Şubat 2026'da Michigan Üniversitesi, New Mexico Üniversitesi ve IIT Delhi'den araştırmacılar, NDSS güvenlik sempozyumunda Google Play'deki 281 ücretsiz VPN uygulamasını test ettikleri çalışmayı sundu. MVPNalyzer adlı test sistemleri, uygulamaların 61'inin şifrelenmemiş veri gönderdiğini, 29'unun trafiği VPN tünelinin dışına sızdırdığını, 76'sının telefonun Reklam Kimliği'ni ilettiğini ve 246'sının bilinen reklam ve izleme adreslerine bağlandığını buldu. Bu sorunlardan en az birini taşıyan uygulamalar toplamda 2,2 milyardan fazla kez yüklenmişti.

Peki ücretsiz VPN güvenli mi? Bazıları öyle. Ancak araştırmacıların test ettiği ücretsiz VPN uygulamalarının çoğu, bir VPN'in temel görevinde başarısız oluyor: trafiğinizi şifrelemek ve tamamını tünelin içinde tutmak. Belirli bir ücretsiz VPN'in güvenli olup olmadığı; onu kimin işlettiğine, sunucularını nasıl finanse ettiğine ve taşıdığı trafiği gerçekten koruyup korumadığına bağlıdır. Aşağıda testlerin bulgularını ve herhangi bir VPN'i kendiniz nasıl kontrol edebileceğinizi bulabilirsiniz.

Bağımsız testlerin bulguları

Yıllar arayla ve farklı yöntemlerle yapılan üç test aynı yönü gösteriyor.

Test	Ne test edildi	Temel bulgular
MVPNalyzer, NDSS 2026	40 Google Play aramasından 281 ücretsiz VPN uygulaması, Android 14'te	61'i şifrelenmemiş veri gönderdi; 29'u trafiği tünel dışına sızdırdı; 246'sı reklam ve izleme alan adlarına bağlandı; 76'sı Reklam Kimliği'ni gönderdi; OpenVPN yapılandırma dosyası olan 108 uygulamadan yalnızca 1'i ölçülen tüm iyi uygulamalara uydu
CSIRO ve ortakları, IMC 2016	VPN iznini kullanan 283 Android uygulaması	%18'i şifrelemesiz tünel kullandı; yaklaşık %84'ü IPv6, %66'sı DNS trafiğini sızdırdı; %75'i üçüncü taraf izleme kütüphaneleri içeriyordu; %38'den fazlasında VirusTotal'da kötü amaçlı yazılım izi görüldü
BLOKK, Kasım 2026	Google Play'de "free VPN" aramasındaki ilk 5 sonuç, her biri bir dakika	Reklam ve izleme hizmetleri dahil toplam 1.164 alan adına bağlanıldı, 14 ülkeye bağlantı kuruldu; hepsi VPN açılmadan önce

BLOKK testi, yazarlarının da belirttiği gibi küçük ölçekli: beş uygulama, bir telefon ve içerik değil bağlantı denemeleri. İki akademik çalışma ise her biri yüzlerce uygulamayı kapsıyor.

Risk 1: DNS ve trafik sızıntıları

Telefonunuz bir siteyi açmadan önce, site adını adrese çevirmek için bir DNS sorgusu gönderir. Bu sorgular VPN tünelinin dışına çıkarsa, internet servis sağlayıcınız veya halka açık bir Wi-Fi ağını işleten kişi, VPN "bağlı" görünse bile ziyaret ettiğiniz her alan adını görebilir.

MVPNalyzer, 29 uygulamanın "ziyaret edilen sitelerin neredeyse tamamını" sızdırdığını buldu. Bunların 24'ü DNS sorgularını sızdırdı, 6'sı tarayıcı trafiğini hiç tünelden geçirmedi, 4'ü ise tarayıcı trafiğini şifrelemesiz bir tünelden taşıdı. Araştırmacılara göre DNS sızıntıları yanlış yapılandırmadan kaynaklanabilir; diğer sızıntılar ise uygulamanın gerçek bir VPN olmayabileceğine işaret ediyor. 2016 tarihli CSIRO çalışması da daha büyük ölçekte aynı tabloyu bulmuştu: uygulamaların yaklaşık üçte ikisi DNS trafiğini sızdırıyordu.

Bağlantınızı CyberCat'in ücretsiz DNS sızıntı testi ile kontrol edebilirsiniz.

Risk 2: Şifrelenmemiş trafik ve tünelin ele geçirilmesi

Bir VPN'in asıl işi şifrelemedir. MVPNalyzer, şifrelenmemiş trafik alışverişi yapan 61 uygulama buldu. Bunların beşi VPN yapılandırma dosyalarını düz metin olarak indiriyordu. Bu dosya uygulamaya hangi sunucuya bağlanacağını söyler; dolayısıyla aynı ağdaki biri dosyayı değiştirip kullanıcının trafiğini kendi kontrolündeki bir sunucuya yönlendirebilir. Araştırmacılar bu saldırıyı kendi test telefonlarında yeniden üretti.

Araştırmacılar ayrıca 108 uygulamanın OpenVPN yapılandırma dosyalarını inceledi. Yalnızca biri ölçtükleri tüm güvenlik uygulamalarına uyuyordu. En yaygın sorun tek bir kimlik doğrulama yöntemine dayanmaktı. En ciddisi ise şifrelemeyi ve veri bütünlüğü kontrollerini tamamen kapatmaktı. Yeşil "bağlı" düğmesi bir bağlantı olduğunu gösterir, bağlantının şifreli olduğunu değil.

Risk 3: Uygulama içindeki izleyiciler ve reklam SDK'ları

MVPNalyzer testinde, test edilenlerin %80'inden fazlası olan 246 uygulama, 3.714 benzersiz reklam ve izleme adresine bağlandı. Bir cihazı farklı uygulamalarda tanımak için kullanılan kalıcı bir tanımlayıcı olan Reklam Kimliği'ni 76 uygulama gönderdi. 38 uygulama cihazın IP adresini kendi verileri içinde iletti; 210 uygulama ise telefon modelini gönderdi. Bu bilgi, işletim sistemi sürümü gibi başka ayrıntılarla birleştirildiğinde cihaz parmak izi oluşturabilir.

2016 çalışması, incelenen uygulamaların %75'inde üçüncü taraf izleme kütüphaneleri buldu.

Neden oluyor: ücretsiz VPN'ler sunucu masraflarını nasıl karşılıyor?

Sunucular, bant genişliği ve personel para gerektirir. Ücretli bir VPN bunu aboneliklerle karşılar; ücretsiz bir VPN ise başka bir yol bulmak zorundadır. MVPNalyzer yazarları reklamcılık, izleme ve cihaz parmak izinin "ücretsiz VPN hizmetleri için yaygın gelir stratejileri" olduğunu yazıyor. BLOKK raporu da aynı yöntemi tarif ediyor: reklam göstermek ve verileri reklam ve analiz şirketleriyle paylaşmak.

Araştırmacılar, uygulama mağazasındaki işaretlerin de soruyu tek başına yanıtlamadığını tespit etti. Google Play "Reklam içerir" etiketi, geliştiricinin doldurduğu Veri güvenliği bölümü ve VPN uygulamaları için bir doğrulama rozeti gösteriyor. Makaleye göre bu beyanlar "anlamlı güvenlik garantilerinden çok pazarlama sinyali işlevi görme riski taşıyor"; makalenin atıf yaptığı önceki bir araştırma da geliştiricilerin beyan ettiği veri güvenliği etiketlerinde tutarsızlıklar bulmuştu.

Tüm ücretsiz VPN'ler güvensiz mi?

Hayır. Testler, insanların ücretsiz VPN aradığında karşısına çıkan uygulamaları anlatıyor; her ücretsiz planı değil. Bazı ücretsiz planlar, gelirini ücretli planlardan elde eden ve ücretsiz sürümü deneme olarak sunan şirketler tarafından işletiliyor. BLOKK raporu en yüksek riski, kimin işlettiği belli olmayan şirketlerin ücretsiz VPN uygulamalarında görüyor. Güvenli VPN seçerken asıl önemli soru şu: VPN'i kim işletiyor, nasıl para kazanıyor ve trafiğinizi koruyor mu?

Herhangi bir VPN nasıl kontrol edilir?

Bu kontroller ücretsiz ve ücretli VPN'ler için aynı şekilde geçerlidir.

Kimin yaptığını öğrenin. Bir şirket adı, adres ve okunabilir bir gizlilik politikası arayın. Sahibi belli olmayan, birbirine çok benzeyen uygulamalar bir uyarı işaretidir.
Nasıl para kazandığını anlayın. Ücretsizse ve reklamla doluysa, verileriniz büyük olasılıkla anlaşmanın bir parçasıdır. Abonelikle çalışan bir hizmet, gelirinin nereden geldiğini açıklamalıdır.
Gizlilik politikasını ve mağazadaki veri bölümünü okuyun. Neyin kaydedildiğine bakın: tarama geçmişi, DNS sorguları, bağlantı zamanları, IP adresleri ve ne kadar süre saklandıkları.
Uygulama izinlerini gözden geçirin. Bir VPN'in ağ erişimine ihtiyacı vardır. Kişilere, konuma, mikrofona veya fotoğraflara erişim için açık bir gerekçe olmalıdır.
Bağlanmadan önce ve sonra sızıntı testi yapın. IP kontrolü ile IP'nizi görün, ardından VPN açıkken DNS sızıntı testi ve WebRTC sızıntı testi yapın. Gerçek IP'niz ve servis sağlayıcınızın DNS sunucuları artık görünmemelidir.
Kill Switch olup olmadığını kontrol edin. VPN koparsa trafiği engeller; böylece uygulamalar normal bağlantınıza geri dönmez.
Açıkça belirtilmiş şifreleme ve bağımsız incelemeler arayın. Sağlayıcı şifreleme standardını belirtmelidir. Bir denetimden söz ediyorsa, kimin, ne zaman ve neyi kapsayarak yaptığını kontrol edin.
Sonsuza kadar ücretsiz bir VPN yerine iade edilebilir bir denemeyi tercih edin. Para iade süresi, hizmeti denemenize ve uygun değilse bırakmanıza olanak tanır.

CyberCat VPN bu noktaları nasıl ele alıyor?

CyberCat VPN; iPhone, iPad, Mac ve Android uygulamaları olan ücretli bir VPN'dir. Yukarıdaki her riske şöyle yaklaşıyor:

AES-256 şifreleme. CyberCat, cihazınızın tüm trafiğini AES-256 ile şifreler ve bir CyberCat sunucusu üzerinden gönderir; böylece siteler ve uygulamalar sizin IP'nizi değil, sunucunun IP adresini görür.
Tünel içinde DNS. Tüm DNS sorguları, trafiğinizin geri kalanıyla aynı tünelle korunan CyberCat'e ait şifreli DNS çözümleyicilerine gider. Bu çözümleyiciler hangi alan adlarını sorguladığınızı kaydetmez. Bunu yukarıdaki DNS ve WebRTC sızıntı testleriyle kendiniz doğrulayabilirsiniz.
Kill Switch. Bağlantı koparsa CyberCat, tünel yeniden kurulana kadar tüm trafiği engeller; gerçek IP'niz gizli kalır.
Tüm uygulamalarda reklam ve izleyici engelleme. CyberCat reklam, izleyici ve kötü amaçlı yazılım alan adlarını tüm cihazda DNS düzeyinde engeller; uygulama içi reklamlar da buna dahildir.
Sınırsız bant genişliği ve tek abonelikle 5 cihaza kadar kullanım.
Etkinlik kaydı yok. CyberCat tarama geçmişinizi veya trafiğinizi kaydetmez. Güvenlik için tutulan IP adresleri 30 gün sonra silinir. Kayıt tutmama politikası, tek gelir kaynağının abonelikler olduğunu belirtir.

Her plan 30 günlük para iade garantisiyle gelir; bu da 8. adımdaki iade edilebilir deneme işlevini görür. VPN'lerde yeni misiniz? VPN nedir sayfasıyla başlayın.

SSS

Ücretsiz VPN halka açık Wi-Fi'da güvenli mi?

Uygulamaya bağlıdır. Tüm trafiği şifreleyen ve DNS'i tünel içinde tutan bir VPN, paylaşılan ağlarda sizi korur. 2026 çalışmasında 61 ücretsiz uygulama verilerin bir kısmını şifresiz gönderdi ve 29'u trafik sızdırdı; bu yüzden bir kafede veya havalimanında güvenmeden önce sızıntı testi yapın.

VPN'imin sızıntı yapıp yapmadığını nasıl anlarım?

VPN'e bağlanın, ardından DNS sızıntı testi ve WebRTC sızıntı testi yapın. Gerçek IP adresiniz veya servis sağlayıcınızın DNS sunucuları görünüyorsa VPN sızıntı yapıyordur.

Ücretsiz VPN uygulamaları neden reklam gösterir ve izleyicilere bağlanır?

Sunucular ve bant genişliği para gerektirir. Araştırmacılar reklamcılığı, izlemeyi ve cihaz parmak izini, ücretsiz VPN hizmetlerinin bu maliyetleri karşılamasının yaygın yolları olarak tanımlıyor.

VPN kullanmak yasal mı?

VPN'ler çoğu ülkede yasaldır, bazı ülkeler ise kısıtlar. Yaşadığınız ve seyahat ettiğiniz yerlerdeki kuralları kontrol edin.

Kaynaklar

Wang, Ortwein, Sobrados vd., MVPNalyzer: An Investigative Framework for Auditing the Security & Privacy of Mobile VPNs, NDSS Symposium 2026 (makale, sunum; İngilizce, alıntılar çevrilmiştir)
Ikram, Vallina-Rodriguez, Seneviratne, Kaafar ve Paxson, An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps, ACM Internet Measurement Conference 2016
BLOKK, Free VPN test results: what five apps did in their first minute (11 Kasım 2026)
CyberGuy, Free Android VPN apps fail major privacy test (17 Temmuz 2026)

Ücretsiz VPN Güvenli mi? Bağımsız Testler Ne Gösteriyor