En febrero de 2026, investigadores de la Universidad de Michigan, la Universidad de Nuevo México y el IIT Delhi presentaron en el simposio de seguridad NDSS una prueba de 281 apps de VPN gratis de Google Play. Su sistema, MVPNalyzer, encontró que 61 apps enviaban datos sin cifrar, 29 filtraban tráfico fuera del túnel VPN, 76 transmitían el ID de publicidad del teléfono y 246 contactaban direcciones conocidas de publicidad y rastreo. Las apps con al menos uno de estos problemas sumaban más de 2.200 millones de instalaciones.

Entonces, ¿una VPN gratis es segura? Algunas sí, pero muchas de las apps de VPN gratis que los investigadores han probado fallan en lo básico: cifrar tu tráfico y mantenerlo todo dentro del túnel. Que una VPN gratis concreta sea segura depende de quién la opera, cómo paga sus servidores y si de verdad protege el tráfico que transporta. A continuación, lo que encontraron las pruebas, los riesgos de las VPN gratis y cómo revisar cualquier VPN por tu cuenta.

Lo que encontraron las pruebas independientes

Tres pruebas, hechas con años de diferencia y con métodos distintos, apuntan en la misma dirección.

Prueba	Qué se probó	Hallazgos principales
MVPNalyzer, NDSS 2026	281 apps de VPN gratis de 40 búsquedas en Google Play, en Android 14	61 enviaban datos sin cifrar; 29 filtraban tráfico fuera del túnel; 246 contactaban dominios de publicidad y rastreo; 76 enviaban el ID de publicidad; solo 1 de 108 apps con archivos de configuración OpenVPN cumplía todas las buenas prácticas medidas
CSIRO y socios, IMC 2016	283 apps de Android con el permiso de VPN	18% usaba túneles sin cifrado; cerca del 84% filtraba tráfico IPv6 y el 66% tráfico DNS; 75% incluía bibliotecas de rastreo de terceros; más del 38% mostraba presencia de malware en VirusTotal
BLOKK, noviembre de 2026	Los 5 primeros resultados de Google Play para "free VPN", un minuto cada uno	1164 dominios contactados en total, incluidos servicios de publicidad y rastreo, con conexiones a 14 países, todo antes de activar la VPN

La prueba de BLOKK es pequeña, como reconocen sus autores: cinco apps, un teléfono e intentos de conexión, no su contenido. Los dos estudios académicos abarcan cientos de apps cada uno.

Riesgo 1: fugas de DNS y de tráfico

Antes de abrir un sitio, tu teléfono hace una consulta DNS para convertir el nombre del sitio en una dirección. Si esas consultas salen fuera del túnel VPN, tu proveedor de internet o quien administra una red Wi-Fi pública puede ver cada dominio que visitas, aunque la app muestre "conectado".

MVPNalyzer encontró que 29 apps filtraban "prácticamente todos los sitios visitados". De ellas, 24 filtraban consultas DNS, 6 no pasaban el tráfico del navegador por el túnel y 4 lo pasaban por un túnel sin cifrado. Según los investigadores, las fugas de DNS pueden deberse a una mala configuración, mientras que las demás sugieren que la app quizá no sea una VPN real. El estudio de CSIRO de 2016 encontró el mismo patrón a mayor escala: cerca de dos de cada tres apps filtraban tráfico DNS.

Puedes revisar tu conexión con la prueba de filtración de DNS gratuita de CyberCat.

Riesgo 2: tráfico sin cifrar y secuestro del túnel

La función principal de una VPN es cifrar. MVPNalyzer encontró 61 apps que intercambiaban tráfico sin cifrar. Cinco de ellas descargaban sus archivos de configuración VPN en texto plano. Ese archivo le indica a la app a qué servidor conectarse, así que cualquiera en la misma red podría modificarlo y desviar el tráfico del usuario a un servidor propio. Los investigadores reprodujeron este ataque en sus teléfonos de prueba.

También revisaron los archivos de configuración OpenVPN de 108 apps. Solo una cumplía todas las prácticas de seguridad que midieron. El problema más común era depender de una sola forma de autenticación. El más grave, desactivar por completo el cifrado y las comprobaciones de integridad de datos. Un botón verde de "conectado" indica que hay una conexión, no que esté cifrada.

Riesgo 3: rastreadores y SDK de publicidad dentro de la app

En la prueba de MVPNalyzer, 246 apps, más del 80% de las probadas, contactaron 3714 direcciones únicas de publicidad y rastreo. El ID de publicidad del teléfono, un identificador persistente que sirve para reconocer un dispositivo entre apps, lo enviaban 76 apps. 38 apps enviaban la dirección IP del dispositivo dentro de sus propios datos, y 210 enviaban el modelo del teléfono, un dato que combinado con otros, como la versión del sistema, permite crear una huella digital del dispositivo.

El estudio de 2016 encontró bibliotecas de rastreo de terceros en el 75% de las apps analizadas.

Por qué pasa: cómo pagan sus servidores las VPN gratis

Los servidores, el ancho de banda y el personal cuestan dinero. Una VPN de pago lo cubre con suscripciones; una VPN gratis tiene que cubrirlo de otra forma. Los autores de MVPNalyzer escriben que la publicidad, el rastreo y la huella digital del dispositivo son "estrategias de monetización comunes en los servicios de VPN gratis". El informe de BLOKK describe lo mismo: mostrar anuncios y compartir datos con empresas de publicidad y analítica.

Los investigadores también encontraron que las señales de la tienda no resuelven la duda. Google Play muestra la etiqueta "Contiene anuncios", una sección de Seguridad de los datos que escribe el propio desarrollador y, en las apps de VPN, una insignia de verificación. El artículo concluye que estas indicaciones "corren el riesgo de funcionar más como señales de marketing que como garantías de seguridad reales", y una investigación previa que cita encontró discrepancias en las etiquetas de seguridad de datos declaradas por los desarrolladores.

¿Todas las VPN gratis son inseguras?

No. Las pruebas describen las apps que aparecen cuando alguien busca una VPN gratis, no todos los planes gratuitos. Algunos planes gratis los ofrecen empresas que ganan dinero con sus planes de pago y usan la versión gratuita como prueba. El informe de BLOKK sitúa el mayor riesgo en las apps de VPN gratis de empresas que no puedes identificar. Para elegir una VPN gratis segura, la pregunta útil es quién la opera, cómo gana dinero y si protege tu tráfico.

Cómo revisar cualquier VPN

Estas comprobaciones sirven para VPN gratis y de pago.

Averigua quién la desarrolla. Busca un nombre de empresa, una dirección y una política de privacidad que se pueda leer. Varias apps casi idénticas sin un responsable claro son una señal de alerta.
Entiende cómo gana dinero. Si es gratis y está llena de anuncios, es probable que tus datos formen parte del trato. Un servicio por suscripción debería explicar de dónde salen sus ingresos.
Lee la política de privacidad y la sección de datos de la tienda. Fíjate en qué se registra: historial de navegación, consultas DNS, horas de conexión, direcciones IP y durante cuánto tiempo.
Revisa los permisos de la app. Una VPN necesita acceso a la red. El acceso a contactos, ubicación, micrófono o fotos necesita una razón clara.
Haz pruebas de filtración antes y después de conectarte. Revisa tu IP con el verificador de IP y luego haz la prueba de filtración de DNS y la prueba de filtración de WebRTC con la VPN activada. Tu IP real y los servidores DNS de tu proveedor ya no deberían aparecer.
Comprueba que tenga Kill Switch. Bloquea el tráfico si la VPN se cae, para que las apps no vuelvan a tu conexión normal.
Busca un cifrado declarado y revisiones independientes. Un proveedor debería indicar su estándar de cifrado. Si menciona una auditoría, revisa quién la hizo, cuándo y qué cubrió.
Prefiere una prueba con reembolso a una VPN gratis para siempre. Un periodo de devolución te deja probar el servicio y salir si no te convence.

Cómo aborda CyberCat VPN estos puntos

CyberCat VPN es una VPN de pago con apps para iPhone, iPad, Mac y Android. Así responde a cada uno de los riesgos anteriores:

Cifrado AES-256. CyberCat cifra todo el tráfico de tu dispositivo con AES-256 y lo envía a través de un servidor de CyberCat, así que los sitios y las apps ven la IP del servidor en lugar de la tuya.
DNS dentro del túnel. Todas las consultas DNS van a los resolvedores de DNS cifrado propios de CyberCat, protegidos por el mismo túnel que el resto de tu tráfico. Estos resolvedores no registran qué dominios consultas. Puedes confirmarlo con las pruebas de filtración de DNS y WebRTC de arriba.
Kill Switch. Si la conexión se cae, CyberCat bloquea todo el tráfico hasta que el túnel se restablece, así tu IP real sigue oculta.
Bloqueo de anuncios y rastreadores en todas las apps. CyberCat bloquea dominios de publicidad, rastreo y malware a nivel de DNS en todo el dispositivo, incluidos los anuncios dentro de las apps.
Ancho de banda ilimitado y hasta 5 dispositivos con una sola suscripción.
Sin registros de actividad. CyberCat no registra tu historial de navegación ni tu tráfico. Las direcciones IP que se guardan por seguridad se eliminan después de 30 días. Su política de no registros indica que sus únicos ingresos provienen de las suscripciones.

Todos los planes incluyen garantía de devolución de 30 días, que funciona como la prueba con reembolso del paso 8. ¿Recién empiezas con las VPN? Lee qué es una VPN.

Preguntas frecuentes

¿Es seguro usar una VPN gratis en una red Wi-Fi pública?

Depende de la app. Una VPN que cifra todo el tráfico y mantiene el DNS dentro del túnel te protege en redes compartidas. En el estudio de 2026, 61 apps gratis enviaban parte de los datos sin cifrar y 29 filtraban tráfico, así que haz una prueba de filtración antes de confiar en una en un café o un aeropuerto.

¿Cómo sé si mi VPN tiene fugas?

Conéctate a la VPN y haz la prueba de filtración de DNS y la prueba de filtración de WebRTC. Si aparece tu IP real o los servidores DNS de tu proveedor de internet, la VPN tiene fugas.

¿Por qué las apps de VPN gratis muestran anuncios y contactan rastreadores?

Los servidores y el ancho de banda cuestan dinero. Los investigadores describen la publicidad, el rastreo y la huella digital del dispositivo como formas comunes en que los servicios de VPN gratis cubren esos costos.

¿Es legal usar una VPN?

Las VPN son legales en la mayoría de los países, y algunos países las restringen. Revisa las normas del lugar donde vives y de los lugares a los que viajas.

Fuentes

Wang, Ortwein, Sobrados et al., MVPNalyzer: An Investigative Framework for Auditing the Security & Privacy of Mobile VPNs, NDSS Symposium 2026 (artículo, diapositivas; en inglés, citas traducidas)
Ikram, Vallina-Rodriguez, Seneviratne, Kaafar y Paxson, An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps, ACM Internet Measurement Conference 2016
BLOKK, Free VPN test results: what five apps did in their first minute (11 de noviembre de 2026)
CyberGuy, Free Android VPN apps fail major privacy test (17 de julio de 2026)

¿Es segura una VPN gratis? Lo que muestran las pruebas