Чем опасен бесплатный VPN и кто на самом деле платит

Бесплатный VPN живёт не на воздухе — сервер и канал стоят денег каждый месяц. Разбираем пять моделей заработка, что видит владелец сервера и как узнать опасное приложение.

Если вы не платите VPN-сервису деньгами, платит кто-то другой — либо вы сами, но не деньгами, а своим трафиком, историей посещений или мощностью телефона, который сдают в аренду. Серверная стойка и канал до неё стоят одинаково что для платного, что для бесплатного сервиса, и счёт растёт вместе с числом установивших приложение. Ниже — из чего складывается заработок таких сервисов, что реально видит владелец сервера о вашем трафике и по каким признакам вычислить приложение, которое лучше не ставить.

Бесплатного VPN в чистом виде не существует

Любое подключение — это чужой сервер, через который проходит весь ваш интернет-трафик, а такой сервер надо арендовать и оплачивать канал к нему помесячно. Чем больше людей поставили приложение, тем больше машин приходится держать под нагрузкой. Расходы не исчезают оттого, что вы ничего не платите, — их просто переносят на кого-то ещё.

Из этого следует практичное правило: раз сервис не объясняет, на чём он зарабатывает, значит, зарабатывает он на вас или на ком-то через вас. Дальше вопрос только в том, какая именно из моделей используется.

Пять способов заработать на бесплатном VPN

Честный тестовый доступ. Ограниченный по времени или объёму трафика период — это не бесплатный сервис, а способ попробовать платный перед покупкой. У нашего сервиса это три дня и 2 ГБ Premium LTE без привязки банковской карты, выдаются сразу в личном кабинете.

Реклама внутри приложения. Баннеры в самом клиенте — ещё куда ни шло, хуже, когда сервис встраивает рекламу прямо в открываемые вами страницы. Специалисты CSIRO разобрали 283 VPN-приложения из Google Play и нашли два, что внедряли в чужие сайты собственный рекламный и следящий скрипт, а одно из них ещё и подменяло ссылки в интернет-магазинах на партнёрские.

Торговля данными о том, куда вы ходите. Сервис фиксирует, какие сайты и приложения вы открываете, в какое время и как часто. Показательный случай — Onavo Protect от Facebook: продавался как инструмент приватности, а внутри компании использовался для слежки за конкурентами. Apple выгнала его из App Store в 2018 году, вскоре Facebook закрыл проект сам, а в 2023 году австралийский суд взыскал с Meta 20 миллионов австралийских долларов именно за то, что людям не объяснили, куда уходят их данные.

Аренда вашего телефона как чужого выхода в сеть. Самая неприятная схема. Пока приложение стоит на устройстве, оно работает точкой выхода для посторонних клиентов: через ваш адрес кто-то парсит сайты, регистрирует аккаунты или проводит атаки. Именно так с 2014 года зарабатывала Hola — её бесплатные пользователи становились узлами сети Luminati, ныне Bright Data, а доступ к ним продавали по 20 долларов за гигабайт. В 2015 году через эту сеть организовали атаку на сайт 8chan. В 2024 году команда Satori из компании HUMAN обнаружила в Google Play 28 приложений с библиотекой Proxylib, 17 из которых были бесплатными VPN вроде Oko VPN, Lite VPN и Swift Shield VPN, — телефоны пользователей в фоне подгружали чужие страницы, пока Google не убрал находки из каталога.

Подмена сертификата и чтение защищённого трафика. Приложение просит поставить собственный сертификат или профиль конфигурации сверх обычного разрешения на VPN — и получает возможность читать даже те соединения, что защищены TLS. В той же работе CSIRO четыре приложения из выборки именно так и поступали.

Что это значит лично для вас

• Чужие дела совершаются от вашего имени. Капчи на каждом шагу, баны в играх и на маркетплейсах, внезапно отключённые аккаунты — обычно означают, что вашим адресом уже пользуется кто-то ещё. В худшем случае вопросы возникнут именно к вам, а не к арендатору вашего канала.
• Вместо защиты — прямая утечка. По данным CSIRO, 18% проверенных приложений вообще не шифровали трафик, у 84% мимо туннеля проходил IPv6, у 66% — запросы к DNS. Исследование Top10VPN за 2024 год по сотне популярных бесплатных VPN для Android нашло утечки у 88% из них и передачу данных третьим лицам у 71%.
• Лишний доступ к телефону. 82% приложений из выборки CSIRO запрашивали разрешения на чувствительные данные — контакты, SMS и подобное, хотя для работы туннеля это не требуется.
• Скрытый владелец. По отчёту Tech Transparency Project за апрель 2025 года, 20 из 100 самых скачиваемых бесплатных VPN в американском App Store принадлежат компаниям из Китая, а несколько — Turbo VPN, VPN Proxy Master, Thunder VPN — связаны с Qihoo 360, попавшей под санкции США.
• Вредоносный код внутри. 38% приложений из выборки CSIRO помечались антивирусными движками VirusTotal как подозрительные.

Цифры получены в разные годы разными исследователями, но вывод одинаковый: приложению, которому вы доверили весь трафик бесплатно, чаще всего доверять стоит меньше, чем обычному интернету без всякого туннеля.

Что реально видит владелец сервера

Не всё. Содержимое HTTPS-страниц — пароли, переписку, номера карт — прочитать нельзя, если вы не установили его сертификат отдельно. А вот что остаётся видимым:

• какие сайты вы открываете и какие запросы уходят к DNS — почему это отдельная и важная тема, разобрано в статье про DNS;
• время и объём каждого сеанса связи, то есть фактически ваш распорядок дня;
• настоящий IP-адрес и модель устройства;
• весь трафик без шифрования целиком — старые сайты по HTTP и часть данных из приложений.

Этого более чем достаточно, чтобы собрать подробный профиль и продать его дальше. У платного сервиса технически те же возможности — разница в том, на чём он зарабатывает: на вашей подписке или на вас самих.

Семь признаков опасного приложения

1. «Бесплатно навсегда и без ограничений». У честного тестового доступа всегда есть предел по времени или объёму. Безлимит без оплаты означает, что платят не деньгами.
2. Требует установить сертификат или отдельный профиль конфигурации сверх стандартного разрешения на VPN — это прямой ключ к защищённым соединениям.
3. Просит доступ к контактам, SMS, звонкам, геопозиции. Для работы туннеля ничего из этого не нужно.
4. Нет ни сайта, ни юрлица, ни адреса поддержки — только карточка в магазине приложений и почта на бесплатном домене.
5. Обещает «ускорить интернет». Туннель физически не может быть быстрее исходного канала — под этим предлогом обычно перехватывают трафик.
6. Устанавливается файлом apk из постороннего канала или по «ссылке от друга» — из официальных магазинов такие приложения обычно удаляют, а файл вне магазина никто не проверял.
7. Десятки тысяч отзывов и ни одной жалобы. Отзывы купить дешевле, чем содержать серверный парк.

Системные предупреждения тоже стоит дочитывать до конца. Android при включении любого VPN показывает окно «Запрос на подключение» и прямо предупреждает, что приложение сможет отслеживать сетевой трафик. iPhone при установке конфигурации сообщает, что вся сетевая активность может фильтроваться и просматриваться. Это не формальность для галочки, а точное описание того, что вы отдаёте.

Бесплатные прокси в мессенджерах

Отдельная категория — прокси-адреса из открытых списков и каналов. Владелец такого прокси видит ваш реальный адрес и факт подключения, а взамен получает право показывать свой канал в списке чатов — это стандартная рекламная функция таких сервисов. Переписку прокси не читает, но может перестать работать в любую минуту без предупреждения, и предъявить претензии будет некому.

Чем заменить бесплатный VPN

Даже честный бесплатный сервер обычно перегружен: на один канал приходятся тысячи человек одновременно, и к вечеру скорость проседает до нуля. Где именно теряется скорость на вашем соединении, показывает пятиминутная проверка. А в мобильных сетях с ограничениями оператора бесплатные приложения обычно вовсе не подключаются — они не умеют работать через разрешённые адреса так, как это делает раздел Premium LTE.

Часто в ответ на эти риски люди арендуют сервер и настраивают подключение сами. Это снимает вопрос, кто читает ваш трафик, но добавляет заботу о настройке и смене адреса, когда старый перестаёт открываться. Что в итоге выгоднее — свой сервер или готовая подписка — отдельно посчитано в статье про VPS и готовый VPN.

Если уже стоял бесплатный VPN

1. Удалите приложение и проверьте, что профиль VPN исчез вместе с ним: на iPhone — «Настройки → Основные → VPN и управление устройством», на Android — раздел VPN в настройках сети.
2. Там же посмотрите, не остался ли установленный сертификат или профиль конфигурации, и удалите его отдельно.
3. Смените пароли от почты, банка и Госуслуг — не потому, что их точно похитили, а потому, что проверить обратное невозможно.
4. В банковских приложениях закройте все активные сессии, кроме текущей.

Сама по себе установка такого подключения в России не запрещена законом, но с 2025 года введены штрафы за его рекламу, а это не юридическая консультация — тему стоит уточнять у юриста, если она для вас принципиальна.

Частые вопросы

Бесплатный VPN способен украсть пароли?

На сайтах с HTTPS пароли защищены, пока вы не поставили сертификат самого приложения. После установки сертификата — да, может. Поэтому запрос сертификата или профиля сверх обычного разрешения на VPN — главный повод насторожиться.

Почему после бесплатного VPN везде вылезают капчи и баны?

Скорее всего, ваш адрес сдавали в аренду посторонним: через него работали парсеры и массовая регистрация аккаунтов, и сайты успели занести его в свои списки. Удалите приложение и перезапустите роутер, чтобы получить новый адрес от провайдера.

Тестовый период платного сервиса — это тоже бесплатный VPN?

Нет. У него есть предел по времени или трафику, и цель простая — чтобы вы попробовали и купили подписку. Сервис в этом случае зарабатывает на подписке, а не на данных о вас.

Чем платный сервис лучше технически?

Технически владелец сервера видит одно и то же в обоих случаях. Разница в мотивации: платный существует на деньги подписчиков и теряет их при первой же утечке, бесплатный существует на том, что удаётся собрать с пользователей другими способами.

Что видит провайдер, если я пользуюсь бесплатным VPN с утечками?

При утечке DNS провайдер видит адреса всех сайтов, которые вы посещаете, а при отсутствии шифрования — вообще весь трафик целиком. То есть именно то, от чего вы пытались скрыться, подключая VPN.