Apps VPN fraudulentas: cómo detectar las que roban tus datos
Una VPN falsa o mal hecha puede ver tu tráfico, usar tu conexión o instalar malware. Hay casos documentados de las tres cosas.
Este artículo separa tres casos reales y explica cómo reconocer una app dudosa antes de instalarla. Los casos son de Android y las fuentes son de 2024 y 2025.
Tres formas en que una «VPN» puede perjudicarte
No son lo mismo, y conviene no mezclarlas. No todos los casos implican robo de dinero.
| Caso | Qué hace | Cómo llega al móvil | Fuente |
|---|---|---|---|
| Usa tu conexión | Canaliza tráfico ajeno por tu dispositivo | Apps VPN gratuitas | Kaspersky, 2024 |
| Instala un troyano bancario | Controla el móvil y hace operaciones fraudulentas | App instalada fuera de Google Play | Cleafy, 2025 |
| Dueños ocultos y fallos | Cifrado débil y propietarios poco claros | Tienda de aplicaciones | Citizen Lab, 2025 |
1. Una VPN que usa tu conexión
En noviembre de 2024, Kaspersky explicó que varias VPN gratuitas sirvieron para crear una botnet, la 911 S5. Las autoridades la desmantelaron en mayo de 2024.
Quien las instalaba convertía su dispositivo en un servidor proxy que canalizaba tráfico de otras personas. Los administradores vendían ese acceso a otros delincuentes. Lo usaban para ciberataques, lavado de dinero y fraude masivo.
En esa nota no figura el robo de datos bancarios de quien instalaba la app. El riesgo era otro: que tu conexión se usara en delitos.
2. Una VPN que instala un troyano bancario
En septiembre de 2025, Cleafy describió un troyano bancario para Android. Llegaba con una app de televisión por internet que incluía VPN.
No se descargaba de Google Play. Pedía permiso para instalar apps desconocidas y para activar los servicios de Accesibilidad. Esos servicios permiten leer la pantalla y pulsar botones.
Con eso, los atacantes controlaban el móvil y hacían operaciones fraudulentas. Según Cleafy, los países más afectados eran España e Italia.
3. Una VPN de la tienda con dueños ocultos
En agosto de 2025, investigadores de Citizen Lab y de la Universidad Estatal de Arizona analizaron VPN muy descargadas de Google Play. Encontraron tres familias de apps relacionadas entre sí, con más de 700 millones de descargas.
En dos de esas familias, todas las apps compartían una contraseña escrita en su código. Según el estudio, alguien que escuchara la red podría descifrar las comunicaciones de todos los usuarios.
El estudio no dice que todas las VPN de la tienda sean así. Sí muestra que estar en una tienda oficial no basta.
En su aviso de noviembre de 2025, Google explica que hay apps que se hacen pasar por VPN legítimas. Sirven para instalar malware que roba historial, mensajes, credenciales financieras y datos de carteras de criptomonedas.
Señales de una app VPN dudosa
Una sola señal no prueba nada. Varias a la vez son motivo para no instalarla.
| Señal | Por qué importa | Fuente |
|---|---|---|
| Pide permisos que no encajan | INCIBE aconseja desconfiar de los accesos a datos que no tienen relación con el servicio | INCIBE |
| No sabes quién la hace | INCIBE recomienda investigar al proveedor y leer su política de privacidad | INCIBE |
| Es gratis y no explica cómo gana dinero | Las gratuitas suelen financiarse con datos de los usuarios | INCIBE |
| Te la piden instalar fuera de la tienda oficial | Google recomienda descargar VPN solo de fuentes oficiales. El caso de Cleafy se instalaba fuera de Google Play | Google, Cleafy |
| Te pide activar Accesibilidad o instalar otras apps | Con esos permisos, una app puede leer la pantalla y pulsar botones por ti | Cleafy |
Cómo comprobar una VPN antes de instalarla
Evita enlaces de anuncios, mensajes o páginas web. Google pide desconfiar de las ofertas gratuitas y no instalar apps desconocidas.
Mira el desarrollador, su web y su política de privacidad. Debe decir qué datos recoge y con quién los comparte.
Desde enero de 2025, Google Play marca como «verificadas» las VPN que superan una evaluación de seguridad independiente (MASA nivel 2). Es una ayuda, no una garantía.
Una VPN no necesita, por ejemplo, tus contactos o tus mensajes. Si los pide, no la instales.
Si es gratis, busca de qué vive. Si no lo explica, desconfía.
Google exige, entre otros requisitos, al menos 10.000 instalaciones, 250 reseñas y 90 días en la tienda. Una VPN pequeña o nueva puede no tener insignia y ser legítima. Por eso la insignia es solo una pista más.
Qué hacer si ya la has instalado
Hazlo cuanto antes. No esperes a ver si pasa algo.
En los ajustes de Android, busca esos dos apartados. El nombre exacto cambia según el móvil. Quita el permiso a cualquier app que no reconozcas.
Activa Google Play Protect o usa un antivirus de confianza.
Empieza por el correo y el banco. Si sospechas de un troyano, hazlo desde otro dispositivo.
Si hay operaciones que no reconoces, llama a tu banco y presenta una denuncia.
INCIBE tiene un teléfono gratuito y confidencial de ayuda en ciberseguridad: el 017.
¿Tiene sentido una VPN gratuita?
INCIBE advierte de que muchas VPN gratuitas se financian recogiendo y vendiendo datos de los usuarios. Eso no significa que todas sean peligrosas. Significa que debes saber quién la ofrece y cómo gana dinero.
Si cumple los cinco pasos de arriba, puedes valorarla. Si no los cumple, mejor no instalarla. En otros artículos analizamos dos servicios concretos: Windscribe gratis y Proton VPN.
Preguntas frecuentes
¿Una VPN de la tienda oficial siempre es segura?
No. El estudio de Citizen Lab analizó apps de Google Play con fallos y dueños poco claros. Estar en la tienda reduce el riesgo, pero no lo elimina.
¿Por qué importa quién está detrás de la VPN?
Porque la empresa que ofrece la VPN puede ver el tráfico que pasa por sus servidores. Así lo recoge el estudio de Citizen Lab.
¿Qué pasa en el iPhone?
Los casos que citamos son de Android. No hemos encontrado fuentes oficiales recientes sobre iPhone que podamos citar, así que no afirmamos nada. Las comprobaciones de la tienda, del desarrollador, de los permisos y de la financiación sirven en cualquier móvil.
¿Necesito una VPN?
Depende de para qué la quieras. Una VPN crea una conexión cifrada entre tu dispositivo y un servidor. De las redes wifi públicas hablamos en este artículo.
Una VPN no es segura por el simple hecho de llamarse VPN.
En los casos que hemos revisado, el problema aparece cuando no sabes quién hay detrás o cuando la app se instala fuera de la tienda oficial.
Antes de instalar una, comprueba la tienda, el desarrollador, los permisos y cómo se financia. Si algo no cuadra, no la instales.
Fuentes
Kaspersky: aumento de apps que simulan ser VPN (20/11/2024).
Cleafy: Klopatra, un nuevo troyano bancario para Android (30/9/2025).
Citizen Lab: Hidden Links, familias secretas de apps VPN (14/8/2025).
Google: aviso sobre fraudes y estafas (6/11/2025).
Android Developers Blog: insignia «Verificada» para VPN (28/1/2025).
INCIBE: conéctate a tu empresa de forma segura con una VPN (9/8/2018).
INCIBE: gratis o de pago, lo que debes saber sobre las VPN.
Actualizado en noviembre de 2026.
TE PUEDE INTERESAR
Wifi público: por qué no deberías conectar tu banco ahí
