Cara Mengenali Aplikasi VPN Berisiko

VPN bekerja di tingkat sistem: ia menerima lalu lintas dari setiap program di perangkat, termasuk yang berjalan di latar belakang tanpa Anda sadari. Aplikasi biasa hanya bisa membocorkan apa yang ia kumpulkan sendiri; VPN bisa membocorkan semua yang Anda lakukan di perangkat itu. Standar untuk memilihnya harus jauh lebih tinggi.

“Tidak terjadi apa-apa” bukan bukti aman. Pencatatan, pelaporan, dan penyisipan terjadi di server atau di latar belakang tanpa terasa oleh pengguna; akibatnya sering baru datang berbulan-bulan kemudian dan tidak bisa ditelusuri ke aplikasi tertentu.

• Asal-usul tidak jelas: file instalasinya datang lewat grup chat, link berbagi file, atau kode QR, tanpa situs resmi atau halaman di toko aplikasi. Aplikasi yang sah berasal dari toko aplikasi, situs pengembangnya, atau halaman rilis yang tanda tangannya bisa dicek.
• Meminta Anda memasang sertifikat root: “percayai sertifikat ini”, “pasang profil ini”, percayai sebuah CA. Dengan sertifikat root terpasang, ia bisa membuka semua lalu lintas HTTPS Anda, termasuk m-banking dan email. VPN normal tidak pernah membutuhkan ini.
• Izin berlebihan: VPN yang meminta akses kontak, SMS, riwayat panggilan, lokasi persis, atau galeri foto. VPN hanya butuh izin untuk membangun terowongan.
• Verifikasi identitas: pendaftaran mewajibkan KTP, scan wajah, atau nomor telepon China. Justru begitulah VPN “resmi” mengikat identitas Anda dengan catatan lalu lintas Anda; layanan yang sah cukup butuh alamat email.
• Protokol tertutup dan aplikasi tertutup: hanya bisa dipakai lewat aplikasinya sendiri, tanpa dukungan protokol standar apa pun (AnyConnect, OpenVPN, WireGuard, Hiddify), sehingga Anda tidak bisa memverifikasi dengan aplikasi open source apa yang sebenarnya dikirim.
• Gratis tanpa sumber penghasilan yang terlihat: tidak ada paket berbayar, tidak ada iklan, tidak ada pelanggan bisnis, tapi berjalan bertahun-tahun. Bandwidth keluar dari daratan China itu berbayar; layanan yang tidak menarik bayaran memungutnya dari tempat lain.
• Tanpa perusahaan, tanpa dukungan, tanpa rekam jejak: tidak ada badan usaha yang bisa ditemukan, tidak ada yang bisa dihubungi, domain didaftarkan kurang dari setahun lalu, sering ganti nama.
• Lalu lintas latar belakang yang tidak wajar: perangkat terus mengunggah saat tidak dipakai, baterai dan kuota cepat habis. Mungkin perangkat Anda dipakai sebagai titik keluar orang lain, atau data Anda sedang disinkronkan.
• Promosi yang menonjolkan “resmi”, “terdaftar”, dan “legal dan patuh aturan” sambil menyiratkan yang lain ilegal: jualan khas aplikasi yang didukung regulator, yang kepatuhannya berupa pencatatan dan pelaporan.
• Rating di toko aplikasi yang semuanya memuji, ulasan yang mirip-mirip, dan jumlah unduhan yang tidak sebanding dengan jumlah ulasan: dibeli.

1. Cek protokolnya: apakah situsnya menyebut protokol yang dipakai dan apakah aplikasi pihak ketiga bisa dipakai? Layanan yang bisa diakses dengan OpenVPN, AnyConnect, Hiddify, atau Tailscale memungkinkan Anda merekam dan memeriksa apa yang dikirim.
2. Cek izinnya: setelah memasang, buka pengaturan sistem, cabut semua izin kecuali izin VPN, dan lihat apakah masih berfungsi. Kalau tidak, hapus.
3. Cek sertifikat: iOS Pengaturan → Umum → VPN & Manajemen Perangkat; Android Setelan → Keamanan → Enkripsi & kredensial → Kredensial tepercaya → Pengguna; Windows Certificate Manager → Trusted Root Certification Authorities. Apa pun yang dipasangnya: hapus, lalu uninstall aplikasinya.
4. Cek kebocoran: saat tersambung, buka halaman tes DNS leak dan tes IPv6 untuk memastikan resolusi nama dan alamat lewat servernya; lalu buka situs HTTPS dan pastikan penerbit sertifikatnya adalah CA asli situs itu.
5. Cek operatornya: apakah situsnya menyebut nama perusahaan atau tim, sudah berapa lama beroperasi, dan di mana dukungannya; apakah ada kebijakan refund; apakah kebijakan privasinya menyebut secara spesifik apa yang dicatat?

1. Uninstall, lalu cek lokasi-lokasi di atas dan hapus sertifikat atau profil yang dipasangnya.
2. Ganti kata sandi: m-banking, email, akun sehari-hari, terutama yang pernah Anda pakai login saat memakai aplikasi itu.
3. Di akun yang memakai verifikasi dua langkah, periksa riwayat login dan hapus perangkat yang tidak dikenal.
4. Kalau dipasang di router, reset ke setelan pabrik dan flash ulang dengan firmware resmi atau yang bisa diverifikasi.

Semua aplikasi LeoTun berasal dari vendor resmi dan organisasi open source ternama (Cisco, OpenVPN, Hiddify, Tailscale), disediakan ulang tanpa diubah, dan Anda bisa mengganti unduhan dari kami dengan versi resmi atau open source kapan saja. Semua protokolnya standar dan bisa diperiksa dengan rekaman paket.

Pendaftaran cukup dengan alamat email, tanpa nomor telepon, tanpa KTP. Apa yang kami catat ada di halaman Tentang: email, paket, tanggal kedaluwarsa, serta durasi dan volume tiap koneksi, untuk tagihan; tidak ada isi, tidak ada penyisipan iklan, tidak ada penjualan data.

Tidak ada sertifikat, tidak ada kontak, tidak ada lokasi. Kalau suatu saat ada aplikasi yang mengaku dari kami meminta Anda memasang sertifikat root, itu bukan dari kami.