Cómo reconocer una app VPN de riesgo

Una VPN funciona a nivel de sistema: recibe el tráfico de todos los programas del dispositivo, incluidos los que se ejecutan en segundo plano sin que lo sepas. Una app normal puede filtrar lo que ella misma ha recopilado; una VPN puede filtrar todo lo que haces en ese dispositivo. El listón para elegirla tiene que estar mucho más alto.

“No ha pasado nada” no demuestra que sea segura. El registro, el envío de informes y la inyección ocurren en el servidor o en segundo plano, sin que el usuario note nada; las consecuencias suelen llegar meses después y no se pueden atribuir a una app concreta.

• Origen desconocido: el instalador llega por un chat de grupo, un enlace de descarga compartido o un código QR, sin web oficial ni página en una tienda. Un cliente legítimo viene de una tienda de apps, de la web del desarrollador o de una página de versiones cuya firma se puede comprobar.
• Te pide instalar un certificado raíz: “confía en este certificado”, “instala este perfil”, confía en una autoridad de certificación. Con un certificado raíz instalado puede descifrar todo tu tráfico HTTPS, incluidos la banca y el correo. Una VPN normal nunca lo necesita.
• Permisos excesivos: una VPN que quiere tus contactos, SMS, registro de llamadas, ubicación precisa o fotos. Una VPN solo necesita el permiso para crear un túnel.
• Verificación de identidad: el registro exige un documento de identidad, un escaneo facial o un número de teléfono chino. Es justo así como una VPN “con cumplimiento normativo” vincula tu identidad con tus registros de tráfico; un servicio legítimo solo necesita un correo electrónico.
• Protocolo propietario y cliente cerrado: solo se puede usar con su propia app, sin compatibilidad con ningún protocolo estándar (AnyConnect, OpenVPN, WireGuard, Hiddify), así que no puedes comprobar con un cliente de código abierto qué envía realmente.
• Gratis sin ingresos visibles: sin plan de pago, sin anuncios, sin clientes empresariales, y sin embargo lleva años funcionando. El ancho de banda de salida en China continental se paga; un servicio que no cobra, cobra por otro lado.
• Sin empresa, sin soporte, sin trayectoria: no se encuentra ninguna entidad que lo opere, no hay nadie a quien contactar, el dominio se registró hace menos de un año y cambia de nombre a menudo.
• Tráfico en segundo plano anómalo: el dispositivo no para de subir datos estando inactivo, y la batería y los datos se agotan rápido. Puede que esté usando tu dispositivo como salida para otras personas o sincronizando tus datos.
• Publicidad que insiste en lo “oficial”, lo “registrado” y lo “legal y conforme a la normativa”, insinuando que todo lo demás es ilegal: el argumento clásico de las apps respaldadas por el regulador, cuyo cumplimiento normativo consiste en registrar y entregar informes.
• Valoraciones en la tienda uniformemente entusiastas, reseñas que se parecen entre sí y un número de descargas desproporcionado respecto al de reseñas: son compradas.

1. Revisa el protocolo: ¿la web dice qué protocolos usa y si funcionan clientes de terceros? Un servicio al que puedes conectarte con OpenVPN, AnyConnect, Hiddify o Tailscale te permite capturar e inspeccionar lo que se envía.
2. Revisa los permisos: después de instalarla, abre los ajustes del sistema, retira todos los permisos salvo el de la VPN y mira si sigue funcionando. Si no, desinstálala.
3. Revisa los certificados: en iOS, Ajustes → General → VPN y gestión de dispositivos; en Android, Ajustes → Seguridad → Cifrado y credenciales → Credenciales de confianza → Usuario; en Windows, Administrador de certificados → Entidades de certificación raíz de confianza. Si encuentras algo que instaló la app, bórralo y desinstálala.
4. Revisa las fugas: con la VPN conectada, abre una prueba de fugas de DNS y una página de prueba de IPv6 para confirmar que la resolución y las direcciones pasan por sus servidores; después abre una web HTTPS y confirma que el emisor del certificado es la autoridad de certificación real de esa web.
5. Revisa al operador: ¿la web indica una empresa o un equipo, cuánto tiempo lleva funcionando y dónde está el soporte? ¿Hay política de reembolso? ¿La política de privacidad dice concretamente qué se registra?

1. Desinstálala y revisa después las ubicaciones anteriores para eliminar cualquier certificado o perfil que haya instalado.
2. Cambia las contraseñas (banca, correo, cuentas del día a día), sobre todo las de las cuentas en las que iniciaste sesión mientras la usabas.
3. En las cuentas con verificación en dos pasos, revisa el historial de inicios de sesión y elimina los dispositivos que no reconozcas.
4. Si la instalaste en un router, restablécelo de fábrica y flashea un firmware oficial o verificable.

Todos los clientes de LeoTun proceden de fabricantes oficiales y organizaciones de código abierto conocidas (Cisco, OpenVPN, Hiddify, Tailscale), se ofrecen sin modificar, y puedes sustituir nuestra descarga por la versión oficial o de código abierto cuando quieras. Todos los protocolos son estándar y se pueden inspeccionar con una captura de paquetes.

Para registrarte solo hace falta un correo electrónico: ni teléfono ni documento de identidad. Lo que registramos está en la página Acerca de: correo, plan, vencimiento y la duración y el volumen de cada conexión, para la facturación; nada de contenido, nada de anuncios insertados, nada de venta de datos.

Ni certificados, ni contactos, ni ubicación. Si alguna vez un cliente que dice ser nuestro te pide instalar un certificado raíz, no es nuestro.