In questo articolo Indice dei contenuti 2 sezioni
Chi installa una VPN lo fa quasi sempre per un motivo semplice, cioè ridurre la quantità di informazioni personali che finiscono in giro, eppure un’indagine firmata Proton VPN racconta una storia diversa e piuttosto scomoda. Dopo aver passato al setaccio oltre 7.000 applicazioni VPN per dispositivi mobili in tutto il mondo, la società sostiene che l’85% delle app analizzate sul mercato statunitense contenga almeno un tracker, e che ben 64 di queste arrivino addirittura a raccogliere dati sulla posizione fisica dell’utente. Numeri che pesano, soprattutto per una categoria di software nata con lo scopo opposto.
Vale la pena ricordare da dove arrivano questi strumenti. Le VPN aziendali servivano, e servono tuttora, a collegare in sicurezza reti e computer remoti. Poi sono arrivati gli smartphone, lo streaming, le reti WiFi pubbliche degli aeroporti e dei bar, e le VPN commerciali sono diventate prodotti di massa. Oggi decine di milioni di persone le usano per nascondere l’indirizzo IP pubblico, sottrarre un po’ di traffico allo sguardo del provider Internet oppure aggirare i blocchi geografici. Le app esaminate hanno totalizzato più di 13,2 milioni di download nel solo mese di giugno 2026, quindi il fenomeno non è marginale. Installare una VPN qualsiasi, insomma, non regala automaticamente più privacy, semplicemente sposta la fiducia dal provider di connettività al gestore del servizio e al software che gira sul telefono.
Il tunnel cifrato copre il traffico, non il telefono
Qui bisogna distinguere due piani. Una VPN costruisce un tunnel cifrato tra dispositivo e server remoto, così il provider vede la connessione verso quel server ma non le destinazioni raggiunte, mentre il sito visitato registra l’indirizzo del nodo di uscita al posto di quello reale. Fin qui tutto funziona come promesso. Il punto è che l’app installata resta un normale programma Android o iOS, e come tale può integrare librerie per telemetria, analytics, pubblicità, crash reporting o profilazione. Con i permessi giusti può anche attingere ad altre informazioni offerte dal sistema operativo. Modello del dispositivo, operatore telefonico, tipo di rete, identificatore pubblicitario e posizione diventano segnali che qualcuno, da qualche parte, può usare.
Per la parte Android l’analisi si è appoggiata a Exodus Privacy, progetto open source che cerca dentro i pacchetti le firme di SDK e librerie note per attività di tracciamento. Un dettaglio importante lo sottolinea Exodus stessa, ovvero che trovare la firma di un tracker non dimostra che ogni dato accessibile venga effettivamente raccolto e conservato. Possono esserci falsi positivi e falsi negativi, e l’analisi statica non equivale a osservare il traffico reale durante l’uso. Resta però il fatto che accumulare SDK di terze parti allarga la superficie di raccolta, spesso perché lo sviluppatore ha incollato nel progetto un componente esterno per pubblicità o statistiche.
La geolocalizzazione e il nodo del modello economico
Il capitolo più delicato riguarda proprio le 64 app che raccolgono attivamente dati geografici tramite GPS o altri meccanismi. Tra i nomi citati compaiono VPN Proxy Master, VPN-Fast VPN Super e X-VPN, e insieme queste applicazioni avrebbero superato i 3 milioni di download negli Stati Uniti nel solo giugno 2026. Tecnicamente una VPN non ha bisogno delle coordinate per creare un tunnel IP, perché a protocolli come WireGuard, OpenVPN o IKEv2 servono indirizzi di rete, route, chiavi crittografiche e server. Certo, un’app potrebbe suggerire il nodo più veloce in base all’area, ma per quello basterebbe una stima approssimativa ricavata dall’indirizzo IP.
Dietro c’è la questione dei costi. Server, banda, indirizzi IP, sviluppo, aggiornamenti di sicurezza e assistenza si pagano, e un servizio gratuito quei soldi deve trovarli. Alcuni scelgono il modello freemium, altri la pubblicità o accordi con società di analytics. Tra gli esempi segnalati figurano Phone Guardian Safe WiFi associata a Sensor Tower, My Mobile Secure VPN legata a Comscore e Urban VPN riconducibile a BiScience, aziende attive nella misurazione delle audience e nell’advertising intelligence.
Le regole di Google su VpnService, intanto, vietano di raccogliere dati personali senza informativa chiara e consenso, e proibiscono di reindirizzare o manipolare il traffico di altre app per monetizzarlo. Verificare davvero cosa accade sui server esterni, però, è tutt’altro discorso. Prima di affidare il proprio traffico a qualcuno conviene guardare chi controlla la società, dove ha sede, se pubblica audit indipendenti della politica no-log e quali autorizzazioni chiede l’app. Una VPN che pretende la posizione precisa dovrebbe spiegare per quale ragione le serve.
