Бесплатный VPN: в чём подвох и когда им можно пользоваться

Кто платит за бесплатный VPN

У VPN-сервиса две главные статьи расходов: серверы в дата-центрах и трафик, который через них проходит. Чем больше пользователей, тем больше счёт. Если пользователь ничего не платит, у сервиса остаются такие источники денег:

1. Реклама. Баннеры и видео в приложении, а иногда реклама, встроенная прямо в страницы, которые вы открываете.
2. Данные. Сведения о том, какие сайты и приложения вы используете, уходят рекламным сетям, аналитическим компаниям или самому владельцу сервиса.
3. Платная версия. Бесплатный тариф ограничен по скорости, трафику или числу серверов и подталкивает к покупке. Из всех вариантов этот самый честный.
4. Ваше устройство. Приложение сдаёт ваш интернет-канал и IP-адрес в аренду третьим лицам, и телефон становится узлом чужой прокси-сети.

О втором и четвёртом способах пользователи обычно не догадываются: в описании приложения о них не пишут, а в политике конфиденциальности упоминают так, что не сразу поймёшь.

Отсюда разница в интересах. Платный сервис зарабатывает, когда вы довольны и продлеваете подписку. Бесплатный зарабатывает на вашем трафике, данных и внимании, и чем больше он их собирает, тем лучше для него и хуже для вас.

Что исследователи нашли внутри VPN-приложений

Одно из самых цитируемых исследований VPN-приложений для Android провели учёные австралийского агентства CSIRO, Университета Нового Южного Уэльса и Беркли. Они проверили 283 приложения из Google Play, которые используют системное разрешение VPN, и опубликовали результаты в 2016 году (PDF исследования).

• 75% приложений содержали сторонние библиотеки для отслеживания пользователей.
• 82% запрашивали доступ к чувствительным данным, в том числе к аккаунтам и SMS.
• 18% вообще не шифровали трафик, хотя обещали анонимность и безопасность.
• В 38% приложений хотя бы один антивирус на VirusTotal находил вредоносный или нежелательный код, чаще всего рекламный.
• Два приложения встраивали в открываемые страницы свой JavaScript для рекламы и слежки, одно из них перенаправляло покупки в интернет-магазинах на сайты партнёров.

С тех пор прошло десять лет, и Google ужесточил правила магазина. Бизнес-модель при этом осталась прежней, и случаи из 2020-х это хорошо показывают.

Как бесплатные VPN продают и теряют данные

Самый известный случай — Onavo Protect. Бесплатное VPN-приложение принадлежало Facebook и рекламировалось как способ защитить личные данные. При этом собранные данные об активности пользователей компания использовала и в собственных коммерческих целях, в том числе как инструмент бизнес-аналитики. В 2023 году Федеральный суд Австралии по иску регулятора ACCC обязал Facebook Israel и Onavo заплатить 20 млн австралийских долларов: пользователей не предупредили, для чего на самом деле используются их данные (ACCC).

Бывает и так, что данные просто утекают. В 2020 году исследователи нашли открытый сервер семи бесплатных VPN-сервисов из Гонконга: около 1,2 ТБ записей, включая адреса электронной почты, пароли в открытом виде, IP-адреса и журналы активности. Все семь сервисов заявляли, что логов не ведут (ESET WeLiveSecurity).

Список сайтов кажется безобидным, пока не посмотреть на него целиком. Сайты клиник и аптек говорят о здоровье, банков и микрозаймов — о деньгах, вакансий — о работе, детских магазинов — о семье. Рекламным сетям такой профиль интересен, мошенникам тоже.

Обещание «без логов» в описании ничего не стоит, если за ним нет понятного бизнеса и проверки. У бесплатного сервиса стимул хранить данные сильнее, чем у платного: это его товар.

Как бесплатный VPN превращает телефон в чужой сервер

Эта модель менее очевидна, и последствия у неё самые неприятные. Существует рынок резидентных прокси: компании продают доступ к IP-адресам обычных домашних и мобильных подключений. Такой трафик выглядит как действия живого человека, поэтому его покупают и для сбора данных с сайтов, и для мошенничества, спама и взлома аккаунтов. Миллионы таких адресов набирают в том числе через бесплатные VPN-приложения.

Схема простая. Разработчик встраивает в приложение чужой программный модуль (SDK), за который ему платят. Приложение делает то, что обещает, а модуль в фоне пропускает через ваше устройство чужой трафик.

• 2015 год. Выяснилось, что популярный бесплатный VPN Hola продавал простаивающий канал своих пользователей через собственный сервис Luminati, и через эту сеть провели атаку на один из сайтов. Основатель компании подтвердил, что атака шла через их сеть (PCWorld).
• Май 2024 года. Минюст США объявил о ликвидации ботнета 911 S5 примерно из 19 млн IP-адресов. Вредоносную программу распространяли в том числе через бесплатные VPN-приложения MaskVPN, DewVPN, PaladinVPN, ProxyGate, ShieldVPN и ShineVPN, а доступ к заражённым устройствам продавали преступникам. По версии обвинения, администратор заработал на этом около 99 млн долларов (Минюст США).
• Март 2024 года. Исследователи компании HUMAN нашли в Google Play 28 приложений с модулем, который без ведома владельцев превращал телефоны в резидентные прокси. 17 из них выдавали себя за бесплатные VPN. Google удалил их из магазина (BleepingComputer).
• Январь 2026 года. Google объявил, что нанёс удар по IPIDEA, одной из крупнейших сетей резидентных прокси. Среди каналов, через которые она набирала устройства, Google называет бесплатные VPN-приложения: они действительно работали как VPN, но без внятного предупреждения подключали устройство к сети в роли точки выхода. За одну неделю января через адреса этой сети работали более 550 групп злоумышленников (Google Threat Intelligence).

Для владельца телефона последствия вполне ощутимые. Его IP-адрес мелькает в чужих атаках и мошенничестве, поэтому сайты начинают показывать капчи и блокировать аккаунты. Батарея и трафик уходят на чужие задачи. А Google отдельно предупреждает, что через такие устройства злоумышленники могут добраться до других устройств в домашней сети.

Поддельные приложения и «бесплатные ключи» из Telegram

Отдельная история — приложения, которые только притворяются VPN. В ноябре 2024 года «Лаборатория Касперского» сообщила, что в третьем квартале число пользователей по всему миру, столкнувшихся с вредоносными или потенциально опасными приложениями под видом бесплатных VPN, выросло в 2,5 раза по сравнению со вторым (Kaspersky).

В России схемы подстраивают под местные заботы. Т—Ж в апреле 2026 года описывал схему для владельцев iPhone: «бесплатный VPN» якобы для ускорения Telegram просит ввести код-пароль телефона и разрешить добавить сетевые настройки, а через пару дней телефон блокируют и требуют 100 000 ₽ за разблокировку (Т—Ж). Настоящему VPN-приложению код-пароль от телефона не нужен.

Подделки часто копируют название и значок известного приложения, добавляя к ним «Pro», «Free» или «Fast». Перед установкой сверьте имя разработчика в магазине с тем, что указано на официальном сайте сервиса, а ссылку на приложение берите оттуда же, а не из рекламы в канале.

Бесплатные ключи из Telegram-каналов — тот же риск в другой упаковке. Ключ VLESS или конфиг даёт доступ к серверу, который кто-то держит. Кто именно, вы не знаете, а он видит, куда вы ходите, и в любой момент может отключить сервер или начать собирать данные. Мы не публикуем такие списки и не советуем ими пользоваться. Чем ключ от сервиса с кабинетом и поддержкой отличается от ключа из канала, рассказано в статье о ключах и подписках VLESS.

Бесплатный VPN на Android, iPhone и компьютере: где какие риски

Большинство описанных случаев касается Android, но на других платформах тоже есть свои слабые места.

Android

Google Play — самый большой магазин приложений, и большинство случаев выше связаны именно с ним. А ещё на Android приложения можно ставить из файлов APK с любых сайтов, и этим охотно пользуются распространители вредоносных программ. Ставьте VPN только из Google Play или с официального сайта разработчика и не отключайте Google Play Protect: по словам Google, он отключает приложения с известными прокси-модулями и предупреждает владельца.

iPhone

App Store проверяет приложения строже, но и он не гарантирует честности. Onavo Protect несколько лет был доступен на iPhone и исчез из App Store только в 2018 году, когда Apple сочла, что он нарушает её правила о сборе данных (Gizmodo). На iPhone опаснее всего то, о чём приложение просит после установки: код-пароль, профиль конфигурации или профиль управления устройством.

Компьютер

На компьютере бесплатный VPN чаще всего выглядит как расширение для браузера или программа с сайта. Hola, с которого началась история про продажу канала пользователей, распространялся в том числе как расширение для Chrome. Расширению с доступом ко всем сайтам видно всё, что вы делаете в браузере, поэтому ставьте их только от известных разработчиков. Программы «бесплатный VPN» с неофициальных сайтов — такой же способ распространять вредоносное ПО, как и взломанные игры: ботнет 911 S5, по данным Минюста США, распространялся через VPN-программы и сервисы платной установки, которые подкладывают программы в чужие установщики.

Когда бесплатным VPN можно пользоваться

Бесплатный VPN не обязательно ловушка. Есть варианты, где понятно, кто и почему оплачивает серверы.

• Пробный период платного сервиса. Вам дают попробовать то, за что потом предложат заплатить. Следите только за автопродлением: как его не пропустить, мы писали в статье как выбрать VPN.
• Корпоративный VPN от работодателя. Его оплачивает компания, и трафик видит тоже она. Используйте его для работы, а для личных дел выключайте.
• Бесплатный тариф известной компании, которая зарабатывает на платных тарифах. Бесплатная версия тут — реклама платной, и её ограничения честно указаны: например, несколько гигабайт трафика в месяц, одна-две страны на выбор или пониженная скорость. Проверьте, кто владелец, сколько лет компании и проходила ли она независимые аудиты.
• Встроенные функции браузера от крупных разработчиков. Например, в Microsoft Edge есть Secure Network: 5 ГБ в месяц бесплатно при входе в аккаунт Microsoft. Такие функции защищают в основном трафик браузера, а не всего устройства, и, как пишет сама Microsoft, доступны не во всех регионах.

Во всех четырёх случаях вы знаете, кто держит сервер и на что он живёт. Если на этот вопрос нет ответа, приложение лучше не ставить.

Иногда выгоднее заплатить совсем немного. Если VPN нужен на неделю поездки, посуточная оплата обойдётся дешевле обеда: в Byte VPN неделя стоит 70 ₽.

Как проверить VPN-приложение перед установкой

Проверка занимает минут десять и отсеивает большинство сомнительных вариантов. Подходит для Android, iPhone и компьютера.

1. Найдите разработчика. В карточке приложения в App Store или Google Play указаны его имя и сайт. На сайте должны быть название компании, контакты и описание сервиса. Если разработчик — набор букв без сайта, закрывайте карточку.
2. Посмотрите другие приложения этого разработчика. Десяток почти одинаковых «VPN Fast Secure» от одного аккаунта — признак конвейера.
3. Откройте политику конфиденциальности и найдите ответы на три вопроса: какие данные собираются, сколько хранятся и кому передаются. Если там упоминаются «партнёры», «рекламные сети» и «анализ использования приложений», вы знаете, как сервис зарабатывает.
4. Проверьте, какие данные собирает приложение. В Google Play для этого есть раздел «Безопасность данных», в App Store — блок «Конфиденциальность приложения». VPN-клиенту не нужны контакты, SMS, звонки, файлы и точная геолокация.
5. Почитайте отзывы с одной и двумя звёздами. Пятизвёздочные легко накрутить, а в плохих люди пишут о рекламе на весь экран, неожиданных списаниях и странном поведении телефона.
6. После установки прочитайте системное предупреждение. При первом подключении Android и iOS спрашивают разрешение на VPN и предупреждают, что приложение сможет видеть сетевой трафик. Для VPN это нормально, поэтому решать, кому давать такое право, нужно до этой кнопки.
7. Убедитесь, что VPN работает как обещано: IP-адрес сменился, DNS не утекает. Как это проверить, описано в статье как проверить VPN.

Признаки, что VPN-приложение делает лишнее

Прокси-модуль или рекламный код в фоне себя почти не выдают, но косвенные признаки бывают. Насторожитесь, если после установки VPN произошло что-то из этого:

• Телефон греется и быстро садится, даже когда лежит без дела, а в статистике батареи наверху VPN-приложение.
• В статистике передачи данных приложение расходует сотни мегабайт, хотя вы им почти не пользовались.
• Реклама выскакивает поверх других приложений или на домашнем экране.
• Сайты постоянно просят пройти капчу, а аккаунты внезапно блокируют за «подозрительную активность». Так бывает, когда с вашего IP-адреса ходит кто-то ещё.
• Приложение после обновления запросило новые разрешения, которые к VPN отношения не имеют.

Ни один из признаков не доказывает злой умысел, капчи бывают и у честных VPN. Но если совпало два-три пункта, лучше удалить приложение и пройти шаги ниже.

Если сомнительный VPN уже стоит

1. Удалите приложение.
2. Удалите оставшийся VPN-профиль. На iPhone это «Настройки» → «Основные» → «VPN и управление устройством»; если там есть незнакомый профиль управления устройством, удалите и его. На Android профили VPN обычно в «Настройки» → «Сеть и интернет» → «VPN», на Samsung — «Подключения» → «Другие настройки» → «VPN». Если пункта нет, найдите его поиском по настройкам.
3. Смените пароли от аккаунтов, в которые входили с включённым VPN, и включите двухфакторную аутентификацию там, где её ещё нет.
4. На Android проверьте телефон через Google Play Protect: он отключает приложения, которые Google уже признал вредоносными.

Как правильно поставить и настроить VPN на телефоне, мы рассказали в инструкциях для Android и iPhone.