Un VPN gratuit qui laisse fuiter votre trafic, c’est un parapluie troué vendu comme imperméable. Des chercheurs ont épluché 281 applications VPN gratuites sur Android et le verdict tient du grand déballage : fuites DNS, trafic en clair, tunnels de chiffrement bancals et pistage embarqué. Le tout réparti sur un parc d’applications totalisant 2,4 milliards d’installations.
Points clés
- 281 applications VPN gratuites sur Android analysées, cumulant 2,4 milliards d’installations
- Fuites DNS, trafic transmis en clair et mécanismes de chiffrement affaiblis identifiés
- Plusieurs applications embarquent des traceurs et collectent des données de navigation
- Un VPN mal conçu crée un faux sentiment de sécurité pire qu’une absence de protection
Un catalogue de failles bien garni
L’audit met en évidence plusieurs catégories de problèmes récurrents. Les fuites DNS, d’abord, qui trahissent les sites consultés alors même que l’utilisateur croit ses requêtes protégées. Le trafic en clair ensuite, censé passer par un tunnel chiffré mais transmis sans protection. Et des mécanismes de chiffrement affaiblis, qui donnent l’illusion de la confidentialité sans la fournir.
Autrement dit, une partie de ces applications se contente d’afficher un cadenas rassurant à l’écran pendant que les données circulent à découvert. Pour un logiciel dont l’unique promesse est de masquer l’activité en ligne, difficile de faire pire contresens.
Le pistage, ce passager clandestin
Au-delà des défauts techniques, plusieurs applications embarquent des traceurs. Le modèle économique n’a rien de mystérieux : quand le produit est gratuit, la matière première, c’est souvent l’utilisateur lui-même. On installe un outil de vie privée qui, en coulisses, collecte et revend des informations de navigation.
Avec 2,4 milliards d’installations cumulées, l’échelle du phénomène dépasse largement l’anecdote. Ces applications figurent parmi les plus téléchargées de leur catégorie, et beaucoup d’utilisateurs les choisissent précisément pour se protéger.
Ce qu’il faut en retenir
Un VPN mal conçu est pire qu’une absence de VPN, car il installe un faux sentiment de sécurité. Face à une offre gratuite, quelques réflexes s’imposent : vérifier la réputation de l’éditeur, privilégier les solutions auditées de façon indépendante et se méfier des applications qui réclament des permissions sans rapport avec leur fonction.
Le libre et l’open source ont ici un vrai argument : un code auditable permet de vérifier que le tunnel chiffre vraiment ce qu’il prétend chiffrer. Pour le reste, un cadenas dessiné à l’écran ne vaut pas certificat de confiance.
