | 45 |
Ni siquiera las de pago van limpias del todo. Tres de cuatro llevan AppsFlyer, una herramienta que mide de qué anuncio viene cada instalación; Exodus la clasifica como analítica. Antes de instalar una VPN desconocida, busca su informe en Exodus: si lleva una docena de rastreadores publicitarios, es una señal fuerte de que vive de tus datos de uso. Mejor busca otra.
Cómo elegir una app de VPN sin caer en esto
- Busca auditorías independientes publicadas. Con nombre de la auditora y fecha. Comparo las de cuatro servicios en esta comparativa.
- Mira quién está detrás. Empresa, país y si tiene web con política de privacidad clara.
- Desconfía de las que piden permisos que no necesitan: contactos, ubicación precisa, accesibilidad.
- Activa en Android «Bloquear conexiones sin VPN». Evita parte de las fugas si la VPN se cae. Lo explico en qué es una VPN.
- Valora si te basta el DNS privado, que es gratis y no depende de una app desconocida: cómo activarlo.
Cómo comprobar tu VPN en diez minutos
- Mira su informe en Exodus: rastreadores y permisos.
- Comprueba tu IP con la VPN apagada y encendida. Debe cambiar a la del servidor. Cómo hacerlo, en cuál es mi IP.
- Busca fugas de DNS con una web de prueba de fugas: con la VPN encendida, los servidores DNS que aparezcan deben ser los de la VPN, no los de tu operador.
- Activa «VPN siempre activa» y «Bloquear conexiones sin VPN» en los ajustes de Android. Si la VPN se cae, el móvil se queda sin red en vez de salir por fuera. Paso a paso en cómo configurar una VPN en Android.
- Revisa sus permisos en Ajustes → Aplicaciones y quita lo que no necesite. Te lo explico en permisos de las apps en Android.
Lo que el estudio no dice
El resumen no da nombres de apps. Si buscas detalles, ve al artículo completo en PDF y desconfía de listas que no lo enlacen.
Si lo que buscas es solo que no quede rastro en tu navegador, no necesitas una VPN: mira qué protege el modo incógnito.
Más sobre privacidad y VPN
- Navegador Tor: qué es, si es seguro y cómo usarlo en Android
- Cómo borrar el historial de Google desde el móvil (y qué pasa de verdad con tus datos)
- Gestor de contraseñas en Android: dónde están las tuyas y cuál usar
- Modo incógnito: qué protege y qué no (quién te sigue viendo)
- Cuál es mi IP y qué revela de ti (y qué no)
