A febbraio 2026, ricercatori della University of Michigan, della University of New Mexico e dell'IIT Delhi hanno presentato al simposio sulla sicurezza NDSS un test su 281 app VPN gratuite di Google Play. Il loro sistema, MVPNalyzer, ha rilevato che 61 app inviavano dati non cifrati, 29 facevano uscire traffico dal tunnel VPN, 76 trasmettevano l'ID pubblicità del telefono e 246 contattavano indirizzi noti di pubblicità e tracciamento. Le app con almeno uno di questi problemi contavano complessivamente oltre 2,2 miliardi di installazioni.

Quindi, una VPN gratis è sicura? Alcune sì, ma molte delle app VPN gratuite testate dai ricercatori falliscono nel compito di base di una VPN: cifrare il tuo traffico e tenerlo tutto dentro il tunnel. Se una specifica VPN gratis sia sicura dipende da chi la gestisce, da come paga i server e dal fatto che protegga davvero il traffico che trasporta. Di seguito: cosa hanno trovato i test, i rischi delle VPN gratis e come verificare in autonomia qualsiasi VPN.

Cosa hanno trovato i test indipendenti

Tre test, svolti a distanza di anni e con metodi diversi, vanno nella stessa direzione.

Test	Cosa è stato testato	Risultati principali
MVPNalyzer, NDSS 2026	281 app VPN gratuite da 40 ricerche su Google Play, su Android 14	61 inviavano dati non cifrati; 29 facevano uscire traffico dal tunnel; 246 contattavano domini di pubblicità e tracciamento; 76 inviavano l'ID pubblicità; solo 1 delle 108 app con file di configurazione OpenVPN rispettava tutte le buone pratiche misurate
CSIRO e partner, IMC 2016	283 app Android con il permesso VPN	il 18% usava tunnel senza cifratura; circa l'84% lasciava uscire traffico IPv6 e il 66% traffico DNS; il 75% includeva librerie di tracciamento di terze parti; oltre il 38% mostrava presenza di malware su VirusTotal
BLOKK, novembre 2026	I primi 5 risultati di Google Play per "free VPN", un minuto ciascuno	1.164 domini contattati in totale, inclusi servizi di pubblicità e tracciamento, con connessioni verso 14 Paesi, tutto prima di attivare la VPN

Il test di BLOKK è piccolo, come riconoscono gli autori: cinque app, un telefono, tentativi di connessione e non il loro contenuto. I due studi accademici coprono centinaia di app ciascuno.

Rischio 1: perdite DNS e di traffico

Prima di aprire un sito, il telefono invia una richiesta DNS per tradurre il nome del sito in un indirizzo. Se queste richieste escono dal tunnel VPN, il tuo operatore o chi gestisce una rete Wi-Fi pubblica può vedere ogni dominio che visiti, anche quando la VPN risulta "connessa".

MVPNalyzer ha rilevato che 29 app lasciavano trapelare "praticamente tutti i siti visitati". Di queste, 24 avevano perdite di richieste DNS, 6 non facevano passare affatto il traffico del browser nel tunnel e 4 lo facevano passare in un tunnel senza cifratura. Secondo i ricercatori, le perdite DNS possono dipendere da una configurazione errata, mentre le altre suggeriscono che l'app potrebbe non essere una vera VPN. Lo studio CSIRO del 2016 aveva trovato lo stesso schema su scala più ampia: circa due app su tre lasciavano uscire traffico DNS.

Puoi controllare la tua connessione con il test di perdita DNS gratuito di CyberCat.

Rischio 2: traffico non cifrato e dirottamento del tunnel

Il compito principale di una VPN è la cifratura. MVPNalyzer ha trovato 61 app che scambiavano traffico non cifrato. Cinque scaricavano i file di configurazione VPN in chiaro. Quel file indica all'app a quale server collegarsi, quindi chiunque sulla stessa rete potrebbe modificarlo e dirottare il traffico dell'utente verso un server sotto il proprio controllo. I ricercatori hanno riprodotto l'attacco sui propri telefoni di prova.

Hanno anche esaminato i file di configurazione OpenVPN di 108 app. Solo una rispettava tutte le pratiche di sicurezza misurate. Il problema più comune era affidarsi a un solo metodo di autenticazione. Il più grave, disattivare del tutto la cifratura e i controlli di integrità dei dati. Un pulsante verde "connesso" indica che c'è una connessione, non che sia cifrata.

Rischio 3: tracker e SDK pubblicitari dentro l'app

Nel test MVPNalyzer, 246 app, oltre l'80% di quelle testate, hanno contattato 3.714 indirizzi unici di pubblicità e tracciamento. L'ID pubblicità del telefono, un identificatore persistente usato per riconoscere un dispositivo tra le app, veniva inviato da 76 app. 38 app inviavano l'indirizzo IP del dispositivo nei propri dati e 210 il modello del telefono, un'informazione che, combinata con altre come la versione del sistema operativo, permette di creare un'impronta digitale del dispositivo.

Lo studio del 2016 aveva trovato librerie di tracciamento di terze parti nel 75% delle app analizzate.

Perché succede: come le VPN gratis pagano i server

Server, banda e personale costano. Una VPN a pagamento copre questi costi con gli abbonamenti; una VPN gratuita deve coprirli in un altro modo. Gli autori di MVPNalyzer scrivono che pubblicità, tracciamento e fingerprinting del dispositivo sono "strategie di monetizzazione comuni per i servizi VPN gratuiti". Il rapporto di BLOKK descrive lo stesso approccio: mostrare annunci e condividere dati con aziende di pubblicità e analisi.

I ricercatori hanno anche osservato che i segnali dello store non bastano a chiudere la questione. Google Play mostra l'etichetta "Contiene annunci", una sezione Sicurezza dei dati compilata dallo sviluppatore e, per le app VPN, un badge di verifica. Lo studio conclude che queste informazioni "rischiano di funzionare più come segnali di marketing che come vere garanzie di sicurezza", e una ricerca precedente citata nell'articolo aveva trovato discrepanze nelle etichette sulla sicurezza dei dati dichiarate dagli sviluppatori.

Tutte le VPN gratis sono insicure?

No. I test descrivono le app che si trovano cercando una VPN gratis, non tutti i piani gratuiti. Alcuni piani gratuiti sono offerti da aziende che guadagnano con i piani a pagamento e usano la versione gratuita come prova. Il rapporto di BLOKK attribuisce il rischio maggiore alle app VPN gratuite di aziende che non si riescono a identificare. Per scegliere una VPN gratis sicura, la domanda utile è chi la gestisce, come guadagna e se protegge il tuo traffico.

Come verificare qualsiasi VPN

Questi controlli valgono sia per le VPN gratuite sia per quelle a pagamento.

Scopri chi la sviluppa. Cerca il nome di un'azienda, un indirizzo e un'informativa sulla privacy leggibile. Più app quasi identiche senza un proprietario chiaro sono un campanello d'allarme.
Capisci come guadagna. Se è gratis e piena di pubblicità, è probabile che i tuoi dati facciano parte dell'accordo. Un servizio in abbonamento dovrebbe spiegare da dove arrivano i suoi ricavi.
Leggi l'informativa sulla privacy e la sezione sui dati nello store. Guarda cosa viene registrato: cronologia di navigazione, richieste DNS, orari di connessione, indirizzi IP e per quanto tempo.
Controlla i permessi dell'app. Una VPN ha bisogno dell'accesso alla rete. L'accesso a contatti, posizione, microfono o foto richiede un motivo chiaro.
Fai i test di perdita prima e dopo la connessione. Controlla il tuo IP con il controllo IP, poi esegui il test di perdita DNS e il test di perdita WebRTC con la VPN attiva. Il tuo IP reale e i server DNS del tuo operatore non dovrebbero più comparire.
Verifica che ci sia un Kill Switch. Blocca il traffico se la VPN cade, così le app non tornano alla tua connessione normale.
Cerca una cifratura dichiarata e revisioni indipendenti. Un fornitore dovrebbe indicare il proprio standard di cifratura. Se cita un audit, controlla chi l'ha fatto, quando e cosa copriva.
Preferisci una prova rimborsabile a una VPN gratis per sempre. Un periodo di rimborso ti permette di provare il servizio e lasciarlo se non fa per te.

Come CyberCat VPN affronta questi punti

CyberCat VPN è una VPN a pagamento con app per iPhone, iPad, Mac e Android. Ecco come risponde a ciascuno dei rischi visti sopra:

Crittografia AES-256. CyberCat cifra tutto il traffico del dispositivo con AES-256 e lo invia attraverso un server CyberCat, così siti e app vedono l'IP del server invece del tuo.
DNS dentro il tunnel. Tutte le richieste DNS vanno ai resolver di DNS cifrato di CyberCat, protetti dallo stesso tunnel del resto del traffico. I resolver non registrano quali domini cerchi. Puoi verificarlo con i test di perdita DNS e WebRTC indicati sopra.
Kill Switch. Se la connessione cade, CyberCat blocca tutto il traffico finché il tunnel non viene ripristinato, così il tuo IP reale resta nascosto.
Blocco di pubblicità e tracker in tutte le app. CyberCat blocca i domini di pubblicità, tracciamento e malware a livello DNS su tutto il dispositivo, compresi gli annunci dentro le app.
Banda illimitata e fino a 5 dispositivi con un solo abbonamento.
Nessun log delle attività. CyberCat non registra la tua cronologia di navigazione né il tuo traffico. Gli indirizzi IP conservati per sicurezza vengono eliminati dopo 30 giorni. La sua politica senza log afferma che gli unici ricavi provengono dagli abbonamenti.

Ogni piano include la garanzia di rimborso di 30 giorni, che funziona come la prova rimborsabile del punto 8. Le VPN sono una novità per te? Inizia da cos'è una VPN.

Domande frequenti

Una VPN gratis è sicura sul Wi-Fi pubblico?

Dipende dall'app. Una VPN che cifra tutto il traffico e tiene il DNS nel tunnel ti protegge sulle reti condivise. Nello studio del 2026, 61 app gratuite inviavano parte dei dati non cifrati e 29 lasciavano uscire traffico, quindi fai un test di perdita prima di affidarti a una VPN in un bar o in aeroporto.

Come faccio a sapere se la mia VPN ha perdite?

Collegati alla VPN ed esegui il test di perdita DNS e il test di perdita WebRTC. Se compare il tuo IP reale o i server DNS del tuo operatore, la VPN ha delle perdite.

Perché le app VPN gratuite mostrano pubblicità e contattano tracker?

Server e banda costano. I ricercatori descrivono pubblicità, tracciamento e fingerprinting del dispositivo come modi comuni con cui i servizi VPN gratuiti coprono questi costi.

Usare una VPN è legale?

Le VPN sono legali nella maggior parte dei Paesi, e alcuni Paesi le limitano. Verifica le regole del luogo in cui vivi e di quelli in cui viaggi.

Fonti

Wang, Ortwein, Sobrados et al., MVPNalyzer: An Investigative Framework for Auditing the Security & Privacy of Mobile VPNs, NDSS Symposium 2026 (articolo, slide; in inglese, citazioni tradotte)
Ikram, Vallina-Rodriguez, Seneviratne, Kaafar e Paxson, An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps, ACM Internet Measurement Conference 2016
BLOKK, Free VPN test results: what five apps did in their first minute (11 novembre 2026)
CyberGuy, Free Android VPN apps fail major privacy test (17 luglio 2026)

VPN gratis sicura? Cosa dicono i test indipendenti