Veilig surfen met een gratis VPN? Wat onderzoekers en de FBI vonden

Of: waarom een slot maar zo sterk is als wie de sleutel heeft

Een VPN ziet al je verkeer. Daarom weegt de vraag of hij veilig is zwaarder dan bij een rekenmachine-app. Bij VPN’s die niets kosten is het eerlijke antwoord dat het van de aanbieder afhangt: het gratis plan van een bekend bedrijf met betalende klanten is een ander product dan een anonieme app die alles onbeperkt en gratis belooft. Hoe groot dat verschil kan zijn, toonde een studie van het Australische CSIRO over 283 gratis VPN-apps voor Android.

Kort: een gratis VPN is zo veilig als de partij die hem aanbiedt. Wie niet kan nagaan wie dat is, waar die zit en hoe die zijn geld verdient, legt al zijn verkeer in handen van een onbekende.

Is een gratis VPN veilig? Wat het onderzoek laat zien

283 apps onder de loep

De onderzoekers van CSIRO, samen met UNSW, ICSI en UC Berkeley, haalden in september 2015 alle gratis Android-apps met VPN-rechten uit 1,4 miljoen apps op Google Play. Hun resultaten, voorgesteld op de conferentie IMC in november 2016:

• meer dan 38 procent bevatte een vorm van malware, volgens de virusscanners van VirusTotal;
• 18 procent legde een tunnel zonder versleuteling, terwijl de apps privacy en veiligheid beloofden;
• ongeveer 84 procent stuurde IPv6-verkeer en 66 procent DNS-verkeer buiten de tunnel om;
• 75 procent bevatte trackers van derden, en 82 procent vroeg toegang tot gevoelige gegevens zoals accounts en sms’en;
• twee apps injecteerden JavaScript voor reclame en tracking in het verkeer, en vier onderschepten versleutelde verbindingen.

De studie is tien jaar oud, en Google Play heeft zijn regels sindsdien verstrengd. Maar de patronen kwamen later terug, in een andere vorm.

Een botnet via gratis VPN’s

Op 29 mei 2024 publiceerde de FBI een waarschuwing over 911 S5, een dienst die het internetverkeer van criminelen via de computers van nietsvermoedende mensen liet lopen. Die computers waren besmet via gratis VPN-programma’s: MaskVPN, DewVPN, PaladinVPN, ProxyGate, ShieldVPN en ShineVPN. Ze zaten verpakt in illegale kopieën van games en software. Wie zo’n pakket installeerde, kreeg er een VPN bij, en een achterdeur waarmee anderen zijn verbinding gebruikten.

Volgens de FBI ging het om meer dan 19 miljoen IP-adressen in meer dan 190 landen. De dienst ging in juli 2022 offline en de beheerder werd in mei 2024 gearresteerd. De FBI raadde bedrijven aan om ook de privétoestellen te controleren die medewerkers voor hun werk gebruiken.

Eén wachtwoord voor miljoenen gebruikers

In 2025 publiceerden onderzoekers van Arizona State University en het Citizen Lab een analyse van drie families van VPN-apps die samen meer dan 700 miljoen keer van Google Play waren gedownload. De aanbieders verborgen dat ze bij elkaar hoorden. Een deel van de apps gebruikte bovendien hetzelfde ingebakken wachtwoord voor hun verbinding, waardoor iemand die het wachtwoord uit de app haalt het verkeer van andere gebruikers kan ontcijferen. Dat is een slot waarvan iedereen een kopie van de sleutel in de doos krijgt.

Zes signalen die je zelf nagaat

1. Wie zit erachter? Een bedrijfsnaam, een adres en een land, in de app én op de website. Ontbreekt dat, dan stopt het daar.
2. Hoe verdient hij geld? Een betaald abonnement naast het gratis plan is een verklaring. Geen enkel betaald product betekent dat je op een andere manier betaalt.
3. Waar komt de installatie vandaan? Uit de officiële appwinkel of van de website van de aanbieder, nooit uit een pakket bij gekraakte software. Dat was precies de route van 911 S5.
4. Welke rechten vraagt de app? Een VPN heeft geen toegang nodig tot je contacten, sms’en of locatie.
5. Wat staat er in het privacybeleid? Welke gegevens hij bewaart, hoelang, en met wie hij ze deelt.
6. Is hij gecontroleerd? Op Google Play krijgen VPN-apps die een onafhankelijke beveiligingsaudit doorstonden sinds januari 2025 een badge.

Voor een kmo telt vooral punt 3, in combinatie met de privélaptop. Een medewerker die thuis een gratis VPN uit een twijfelachtig pakket installeert en op dezelfde laptop in Microsoft 365 van de zaak werkt, stuurt ook dat verkeer door handen die niemand kent. Een korte afspraak over wat er op werktoestellen mag, vangt het grootste deel op.

Waarom gratis zo vaak de oorzaak is

De meeste problemen hierboven volgen uit één vraag: wie betaalt de servers? Reclame, gegevensverkoop en de doorverkoop van je verbinding zijn geen ongelukken, maar verdienmodellen. Ze staan uitgelegd bij wie een gratis VPN betaalt.

Op je gsm

Apple en Google leggen VPN-apps strengere regels op dan andere apps. Wat die regels inhouden en hoe je ze in de winkel herkent, lees je bij VPN-apps in de appwinkels.

In je browser

Ook browserextensies krijgen veel macht over je verkeer, met minder controle vooraf. Wat ze kunnen zien, staat bij extensies die je verkeer omleiden.