Como reconhecer um app de VPN perigoso

A VPN trabalha no nível do sistema: recebe o tráfego de todos os programas do aparelho, inclusive os que rodam em segundo plano sem você saber. Um app comum pode vazar o que ele mesmo coletou; uma VPN pode vazar tudo o que você faz naquele aparelho. O nível de exigência na escolha tem de ser bem mais alto.

“Não aconteceu nada” não é prova de segurança. Registro, repasse e injeção acontecem no servidor ou em segundo plano, sem o usuário sentir nada; as consequências muitas vezes chegam meses depois e não dá para ligá-las a um app específico.

• Origem desconhecida: o instalador chega por um grupo de conversa, um link de compartilhamento de arquivos ou um QR code, sem site oficial nem página na loja. Um cliente legítimo vem de uma loja de apps, do site do desenvolvedor ou de uma página de versões cuja assinatura dá para conferir.
• Pede para instalar um certificado raiz: “confie neste certificado”, “instale este perfil”, confiar numa CA. Com um certificado raiz instalado, ele consegue decifrar todo o seu tráfego HTTPS, inclusive banco e e-mail. Uma VPN normal nunca precisa disso.
• Permissões demais: uma VPN que quer contatos, SMS, histórico de chamadas, localização precisa ou suas fotos. Uma VPN só precisa da permissão de criar um túnel.
• Exigência de identidade: o cadastro exige documento de identidade, reconhecimento facial ou um número de telefone chinês. É exatamente assim que uma VPN “em conformidade” liga a sua identidade aos registros do seu tráfego; um serviço legítimo precisa de um e-mail.
• Protocolo proprietário e cliente fechado: só funciona pelo app dele, sem suporte a nenhum protocolo padrão (AnyConnect, OpenVPN, WireGuard, Hiddify), então você não consegue verificar com um cliente de código aberto o que ele realmente envia.
• Grátis sem receita visível: sem plano pago, sem anúncios, sem clientes empresariais, e ainda assim funcionando há anos. A banda de saída na China continental é cobrada por uso; um serviço que não cobra nada cobra de outro jeito.
• Sem empresa, sem suporte, sem histórico: nenhuma entidade responsável à vista, ninguém para contatar, domínio registrado há menos de um ano, trocas de nome frequentes.
• Tráfego anormal em segundo plano: o aparelho continua enviando dados parado, bateria e franquia de dados acabam rápido. Ele pode estar usando o seu aparelho como saída para outras pessoas ou sincronizando os seus dados.
• Propaganda que insiste em “oficial”, “registrado” e “legal e em conformidade” e insinua que todo o resto é ilegal: o discurso clássico dos apps com respaldo das autoridades, cuja conformidade consiste em registrar e repassar.
• Avaliações na loja todas entusiasmadas, comentários parecidos entre si e número de downloads desproporcional ao de avaliações: compradas.

1. Confira o protocolo: o site diz quais protocolos usa e se clientes de terceiros funcionam? Um serviço acessível com OpenVPN, AnyConnect, Hiddify ou Tailscale deixa você capturar e inspecionar o que é enviado.
2. Confira as permissões: depois de instalar, abra as configurações do sistema, revogue tudo menos a permissão de VPN e veja se continua funcionando. Se não, desinstale.
3. Confira os certificados: no iOS, Ajustes → Geral → VPN e Gerenciamento de Dispositivos; no Android, Configurações → Segurança → Criptografia e credenciais → Credenciais confiáveis → Usuário; no Windows, o gerenciador de certificados → Autoridades de Certificação Raiz Confiáveis. O que ele tiver instalado: apague e desinstale o app.
4. Confira vazamentos: conectado, abra um teste de vazamento de DNS e uma página de teste de IPv6 para confirmar que a resolução e os endereços passam pelos servidores dele; depois abra um site HTTPS e confirme que o emissor do certificado é a CA real do site.
5. Confira o operador: o site cita uma empresa ou equipe, diz há quanto tempo opera e onde fica o suporte? Há política de reembolso? A política de privacidade diz especificamente o que é registrado?

1. Desinstale e depois confira os locais acima e remova qualquer certificado ou perfil que ele tenha instalado.
2. Troque as senhas (banco, e-mail, contas do dia a dia), principalmente as que você usou para entrar enquanto ele estava ligado.
3. Nas contas com verificação em duas etapas, revise o histórico de login e remova aparelhos desconhecidos.
4. Se foi instalado num roteador, restaure as configurações de fábrica e grave de novo um firmware oficial ou verificável.

Todos os clientes do LeoTun vêm de fabricantes oficiais e organizações de código aberto conhecidas (Cisco, OpenVPN, Hiddify, Tailscale), espelhados sem modificação, e você pode trocar o nosso download pela versão oficial ou de código aberto quando quiser. Todos os protocolos são padrão e podem ser inspecionados com uma captura de pacotes.

O cadastro só pede um e-mail: sem telefone, sem documento. O que registramos está na página Sobre: e-mail, plano, vencimento e a duração e o volume de cada conexão, para a cobrança; nada de conteúdo, injeção de anúncios ou venda de dados.

Sem certificados, sem contatos, sem localização. Se algum cliente dizendo ser nosso pedir para você instalar um certificado raiz, ele não é nosso.