Как распознать опасное VPN-приложение

VPN работает на уровне системы: через него идёт трафик всех программ на устройстве, включая те, что работают в фоне без вашего ведома. Обычное приложение может слить то, что собрало само; VPN может слить всё, что вы делаете на этом устройстве. Поэтому планка при выборе должна быть намного выше.

«Ничего же не случилось» — не доказательство безопасности. Запись, передача данных и подмена содержимого происходят на сервере или в фоне, пользователь ничего не чувствует; последствия часто приходят через месяцы, и связать их с конкретным приложением уже нельзя.

• Неизвестное происхождение: установщик приходит через групповой чат, ссылку на файлообменник или QR-код, без официального сайта или страницы в магазине. Нормальный клиент берут из магазина приложений, с сайта разработчика или со страницы релизов, где можно проверить подпись.
• Просит установить корневой сертификат: «доверьтесь этому сертификату», «установите этот профиль», доверьте центру сертификации. С установленным корневым сертификатом оно может расшифровать весь ваш HTTPS-трафик, включая банк и почту. Нормальному VPN это никогда не нужно.
• Лишние разрешения: VPN, которому нужны контакты, SMS, журнал звонков, точное местоположение или фотогалерея. VPN нужно только разрешение на создание туннеля.
• Проверка личности: для регистрации требуют паспорт, скан лица или китайский номер телефона. Именно так «законопослушный» VPN связывает вашу личность с записями о трафике; нормальному сервису достаточно адреса почты.
• Собственный протокол и закрытый клиент: работает только через своё приложение и не поддерживает ни одного стандартного протокола (AnyConnect, OpenVPN, WireGuard, Hiddify), так что проверить открытым клиентом, что он на самом деле отправляет, невозможно.
• Бесплатно, а дохода не видно: ни платного тарифа, ни рекламы, ни корпоративных клиентов — а работает годами. Трафик с выходом в материковом Китае оплачивается по объёму; сервис, который ничего не берёт с вас, берёт где-то ещё.
• Ни компании, ни поддержки, ни истории: юридическое лицо не найти, связаться не с кем, домен зарегистрирован меньше года назад, частые переименования.
• Странный фоновый трафик: устройство в простое постоянно что-то отправляет, батарея и трафик быстро тают. Возможно, ваше устройство используют как выход для кого-то другого или синхронизируют ваши данные.
• Реклама напирает на «официальный», «зарегистрированный», «законный» и намекает, что всё остальное незаконно: классическая подача приложений с поддержкой регулятора, чья «законность» как раз и состоит в записи и передаче данных.
• Оценки в магазине сплошь восторженные, отзывы похожи друг на друга, а число скачиваний несоразмерно числу отзывов: накрутка.

1. Проверьте протокол: пишет ли сайт, какие протоколы используются и работают ли сторонние клиенты? Если к сервису можно подключиться через OpenVPN, AnyConnect, Hiddify или Tailscale, вы можете перехватить и посмотреть, что отправляется.
2. Проверьте разрешения: после установки откройте настройки системы, отзовите всё, кроме разрешения на VPN, и посмотрите, работает ли он. Если нет — удаляйте.
3. Проверьте сертификаты: на iOS «Настройки» → «Основные» → «VPN и управление устройством»; на Android «Настройки» → «Безопасность» → «Шифрование и учётные данные» → «Надёжные сертификаты» → «Пользователь»; в Windows — диспетчер сертификатов → «Доверенные корневые центры сертификации». Если там есть что-то, что поставило это приложение, удалите это и удалите само приложение.
4. Проверьте утечки: при подключении откройте тест утечки DNS и страницу теста IPv6 и убедитесь, что разрешение имён и адреса идут через его серверы; затем откройте HTTPS-сайт и проверьте, что сертификат выдан настоящим центром сертификации этого сайта.
5. Проверьте, кто за этим стоит: указаны ли на сайте компания или команда, сколько лет сервис работает и где поддержка; есть ли условия возврата; конкретно ли написано в политике конфиденциальности, что записывается?

1. Удалите приложение, затем проверьте места, перечисленные выше, и удалите сертификаты и профили, которые оно поставило.
2. Смените пароли — от банка, почты, повседневных аккаунтов, — особенно те, под которыми вы входили, пока им пользовались.
3. В аккаунтах с двухфакторной аутентификацией просмотрите историю входов и удалите незнакомые устройства.
4. Если оно было установлено на роутер, сбросьте его к заводским настройкам и прошейте официальную или проверяемую прошивку.

Все клиенты LeoTun — от официальных производителей и известных open-source-проектов (Cisco, OpenVPN, Hiddify, Tailscale), выложены без изменений, и вместо нашей загрузки в любой момент можно поставить официальную или собранную из исходников версию. Все протоколы стандартные, их можно проверить перехватом трафика.

Для регистрации нужен только адрес почты — без номера телефона и паспорта. Что мы записываем, написано на странице «О нас»: почта, тариф, срок действия, а также длительность и объём каждого подключения — для учёта оплаты; никакого содержимого, никакой рекламы, никакой продажи данных.

Никаких сертификатов, контактов и местоположения. Если клиент, который выдаёт себя за наш, когда-нибудь попросит установить корневой сертификат, — это не наш клиент.