Pada Februari 2026, peneliti dari University of Michigan, University of New Mexico, dan IIT Delhi memaparkan hasil uji terhadap 281 aplikasi VPN gratis dari Google Play di simposium keamanan NDSS. Sistem uji mereka, MVPNalyzer, menemukan 61 aplikasi mengirim data tanpa enkripsi, 29 aplikasi membocorkan trafik ke luar tunnel VPN, 76 aplikasi mengirim Advertising ID ponsel, dan 246 aplikasi menghubungi alamat iklan dan pelacak yang sudah dikenal. Aplikasi dengan setidaknya satu masalah tersebut sudah diinstal lebih dari 2,2 miliar kali.

Jadi, apakah VPN gratis aman? Ada yang aman, tetapi banyak aplikasi VPN gratis yang diuji peneliti gagal menjalankan tugas dasar VPN: mengenkripsi trafikmu dan menjaga seluruhnya tetap di dalam tunnel. Aman atau tidaknya sebuah VPN gratis bergantung pada siapa pengelolanya, bagaimana ia membiayai server, dan apakah ia benar-benar melindungi trafik yang dibawanya. Berikut temuan uji tersebut, bahaya VPN gratis yang paling sering muncul, dan cara mengecek VPN apa pun sendiri.

Temuan uji independen

Tiga pengujian, dilakukan bertahun-tahun terpisah dengan metode berbeda, menunjukkan arah yang sama.

Pengujian	Yang diuji	Temuan utama
MVPNalyzer, NDSS 2026	281 aplikasi VPN gratis dari 40 pencarian di Google Play, di Android 14	61 mengirim data tanpa enkripsi; 29 membocorkan trafik ke luar tunnel; 246 menghubungi domain iklan dan pelacak; 76 mengirim Advertising ID; hanya 1 dari 108 aplikasi dengan file konfigurasi OpenVPN memenuhi semua praktik terbaik yang diukur
CSIRO dan mitra, IMC 2016	283 aplikasi Android yang memakai izin VPN	18% memakai tunnel tanpa enkripsi; sekitar 84% membocorkan trafik IPv6 dan 66% membocorkan trafik DNS; 75% memuat library pelacak pihak ketiga; lebih dari 38% terdeteksi mengandung malware di VirusTotal
BLOKK, November 2026	5 hasil teratas Google Play untuk "free VPN", masing-masing satu menit	Total 1.164 domain dihubungi, termasuk layanan iklan dan pelacak, dengan koneksi ke 14 negara, semuanya sebelum VPN dinyalakan

Uji BLOKK berskala kecil, seperti diakui penulisnya: lima aplikasi, satu ponsel, dan yang dihitung adalah upaya koneksi, bukan isinya. Dua studi akademis masing-masing mencakup ratusan aplikasi.

Risiko 1: Kebocoran DNS dan trafik

Sebelum ponselmu membuka sebuah situs, ia mengirim permintaan DNS untuk menerjemahkan nama situs menjadi alamat. Kalau permintaan itu keluar dari tunnel VPN, penyedia internetmu atau pengelola Wi-Fi publik bisa melihat setiap domain yang kamu kunjungi, meskipun aplikasi VPN menampilkan "terhubung".

MVPNalyzer menemukan 29 aplikasi membocorkan "hampir semua situs yang dikunjungi". Dari jumlah itu, 24 membocorkan permintaan DNS, 6 sama sekali tidak menyalurkan trafik browser lewat tunnel, dan 4 menyalurkan trafik browser lewat tunnel tanpa enkripsi. Menurut peneliti, kebocoran DNS bisa jadi akibat salah konfigurasi, sedangkan kebocoran lainnya menandakan aplikasi itu mungkin bukan VPN sungguhan. Studi CSIRO tahun 2016 menemukan pola serupa dalam skala lebih besar: sekitar dua dari tiga aplikasi membocorkan trafik DNS.

Kamu bisa mengecek koneksimu sendiri dengan tes kebocoran DNS gratis dari CyberCat.

Risiko 2: Trafik tanpa enkripsi dan pembajakan tunnel

Tugas utama VPN adalah enkripsi. MVPNalyzer menemukan 61 aplikasi bertukar trafik tanpa enkripsi. Lima di antaranya mengunduh file konfigurasi VPN dalam bentuk teks biasa. File konfigurasi memberi tahu aplikasi server mana yang harus dihubungi, sehingga siapa pun di jaringan yang sama bisa mengubahnya dan mengalihkan trafik pengguna ke server miliknya. Peneliti berhasil mereproduksi serangan ini di ponsel uji mereka.

Peneliti juga memeriksa file konfigurasi OpenVPN dari 108 aplikasi. Hanya satu yang memenuhi semua praktik keamanan yang mereka ukur. Masalah paling umum adalah hanya memakai satu bentuk autentikasi. Yang paling parah adalah mematikan enkripsi dan pemeriksaan integritas data sepenuhnya. Tombol hijau "terhubung" hanya menunjukkan bahwa koneksi ada, bukan bahwa koneksi itu terenkripsi.

Risiko 3: Pelacak dan SDK iklan di dalam aplikasi

Dalam uji MVPNalyzer, 246 aplikasi, lebih dari 80% dari yang diuji, menghubungi 3.714 alamat iklan dan pelacak yang unik. Advertising ID ponsel, penanda tetap yang dipakai untuk mengenali perangkat di berbagai aplikasi, dikirim oleh 76 aplikasi. Sebanyak 38 aplikasi mengirim alamat IP perangkat di dalam data aplikasinya sendiri, dan 210 aplikasi mengirim model ponsel, detail yang bisa digabungkan dengan data lain seperti versi OS untuk membentuk sidik jari perangkat.

Studi tahun 2016 menemukan library pelacak pihak ketiga di 75% aplikasi yang dianalisis.

Mengapa ini terjadi: cara VPN gratis membiayai server

Server, bandwidth, dan staf butuh biaya. VPN berbayar menutupnya dengan langganan; VPN gratis harus menutupnya dengan cara lain. Penulis studi MVPNalyzer menyebut iklan, pelacakan, dan sidik jari perangkat sebagai "strategi monetisasi yang umum bagi layanan VPN gratis". Laporan BLOKK menjelaskan hal serupa: menampilkan iklan dan berbagi data dengan perusahaan iklan dan analitik.

Peneliti juga menemukan bahwa tanda di toko aplikasi tidak cukup sebagai jaminan. Google Play menampilkan label "Berisi iklan", bagian Keamanan Data yang diisi pengembang, dan untuk aplikasi VPN, lencana "Terverifikasi". Menurut makalah tersebut, pengungkapan ini "berisiko lebih berfungsi sebagai sinyal pemasaran daripada jaminan keamanan yang berarti", dan riset sebelumnya yang dikutip menemukan ketidaksesuaian pada label keamanan data yang dilaporkan pengembang.

Apakah semua VPN gratis tidak aman?

Tidak. Pengujian ini menggambarkan aplikasi yang muncul saat orang mencari VPN gratis, bukan semua paket gratis. Sebagian paket gratis dikelola perusahaan yang mendapat pemasukan dari paket berbayar dan memperlakukan versi gratisnya sebagai uji coba. Laporan BLOKK menyebut risiko tertinggi ada pada aplikasi VPN gratis dari perusahaan yang identitasnya tidak jelas. Pertanyaan yang lebih berguna: siapa pengelola VPN-nya, bagaimana ia menghasilkan uang, dan apakah ia melindungi trafikmu.

Cara mengecek VPN apa pun

Langkah-langkah ini berlaku untuk VPN gratis maupun berbayar.

Cari tahu siapa pembuatnya. Cari nama perusahaan, alamat, dan kebijakan privasi yang jelas. Beberapa aplikasi yang nyaris identik tanpa pemilik yang jelas adalah tanda bahaya.
Pahami cara ia menghasilkan uang. Kalau gratis dan penuh iklan, kemungkinan datamu ikut menjadi bayarannya. Layanan berlangganan semestinya menjelaskan sumber pendapatannya.
Baca kebijakan privasi dan bagian keamanan data di toko aplikasi. Perhatikan apa yang dicatat: riwayat penelusuran, permintaan DNS, waktu koneksi, alamat IP, dan berapa lama disimpan.
Periksa izin aplikasi. VPN butuh akses jaringan. Akses ke kontak, lokasi, mikrofon, atau foto perlu alasan yang jelas.
Jalankan tes kebocoran sebelum dan sesudah terhubung. Cek IP-mu dengan cek IP, lalu jalankan tes kebocoran DNS dan tes kebocoran WebRTC saat VPN menyala. IP asli dan server DNS penyedia internetmu seharusnya tidak muncul lagi.
Pastikan ada Kill Switch. Fitur ini memblokir trafik jika VPN terputus, sehingga aplikasi tidak kembali memakai koneksi biasamu.
Cari standar enkripsi yang disebutkan dan tinjauan independen. Penyedia semestinya menyebut standar enkripsinya. Kalau ia menyebut audit, cek siapa yang melakukannya, kapan, dan apa saja yang dicakup.
Pilih uji coba yang bisa direfund daripada VPN yang gratis selamanya. Masa uang kembali memberimu waktu untuk mencoba layanan lalu berhenti kalau tidak cocok.

Cara CyberCat VPN menangani poin-poin ini

CyberCat VPN adalah VPN berbayar dengan aplikasi untuk iPhone, iPad, Mac, dan Android. Begini cara CyberCat menangani setiap risiko di atas:

Enkripsi AES-256. CyberCat mengenkripsi seluruh trafik perangkatmu dengan AES-256 dan mengirimnya lewat server CyberCat, sehingga situs dan aplikasi melihat alamat IP server, bukan IP-mu.
DNS di dalam tunnel. Semua permintaan DNS dikirim ke resolver DNS terenkripsi milik CyberCat, dilindungi tunnel yang sama dengan trafikmu yang lain. Resolver ini tidak mencatat domain yang kamu cari. Kamu bisa memastikannya sendiri dengan tes kebocoran DNS dan WebRTC di atas.
Kill Switch. Jika koneksi terputus, CyberCat memblokir semua trafik sampai tunnel pulih, sehingga IP aslimu tetap tersembunyi.
Pemblokiran iklan & pelacak di semua aplikasi. CyberCat memblokir domain iklan, pelacak, dan malware di level DNS di seluruh perangkat, termasuk iklan di dalam aplikasi.
Bandwidth tanpa batas dan hingga 5 perangkat dalam satu langganan.
Tanpa log aktivitas. CyberCat tidak mencatat riwayat penelusuran atau trafikmu. Alamat IP yang disimpan demi keamanan dihapus setelah 30 hari. Kebijakan tanpa log CyberCat menyatakan bahwa satu-satunya pendapatannya berasal dari langganan.

Setiap paket dilengkapi jaminan uang kembali 30 hari, yang berfungsi sebagai uji coba dengan refund seperti di langkah 8. Baru mengenal VPN? Mulai dari apa itu VPN.

FAQ

Apakah VPN gratis aman dipakai di Wi-Fi publik?

Tergantung aplikasinya. VPN yang mengenkripsi semua trafik dan menjaga DNS di dalam tunnel melindungimu di jaringan bersama. Dalam studi 2026, 61 aplikasi gratis mengirim sebagian data tanpa enkripsi dan 29 membocorkan trafik, jadi jalankan tes kebocoran sebelum mengandalkannya di kafe atau bandara.

Bagaimana cara tahu VPN-ku bocor?

Hubungkan VPN, lalu jalankan tes kebocoran DNS dan tes kebocoran WebRTC. Kalau alamat IP aslimu atau server DNS penyedia internetmu muncul, VPN itu bocor.

Mengapa aplikasi VPN gratis menampilkan iklan dan menghubungi pelacak?

Server dan bandwidth butuh biaya. Peneliti menyebut iklan, pelacakan, dan sidik jari perangkat sebagai cara umum layanan VPN gratis menutup biaya tersebut.

Apakah memakai VPN legal?

VPN legal di sebagian besar negara, dan beberapa negara membatasinya. Cek aturan di tempat tinggalmu dan di negara yang kamu kunjungi.

Sumber

Wang, Ortwein, Sobrados dkk., MVPNalyzer: An Investigative Framework for Auditing the Security & Privacy of Mobile VPNs, NDSS Symposium 2026 (makalah, slide; bahasa Inggris, kutipan diterjemahkan)
Ikram, Vallina-Rodriguez, Seneviratne, Kaafar, dan Paxson, An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps, ACM Internet Measurement Conference 2016
BLOKK, Free VPN test results: what five apps did in their first minute (11 November 2026)
CyberGuy, Free Android VPN apps fail major privacy test (17 Juli 2026)

Apakah VPN Gratis Aman? Ini Temuan Uji Independen