Un nuevo estudio alega que 18 aplicaciones VPN populares para Android, que han sido descargadas en conjunto más de 700 millones de veces, están secretamente conectadas en tres familias distintas a pesar de afirmar ser independientes. Estas VPN, incluyendo servicios conocidos como Turbo VPN y X-VPN, no revelaron sus relaciones ocultas. La investigación, publicada en el Simposio sobre Tecnologías para la Mejora de la Privacidad, también descubrió graves fallos de seguridad dentro de sus infraestructuras compartidas. Específicamente, las VPN identificadas son vulnerables a ataques que podrían exponer la actividad de navegación del usuario e inyectar datos maliciosos. El estudio fue inspirado por investigaciones previas sobre compañías de VPN que venden múltiples aplicaciones sin revelar conexiones. Los investigadores analizaron sistemáticamente documentos comerciales, presencia web y bases de código para identificar estos enlaces ocultos, principalmente a través de similitudes de código. La Familia A incluye Turbo VPN y VPN Proxy Master, vinculados a proveedores asociados con Qihoo 360, una empresa china designada como "empresa militar china". La Familia B abarca ocho VPN que comparten las mismas direcciones IP de una sola empresa de hosting. La Familia C consta de X-VPN y Fast Potato VPN, que, a pesar de tener diferentes proveedores, utilizan un código muy similar y un protocolo VPN personalizado. Esta falta de transparencia sobre la propiedad y el origen, junto con vulnerabilidades de seguridad críticas como contraseñas codificadas en su protocolo Shadowsocks, indica un diseño que prioriza la recopilación de datos sobre la seguridad del usuario. El estudio enfatiza la necesidad de examinar a fondo las VPN gratuitas y recomienda optar por aquellas que se sostienen mediante suscripciones de pago.