VPN с «сюрпризом». 16 популярных приложений передают ваши данные на серверы в России

Исследователи RKS Global проверили 87 самых популярных в России бесплатных VPN-приложений и выяснили, что 16 из них передают данные на серверы, расположенные на территории страны. Работа проходила с октября по декабрь 2025 года.

Поводом для исследования стала гипотеза о том, что бесплатные VPN-приложения, популярные в России, могут быть опасны для пользователей: собирать данные, достаточные для идентификации пользователя, и отправлять их на серверы внутри страны. Доказать сбор и передачу именно такого объёма данных в полной мере не удалось из-за технических ограничений — часть трафика не поддалась расшифровке, а код ряда приложений защищён от декомпиляции. Поэтому исследователи сосредоточились на более конкретном вопросе: связываются ли приложения с серверами на территории России вообще.

Список приложений составляли по данным App Store и Google Play для России, поисковой выдаче Google и Яндекса, аналитическим платформам appmagic.rocks и foxdata.com, а также нескольким профильным рейтингам. В итоговую выборку вошли 69 приложений для Android и 18 для iOS. Трафик Android-приложений анализировали с помощью PCAPdroid, приложения для iOS — через App Privacy Report. Геолокацию серверов проверяли через securitytrails.com и iplocation.net. Все тесты проводились с аккаунтов, IP-адресов и локаций, имитирующих работу из России.

Все шестнадцать проблемных приложений используют Яндекс.Метрику. Через аналитический сервис передаются данные об устройстве, достаточные для идентификации пользователя: MAC-адреса, IMEI, сведения о сети, местоположение, версии программного обеспечения, адреса посещаемых сайтов. Яндекс входит в российский реестр организаторов распространения информации и обязан хранить метаданные пользователей до трёх лет, а переписку и документы — до шести месяцев, предоставляя накопленное силовым структурам по запросу. Одно из выявленных приложений дополнительно отправляет данные на собственные серверы внутри страны.

Исследователи отмечают, что разработчики VPN-приложений могут встраивать Яндекс.Метрику неосознанно — просто как удобный аналитический инструмент, не задумываясь о последствиях для пользователей.

У исследования есть ограничения: анализировался только трафик на конечных устройствах, расшифровать трафик ряда приложений не удалось, код некоторых Android-приложений защищён от декомпиляции, а iOS-приложения не поддаются декомпиляции в принципе. VPN-сервис теоретически может передавать данные напрямую со своих серверов, минуя пользовательское устройство, — такой сценарий методология не охватывает.