W lutym 2026 roku naukowcy z University of Michigan, University of New Mexico i IIT Delhi przedstawili na sympozjum bezpieczeństwa NDSS test 281 darmowych aplikacji VPN z Google Play. Ich system MVPNalyzer wykazał, że 61 aplikacji wysyłało nieszyfrowane dane, 29 przepuszczało ruch poza tunelem VPN, 76 przekazywało identyfikator wyświetlania reklam telefonu, a 246 łączyło się ze znanymi adresami reklamowymi i śledzącymi. Aplikacje z co najmniej jednym z tych problemów zainstalowano łącznie ponad 2,2 miliarda razy.

Czy zatem darmowy VPN jest bezpieczny? Niektóre tak, ale wiele darmowych aplikacji VPN przetestowanych przez badaczy nie spełnia podstawowego zadania VPN: szyfrowania ruchu i utrzymania go w całości wewnątrz tunelu. To, czy konkretny darmowy VPN jest bezpieczny, zależy od tego, kto go prowadzi, jak finansuje serwery i czy faktycznie chroni przesyłany ruch. Poniżej: co wykazały testy i jak samodzielnie sprawdzić dowolny VPN.

Co wykazały niezależne testy

Trzy testy, przeprowadzone w odstępie lat i różnymi metodami, wskazują ten sam kierunek.

Test	Co sprawdzono	Najważniejsze wyniki
MVPNalyzer, NDSS 2026	281 darmowych aplikacji VPN z 40 wyszukiwań w Google Play, na Androidzie 14	61 wysyłało nieszyfrowane dane; 29 przepuszczało ruch poza tunelem; 246 łączyło się z domenami reklamowymi i śledzącymi; 76 wysyłało identyfikator reklamowy; tylko 1 ze 108 aplikacji z plikami konfiguracyjnymi OpenVPN spełniała wszystkie mierzone dobre praktyki
CSIRO i partnerzy, IMC 2016	283 aplikacje na Androida korzystające z uprawnienia VPN	18% używało tuneli bez szyfrowania; ok. 84% przepuszczało ruch IPv6, a 66% ruch DNS poza tunelem; 75% zawierało zewnętrzne biblioteki śledzące; ponad 38% wykazywało obecność złośliwego oprogramowania w VirusTotal
BLOKK, listopad 2026	5 pierwszych wyników Google Play dla „free VPN”, po minucie każdy	Łącznie 1164 domeny, w tym usługi reklamowe i śledzące, połączenia z 14 krajami, wszystko przed włączeniem VPN

Test BLOKK jest niewielki, co przyznają sami autorzy: pięć aplikacji, jeden telefon, liczone próby połączeń, a nie ich treść. Oba badania naukowe obejmują po kilkaset aplikacji.

Ryzyko 1: wycieki DNS i ruchu

Zanim telefon otworzy stronę, wysyła zapytanie DNS, które zamienia nazwę strony na adres. Jeśli te zapytania wychodzą poza tunel VPN, dostawca internetu lub operator publicznej sieci Wi-Fi widzi każdą odwiedzaną domenę, nawet gdy aplikacja VPN pokazuje status „połączono”.

MVPNalyzer wykazał, że 29 aplikacji ujawniało „praktycznie wszystkie odwiedzane strony”. Spośród nich 24 miały wycieki zapytań DNS, 6 w ogóle nie kierowało ruchu przeglądarki przez tunel, a 4 przesyłały go tunelem bez szyfrowania. Według badaczy wycieki DNS mogą wynikać z błędnej konfiguracji, natomiast pozostałe sugerują, że aplikacja może nie być prawdziwym VPN. Badanie CSIRO z 2016 roku pokazało ten sam wzorzec na większą skalę: mniej więcej dwie na trzy aplikacje przepuszczały ruch DNS poza tunelem.

Połączenie można sprawdzić bezpłatnym testem wycieku DNS od CyberCat.

Ryzyko 2: nieszyfrowany ruch i przejęcie tunelu

Podstawowym zadaniem VPN jest szyfrowanie. MVPNalyzer znalazł 61 aplikacji wymieniających nieszyfrowany ruch. Pięć z nich pobierało pliki konfiguracyjne VPN otwartym tekstem. Taki plik wskazuje aplikacji, z którym serwerem ma się połączyć, więc każdy w tej samej sieci mógłby go zmienić i przekierować ruch użytkownika na własny serwer. Badacze odtworzyli ten atak na swoich telefonach testowych.

Sprawdzili też pliki konfiguracyjne OpenVPN ze 108 aplikacji. Tylko jedna spełniała wszystkie mierzone praktyki bezpieczeństwa. Najczęstszym problemem było poleganie na jednej metodzie uwierzytelniania. Najpoważniejszym — całkowite wyłączenie szyfrowania i kontroli integralności danych. Zielony przycisk „połączono” oznacza, że połączenie istnieje, a nie że jest szyfrowane.

Ryzyko 3: trackery i reklamowe SDK w aplikacji

W teście MVPNalyzer 246 aplikacji, czyli ponad 80% testowanych, połączyło się z 3714 unikalnymi adresami reklamowymi i śledzącymi. Identyfikator wyświetlania reklam, trwały identyfikator pozwalający rozpoznać urządzenie w różnych aplikacjach, wysyłało 76 aplikacji. 38 aplikacji przesyłało adres IP urządzenia we własnych danych, a 210 model telefonu, czyli informację, którą w połączeniu z innymi, np. wersją systemu, można wykorzystać do utworzenia odcisku palca urządzenia.

Badanie z 2016 roku wykryło zewnętrzne biblioteki śledzące w 75% analizowanych aplikacji.

Skąd się to bierze: jak darmowe VPN-y płacą za serwery

Serwery, transfer i zespół kosztują. Płatny VPN pokrywa te koszty z subskrypcji, darmowy musi znaleźć inny sposób. Autorzy MVPNalyzer piszą, że reklamy, śledzenie i tworzenie odcisków palca urządzeń to „powszechne strategie monetyzacji darmowych usług VPN”. Raport BLOKK opisuje to samo: wyświetlanie reklam i udostępnianie danych firmom reklamowym i analitycznym.

Badacze zauważyli również, że oznaczenia w sklepie z aplikacjami nie rozstrzygają sprawy. Google Play pokazuje etykietę „Zawiera reklamy”, wypełnianą przez dewelopera sekcję Bezpieczeństwo danych, a w przypadku aplikacji VPN także odznakę weryfikacji. Według autorów te informacje „mogą działać bardziej jak sygnały marketingowe niż rzeczywiste gwarancje bezpieczeństwa”, a cytowane przez nich wcześniejsze badanie wykazało rozbieżności w etykietach bezpieczeństwa danych deklarowanych przez deweloperów.

Czy każdy darmowy VPN jest niebezpieczny?

Nie. Testy opisują aplikacje, które pojawiają się przy wyszukiwaniu darmowego VPN, a nie wszystkie darmowe plany. Część darmowych planów prowadzą firmy, które zarabiają na planach płatnych i traktują wersję darmową jako okres próbny. Raport BLOKK wskazuje największe ryzyko w darmowych aplikacjach VPN od firm, których nie da się zidentyfikować. Przy wyborze bezpiecznego VPN warto więc zapytać, kto go prowadzi, na czym zarabia i czy chroni ruch.

Jak sprawdzić dowolny VPN

Te kroki dotyczą zarówno darmowych, jak i płatnych VPN-ów.

Sprawdzić, kto jest twórcą. Szukać nazwy firmy, adresu i czytelnej polityki prywatności. Kilka niemal identycznych aplikacji bez jasnego właściciela to sygnał ostrzegawczy.
Ustalić, na czym zarabia. Jeśli jest darmowy i pełen reklam, dane użytkownika najpewniej są częścią umowy. Usługa subskrypcyjna powinna wyjaśniać, skąd pochodzą jej przychody.
Przeczytać politykę prywatności i sekcję danych w sklepie. Zwrócić uwagę, co jest rejestrowane: historia przeglądania, zapytania DNS, godziny połączeń, adresy IP i jak długo są przechowywane.
Przejrzeć uprawnienia aplikacji. VPN potrzebuje dostępu do sieci. Dostęp do kontaktów, lokalizacji, mikrofonu czy zdjęć wymaga jasnego uzasadnienia.
Wykonać testy wycieków przed połączeniem i po nim. Sprawdzić adres IP narzędziem sprawdzania IP, a potem przy włączonym VPN uruchomić test wycieku DNS i test wycieku WebRTC. Prawdziwy adres IP i serwery DNS dostawcy nie powinny się już pojawiać.
Upewnić się, że jest Kill Switch. Blokuje ruch, gdy VPN się rozłączy, dzięki czemu aplikacje nie wracają do zwykłego połączenia.
Szukać podanego standardu szyfrowania i niezależnych przeglądów. Dostawca powinien wskazać swój standard szyfrowania. Jeśli powołuje się na audyt, warto sprawdzić, kto go przeprowadził, kiedy i co obejmował.
Wybrać okres próbny ze zwrotem pieniędzy zamiast VPN-u „darmowego na zawsze”. Okres zwrotu pozwala przetestować usługę i zrezygnować, jeśli nie spełnia oczekiwań.

Jak CyberCat VPN podchodzi do tych kwestii

CyberCat VPN to płatny VPN z aplikacjami na iPhone'a, iPada, Maca i Androida. Tak odpowiada na każde z opisanych ryzyk:

Szyfrowanie AES-256. CyberCat szyfruje cały ruch urządzenia algorytmem AES-256 i przesyła go przez serwer CyberCat, więc strony i aplikacje widzą adres IP serwera zamiast Państwa adresu.
DNS w tunelu. Wszystkie zapytania DNS trafiają do własnych resolverów szyfrowanego DNS CyberCat, chronionych tym samym tunelem co reszta ruchu. Resolvery nie zapisują, jakie domeny są wyszukiwane. Można to potwierdzić opisanymi wyżej testami wycieku DNS i WebRTC.
Kill Switch. Gdy połączenie zostanie przerwane, CyberCat blokuje cały ruch do czasu odtworzenia tunelu, więc prawdziwy adres IP pozostaje ukryty.
Blokada reklam i śledzenia we wszystkich aplikacjach. CyberCat blokuje domeny reklamowe, śledzące i złośliwe na poziomie DNS na całym urządzeniu, także reklamy wewnątrz aplikacji.
Nielimitowany transfer i do 5 urządzeń w jednej subskrypcji.
Bez logów aktywności. CyberCat nie rejestruje historii przeglądania ani ruchu. Adresy IP przechowywane ze względów bezpieczeństwa są usuwane po 30 dniach. Polityka bez logów CyberCat mówi, że jedynym źródłem przychodów są subskrypcje.

Każdy plan obejmuje 30-dniową gwarancję zwrotu pieniędzy, która działa jak okres próbny z kroku 8. Dopiero zaczynają Państwo przygodę z VPN? Warto zacząć od strony czym jest VPN.

FAQ

Czy darmowy VPN jest bezpieczny w publicznej sieci Wi-Fi?

To zależy od aplikacji. VPN, który szyfruje cały ruch i utrzymuje DNS w tunelu, chroni w sieciach współdzielonych. W badaniu z 2026 roku 61 darmowych aplikacji wysyłało część danych bez szyfrowania, a 29 przepuszczało ruch poza tunelem, dlatego przed korzystaniem z VPN w kawiarni czy na lotnisku warto wykonać test wycieku.

Jak sprawdzić, czy VPN ma wycieki?

Połączyć się z VPN, a następnie uruchomić test wycieku DNS i test wycieku WebRTC. Jeśli pojawia się prawdziwy adres IP lub serwery DNS dostawcy internetu, VPN ma wyciek.

Dlaczego darmowe aplikacje VPN wyświetlają reklamy i łączą się z trackerami?

Serwery i transfer kosztują. Badacze opisują reklamy, śledzenie i tworzenie odcisków palca urządzeń jako powszechne sposoby, w jakie darmowe usługi VPN pokrywają te koszty.

Czy korzystanie z VPN jest legalne?

VPN-y są legalne w większości krajów, a niektóre kraje je ograniczają. Warto sprawdzić przepisy w miejscu zamieszkania i w krajach, do których się podróżuje.

Źródła

Wang, Ortwein, Sobrados i in., MVPNalyzer: An Investigative Framework for Auditing the Security & Privacy of Mobile VPNs, NDSS Symposium 2026 (artykuł, slajdy; po angielsku, cytaty w tłumaczeniu)
Ikram, Vallina-Rodriguez, Seneviratne, Kaafar i Paxson, An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps, ACM Internet Measurement Conference 2016
BLOKK, Free VPN test results: what five apps did in their first minute (11 listopada 2026)
CyberGuy, Free Android VPN apps fail major privacy test (17 lipca 2026)

Czy darmowy VPN jest bezpieczny? Co pokazują testy