Sebastian Juul
Majoriteten av gratis-VPN:erna i Google Play läcker, spårar eller säljer vidare din data, enligt ny forskning.
Säkerhetsappen som skulle skydda din surfning har i många fall byggts för det motsatta: samla in trafiken och tjäna pengar på den. Det är slutsatsen i en ny genomgång av 281 populära gratis-VPN:er till Android, som forskare från University of Michigan, University of New Mexico och IIT Delhi presenterade på säkerhetskonferensen NDSS i februari 2026.
Studien bygger på testramverket MVPNalyzer och visar att 29 av apparna låter trafik läcka ut ur den krypterade tunneln. 24 av dem läcker specifikt DNS-uppslagningar som avslöjar vilka webbplatser användaren besöker, och dessa appar har tillsammans runt 360 miljoner installationer.
76 av apparna skickade enhetens annons-ID till tredjepartstjänster, alltså exakt den sortens spårning en VPN ska blockera. Över 80 procent av dem kontaktade kända reklam- och spårningsservrar.
”Vår motivation kommer från att se hur många som förlitar sig på VPN:er för integritet och säkerhet, medan många appar misslyckas med att upprätthålla ens grundläggande skydd”, säger Roya Ensafi, docent i datavetenskap vid University of Michigan, i universitetets presentation av studien.
Affärsmodellen säljer din surfning
En VPN-tjänst har teknisk insyn i allt som passerar genom tunneln: vilka sajter du besöker, vilka appar du använder, ungefärlig plats och enhetens fingeravtryck. När appen är gratis måste intäkterna komma någonstans ifrån, och forskningen pekar på att källan ofta är just den datan.
Löpande granskningar från jämförelsesajten Top10VPN av de 100 populäraste gratis-VPN:erna till Android visar att 71 av apparna delade personliga uppgifter med tredje part, inklusive sociala medieplattformar och datamäklare. Nästan 90 procent läckte någon form av användardata, och 84 appar innehöll spårningskod från marknadsförings- och annonsplattformar.
En separat analys som säkerhetsbolaget Mysterium VPN publicerade i april 2026 kom till samma slutsats: 17 av 18 testade gratis-appar innehöll minst en spårare, med ett snitt på nästan fem spårare per app. Turbo VPN pekas ut som ”tracker king” med spårare från tre separata nationella annonssystem inbyggda, och VPN 360 kopplade upp sig mot över 105 unika domäner.
Krypteringen som bara ser bra ut
Att en app marknadsförs med ”militär kryptering” och ”no-logs” betyder inte att det stämmer. Av de 108 VPN-appar som Michigan-forskarna granskade på djupet följde endast en enda alla rekommenderade säkerhetsstandarder. Nästan 20 procent använde föråldrad kryptering som Blowfish eller trippel-DES, och 61 appar skickade trafik okrypterad eller utanför VPN-tunneln.
Fem appar, däribland BambooVPN, Free VPN och 101 VPN, laddade dessutom ned sin konfigurationsfil utan kryptering. Det öppnar för ”tunnel hijacking”, där en angripare på samma Wi-Fi-nät kan dirigera om anslutningen till en egen server och läsa med allt som skickas.
Så minskar du risken
Om du har en gratis-VPN installerad är det enklaste att avinstallera den tills du vet vem som faktiskt står bakom. Kontrollera i Google Play eller App Store vilket företag som utger appen, i vilket land det är registrerat, och om no-logs-löftet har granskats av en oberoende tredje part. Finns ingen revision att hänvisa till är löftet värt lika mycket som appens eget påstående.
Den schweiziska tjänsten Proton VPN är i praktiken den enda stora aktören som erbjuder en gratisnivå helt utan annonser och utan datatak, med apparna granskade i oberoende säkerhetsrevisioner. Letar du efter en gratis-VPN du faktiskt kan använda är det där du ska börja.
