Sebastian Juul
Två av världens största säkerhetsstudier pekar åt samma håll: gratis-VPN läcker precis den data de säger sig skydda.
Verktyget du installerat för att bli osynlig på caféets wifi eller för att komma åt utländsk streaming kan i praktiken göra dig mer exponerad. Zimperiums säkerhetslabb granskade 800 gratis-VPN-appar i Apples och Googles butiker och drog slutsatsen att ”inte alla VPN-appar går att lita på”, eftersom många lider av svag kryptering, dataläckor eller farliga behörighetsförfrågningar.
Zimperiums rapport från oktober 2025 visar att omkring en fjärdedel av VPN-apparna på iOS helt saknar giltigt integritetsmanifest, alltså den obligatoriska uppgift som ska tala om för användaren hur appen hanterar personuppgifter. Tre av apparna i urvalet bygger dessutom fortfarande på en gammal version av OpenSSL med sårbarheten Heartbleed, som lappades redan 2014, enligt Zimperium zLabs.
Affärsmodellen är själva problemet
En separat undersökning från Top10VPN, som granskade de 100 populäraste gratis-VPN-apparna för Android med sammanlagt 2,5 miljarder installationer, ger en konkret bild av vart datan tar vägen: 71 av apparna delade personuppgifter med tredje parter som sociala medier och datamäklare, och 84 av dem hade inbäddade spårnings-SDK:er från marknadsförings- och reklamplattformar.
Datan som säljs vidare är den enkla förklaringen till varför tjänsten är gratis. Bland vanliga intäktskällor räknar Top10VPN upp annons-SDK:er, försäljning av surfmetadata och enhetsavtryck samt så kallade residential proxy-nätverk, där användarens uppkoppling hyrs ut till andra utan att hen vet om det. Ungefär hälften av de granskade apparna innehöll kod som skickade data direkt till tredje parter, bland dem ByteDance och Yandex.
Läckor och svag kryptering
Själva den grundläggande uppgiften, att kryptera trafiken, misslyckas också ofta. Top10VPN uppmätte att nästan 90 procent av de 100 apparna läckte data på något sätt, och 83 av dem läckte DNS-förfrågningar som avslöjade vilka domäner användaren besökte. 36 procent använde den svagare 128-bitars-krypteringen i stället för dagens rekommenderade 256-bitars, och nästan var femte app (19 procent) flaggades som skadlig kod av vanliga virusskanners.
Zimperium fann att cirka en procent av de 800 apparna var öppet sårbara för avlyssningsattacker där en angripare kan sätta sig mellan användaren och den tjänst hen försöker nå. Flera appar begärde också behörigheter långt bortom vad en VPN-tunnel kräver, på Android bland annat AUTHENTICATE_ACCOUNTS och READ_LOGS, och på iOS ständig platsåtkomst och behörighet till det lokala nätverket.
Det här kan du göra
En VPN-app som ska skydda din integritet måste själv gå att lita på. Rekommendationen från både Zimperium och Top10VPN pekar mot betaltjänster med tydliga integritetsvillkor och oberoende granskningar. Vill du ändå testa en gratistjänst finns det etablerade leverantörer som Proton och Windscribe, som erbjuder en begränsad gratisnivå som ett verkligt smakprov och håller samma säkerhetsnivå som sina betalprodukter.
Kontrollera i praktiken tre saker innan du installerar: vem som äger appen och var företaget är registrerat, om leverantören har publicerat en oberoende säkerhetsgranskning, och vilka behörigheter appen begär vid installationen. En VPN-app har ingen anledning att läsa dina systemloggar eller alltid veta var din telefon befinner sig.
Att många gratis-VPN på Google Play utger sig för att vara säkerhetsverktyg utan att leverera skyddet är ingen isolerad varning: teksajten har tidigare rapporterat att populära VPN-appar på Google Play inte skyddar alls, och att mer än hälften av VPN-apparna använder en gammal OpenVPN-kod med kända sårbarheter.
