Gratis VPN-app blijkt soms een digitale inbreker

Je zet hem aan op het terras, in de trein of op de camping: een VPN-app die je verbinding beschermt en ook nog eens niets kost. In de appwinkels staan honderden van zulke diensten, met miljoenen downloads en vrolijke reviews. Maar een VPN ziet al je internetverkeer langskomen. Wie een onbetrouwbare app installeert, laat dus niet een beveiliger binnen, maar iemand die precies kan meekijken met wat je online doet. In het ergste geval haal je zo zelf een digitale inbreker in huis.

Waarom gratis niet altijd gratis is

Een VPN-netwerk draaien kost geld. Servers, bandbreedte en ontwikkelaars moeten ergens van worden betaald. Bij betaalde diensten doet de klant dat via een abonnement. Bij gratis apps moet het geld uit een andere hoek komen, en dat is lang niet altijd onschuldig. Sommige aanbieders tonen advertenties, wat nog redelijk overzichtelijk is. Andere verdienen aan het verzamelen en doorverkopen van gegevens over wat gebruikers doen, welke apps ze openen en waar ze zich bevinden.

Hoe groot dat probleem is, bleek eind augustus uit onderzoek van VPN-aanbieder Proton. Het bedrijf analyseerde meer dan 7.000 mobiele VPN-apps en concludeerde dat 85 procent van de VPN’s die in de Verenigde Staten beschikbaar zijn trackingfuncties bevat. Het gaat om code die gebruikers volgt voor analyse, advertenties of profilering, precies het tegenovergestelde van wat je van een privacydienst verwacht.

Van datahandel tot malware

Tracking is niet het enige risico. Onderzoekers vonden in de loop der jaren gratis VPN-apps die het verkeer niet of nauwelijks versleutelden, gegevens onbeveiligd op servers bewaarden of zelfs schadelijke code bevatten. Zo’n app vraagt bij installatie vaak om ruime toegangsrechten, tot je contacten, opslag of locatie aan toe. Wie die zonder nadenken toekent, geeft de maker veel meer dan alleen toegang tot het internetverkeer.

Daarnaast zijn er nep-apps die zich voordoen als bekende VPN-diensten. Ze gebruiken een vergelijkbare naam en een bijna identiek logo, maar zijn gemaakt om inloggegevens te onderscheppen of advertentiefraude te plegen. Op de telefoon zie je daar weinig van, behalve misschien een batterij die sneller leeg is of een databundel die opvallend hard slinkt.

Ook op de laptop speelt het probleem. Gratis VPN-programma’s en browserextensies die je via een zoekmachine of advertentie vindt, komen soms met extra software mee die je niet hebt gevraagd, zoals adware of een andere startpagina. Download software daarom alleen via de officiële website van de maker of een betrouwbare appwinkel.

Zo herken je een verdachte app

Kijk allereerst wie de maker is. Een betrouwbare aanbieder heeft een duidelijke website, een bedrijfsadres en een begrijpelijk privacybeleid waarin staat welke gegevens worden bewaard. Ontbreekt dat, of is het beleid vaag en vol uitzonderingen, dan is voorzichtigheid geboden. Let ook op de gevraagde rechten: een VPN heeft geen toegang nodig tot je contacten, foto’s of microfoon.

Wees verder kritisch op reviews. Honderden vijfsterrenbeoordelingen in korte tijd, met vergelijkbare teksten, wijzen eerder op gekochte reacties dan op tevreden gebruikers. En apps die beloven “onbeperkt en volledig gratis” te zijn zonder uit te leggen hoe ze geld verdienen, verdienen extra wantrouwen.

Een handige test: zoek de naam van de app samen met woorden als “privacy” of “datalek”. Komt er een rij kritische berichten tevoorschijn, of vind je helemaal niets over de maker, dan weet je genoeg. Let ook op de laatste update. Een VPN-app die al jaren niet is bijgewerkt, loopt achter op beveiligingsgebied.

Veiliger alternatieven

Gratis hoeft niet per se onbetrouwbaar te zijn. Een aantal gevestigde aanbieders heeft een gratis versie naast het betaalde abonnement, met beperkingen in snelheid, serverkeuze of datavolume. Het verdienmodel is dan helder: de gratis versie moet je overhalen om later te betalen. Voor af en toe veilig surfen op openbare wifi kan zo’n variant volstaan.

Welke gratis diensten de toets der kritiek doorstaan en waar de beperkingen zitten, zet VPNgids per aanbieder op een rij, met aandacht voor privacybeleid, datalimieten en snelheid. Twijfel je over een app die je nu gebruikt of wilt installeren? Dan is het verstandig om eerst die vergelijking te bekijken: lees meer voordat je iets op je telefoon zet.

Al een verdachte app geïnstalleerd?

Verwijder de app en controleer in de instellingen of er geen VPN-profiel of beheerprofiel is achtergebleven. Verander daarna de wachtwoorden van accounts waarop je inlogde terwijl de app actief was, te beginnen met je e-mail en bankapp, en zet tweestapsverificatie aan.

Kijk ook in de lijst met apps die beheerdersrechten hebben en in de geïnstalleerde certificaten. Een kwaadwillende app kan daar sporen achterlaten waardoor je verkeer ook na het verwijderen nog kan worden onderschept. Weet je niet zeker of alles weg is, dan biedt het terugzetten van de fabrieksinstellingen na een back-up de meeste zekerheid.

Merk je verdachte afschrijvingen of berichten op, neem dan contact op met je bank. Voor advies en het melden van oplichting kun je terecht bij de Fraudehelpdesk. Praktische tips over veilig internetten, ook voor mensen die minder thuis zijn in techniek, staan op Veiliginternetten.nl, een initiatief van overheid en bedrijfsleven. Een paar minuten controle voorkomt dat een gratis app je uiteindelijk veel meer kost.