Araştırmacılar, Google Play Store'daki en popüler 281 ücretsiz VPN uygulamasını yeni bir test sistemiyle inceledi ve birçoğunun, insanların VPN kurmasının temel nedeni olan trafiği özel ve güvenli tutma konusunda başarısız olduğunu tespit etti.
En az bir sorun tespit edilen uygulamalar toplamda 2,4 milyardan fazla kez indirildi.
Sorunlar karmaşık değil, temel düzeyde. 29 uygulama, hangi web sitelerini ziyaret ettiğinizi gösteren DNS sorguları da dahil olmak üzere kullanıcı trafiğinin şifrelenmiş tünelin dışına sızmasına izin veriyor. 61 uygulama ise bazı verileri, o ağdaki trafiği izleyen herkesin okuyabileceği düz metin olarak gönderiyor.
Bunlardan beşi, uygulamanın yapılandırma dosyasını şifrelemeden iletiyor. Bu da ağdaki bir saldırganın bağlantıyı kendi kontrolündeki bir sunucuya yönlendirmesine olanak tanıyor.
MVPNalyzer adı verilen sistem, Şubat 2026'da NDSS güvenlik konferansında Michigan Üniversitesi, New Mexico Üniversitesi ve IIT Delhi'den araştırmacılar tarafından sunuldu.
Sistem, aynı laboratuvarın masaüstü VPN yazılımı üzerine yaptığı önceki VPNalyzer çalışmasının mobil versiyonu. Araştırmacılar, bunu Android VPN uygulamalarını sistematik ve tekrarlanabilir şekilde denetlemek için oluşturulmuş ilk çerçeve olarak tanımlıyor.
VPN, trafiğinizi şifrelenmiş bir tünele sararak internet sağlayıcınızın veya ağdaki bir dinleyicinin ne yaptığınızı görmesini engeller. Bunun karşılığında, VPN uygulaması artık tüm bu verileri görür. Bu, birine güvenme ihtiyacını ortadan kaldırmaz; sadece güveni internet sağlayıcınızdan uygulamayı geliştirene kaydırırsınız.
Çalışma, bu uygulamaların bu güveni hak edip etmediğini sorguluyor. Birçoğu için cevap hayır.
En ciddi kusur: tünel ele geçirme
En kötü bulgu, yapılandırma dosyasını şifrelemeden indiren beş uygulamayla ilgili. Bu dosya, uygulamaya hangi sunucuya bağlanacağını söyler. Düz metin olarak iletilirse, aynı ağdaki bir saldırgan (örneğin halka açık bir Wi-Fi operatörü) bu dosyayı aktarım sırasında değiştirebilir ve uygulamayı kendi kontrolündeki bir sunucuya yönlendirebilir.
