Quien más y quien menos alguna vez ha descargado una app de VPN para navegar de forma privada por la Red o saltarse alguna que otra restricción regional. Pues si has usado alguna de las 20 que aparecen el un estudio titulado “Enlaces ocultos: análisis de familias secretas de aplicaciones VPN”, tienes un problema, ya que al parecer, muchas VPN no son lo que parecen.
Dicho estudio, el cuál puedes leer en este enlace, ha descubierto que más de 20 de las aplicaciones de VPN más populares comparten tanto en común (desde código y servidores hasta dueños ocultos) que multiplica exponencialmente el riesgo ante cualquier ataque que sufra cualquiera de ellas, independientemente de cual sea.
Mismas características mismos riesgos
El mencionado estudio publicado por investigadores del Citizen Lab (Universidad de Toronto) y la Universidad Estatal de Arizona, analizó las 100 aplicaciones VPN más descargadas en Google Play Store. Sin esperarlo, descubrieron que 21 de ellas pertenecían, en realidad, a tres grandes familias de proveedores, a pesar de que se presentan como empresas diferentes que compiten entre ellas. Son estas:
- Familia A: empresas como Innovative Connecting, Autumn Breeze y Lemon Clove, responsables de apps como Turbo VPN, VPN Proxy Master y Snap VPN. Todas comparten fallos de seguridad, incluyendo contraseñas codificadas para Shadowsocks, un protocolo usado para evadir la censura en China, pero no diseñado para proteger el anonimato.
- Familia B: seis proveedores detrás de apps como XY VPN, Global VPN y Super Z VPN, que usan los mismos servidores y contraseñas predefinidas. Muchos de ellos estarían vinculados a la empresa china Qihoo 360, sancionada en EE. UU. por sus conexiones con el Ejército Popular de Liberación.
- Familia C: Fast Potato y Free Connected Limited, responsables de Fast Potato VPN y X-VPN, también vulnerables a ataques como el “ataque ciego en ruta”, que permite manipular el tráfico si el atacante está en la misma red.
En conjunto, estas apps acumulan más de 700 millones de descargas, por lo que hay una alta probabilidad de que sean algunas de las que hayas usado alguna vez en tu vida.
Pero, más grave que su alta difusión, es que tienen los mismos fallos de seguridad. Y no hablamos de que están expuestos a los mismos ataques, sin oa que sus vulnerabilidades son idénticos. aquí hablamos de cifrados obsoletos, contraseñas estáticas y una recopilación encubierta de datos de ubicación, incluso cuando sus políticas de privacidad afirman lo contrario.
De esta forma, la polémica va más allá de que los usuarios crean que están eligiendo entre competidores independientes cuando en realidad descargan productos prácticamente clonados. Esto no es solo un problema de transparencia, sino un grave riesgo de seguridad, ya que cualquiera con conocimientos básicos de ingeniería inversa puede descifrar las contraseñas que se usan en ellas o el tráfico que manejan.
Est estudio deja bastante claro que hay que tener mucho cuidado al elegir nuestras apps de confianza, ya que muchas veces lo barato sale caro. Por eso, optar por la primera opción de VPN gratuita y popular de la tienda puede no ser lo más recomendable en términos de privacidad. Y sí, plataformas como Google Play Store deberían hacer más para detectar este tipo de apps y sus riesgos asociados.