App VPN false: come riconoscere quelle che rubano i tuoi dati
Una VPN falsa o fatta male può vedere il tuo traffico, usare la tua connessione o installare malware. Per tutti e tre i casi esistono episodi documentati.
Questo articolo distingue tre casi reali e spiega come riconoscere un’app sospetta prima di installarla. I casi riguardano Android e le fonti risalgono al 2024 e al 2025.
Tre modi in cui una «VPN» può danneggiarti
Non sono la stessa cosa ed è meglio non confonderli. Non tutti i casi comportano il furto di denaro.
| Caso | Cosa fa | Come arriva sul telefono | Fonte |
|---|---|---|---|
| Usa la tua connessione | Fa passare il traffico di altre persone dal tuo dispositivo | App VPN gratuite | Kaspersky, 2024 |
| Installa un trojan bancario | Prende il controllo del telefono ed esegue operazioni fraudolente | App installata fuori da Google Play | Cleafy, 2025 |
| Proprietari nascosti e falle | Crittografia debole e proprietari poco chiari | Store di app | Citizen Lab, 2025 |
1. Una VPN che usa la tua connessione
Nel novembre 2024, Kaspersky ha spiegato che diverse VPN gratuite erano servite a creare una botnet, la 911 S5. Le autorità l’hanno smantellata nel maggio 2024.
Chi le installava trasformava il proprio dispositivo in un server proxy che instradava il traffico di altre persone. Gli amministratori vendevano quell’accesso ad altri criminali. Lo usavano per attacchi informatici, riciclaggio di denaro e frodi di massa.
In quella nota non si parla del furto dei dati bancari di chi installava l’app. Il rischio era un altro: la tua connessione usata per commettere reati.
2. Una VPN che installa un trojan bancario
Nel settembre 2025, Cleafy ha descritto un trojan bancario per Android. Arrivava con un’app di televisione via internet che includeva una VPN.
Non si scaricava da Google Play. Chiedeva il permesso di installare app sconosciute e di attivare i servizi di accessibilità. Questi servizi possono leggere lo schermo e premere i pulsanti.
In questo modo gli attaccanti prendevano il controllo del telefono ed eseguivano operazioni fraudolente. Secondo Cleafy, i paesi più colpiti erano Spagna e Italia.
3. Una VPN dello store con proprietari nascosti
Nell’agosto 2025, ricercatori di Citizen Lab e dell’Arizona State University hanno analizzato VPN molto scaricate da Google Play. Hanno trovato tre famiglie di app collegate tra loro, con più di 700 milioni di download.
In due di queste famiglie, tutte le app condividevano una password scritta nel codice. Secondo lo studio, chi ascolta la rete potrebbe decifrare le comunicazioni di tutti gli utenti.
Lo studio non dice che tutte le VPN dello store siano così. Mostra però che uno store ufficiale non basta.
Nel suo avviso del novembre 2025, Google spiega che alcune app si spacciano per VPN legittime. Servono a installare malware che ruba cronologia di navigazione, messaggi, credenziali finanziarie e dati dei portafogli di criptovalute.
Segnali di un’app VPN sospetta
Un solo segnale non prova nulla. Più segnali insieme sono un motivo per non installarla.
| Segnale | Perché conta | Fonte |
|---|---|---|
| Chiede permessi che non c’entrano | L’INCIBE consiglia di diffidare degli accessi a dati senza relazione con il servizio | INCIBE |
| Non sai chi la produce | L’INCIBE raccomanda di informarsi sul fornitore e di leggere la sua informativa sulla privacy | INCIBE |
| È gratuita e non spiega come guadagna | Le VPN gratuite si finanziano spesso con i dati degli utenti | INCIBE |
| Ti chiedono di installarla fuori dallo store ufficiale | Google raccomanda di scaricare le VPN solo da fonti ufficiali. Il caso di Cleafy si installava fuori da Google Play | Google, Cleafy |
| Ti chiede di attivare l’accessibilità o di installare altre app | Con quei permessi, un’app può leggere lo schermo e premere i pulsanti al posto tuo | Cleafy |
Come controllare una VPN prima di installarla
Evita i link di pubblicità, messaggi o siti web. Google consiglia di diffidare delle offerte gratuite e di non installare app sconosciute.
Guarda lo sviluppatore, il suo sito web e l’informativa sulla privacy. Deve dire quali dati raccoglie e con chi li condivide.
Da gennaio 2025, Google Play contrassegna come «Verified» le VPN che superano una valutazione di sicurezza indipendente (MASA livello 2). È un aiuto, non una garanzia.
Una VPN non ha bisogno, per esempio, dei tuoi contatti o dei tuoi messaggi. Se li chiede, non installarla.
Se è gratuita, scopri di cosa vive. Se non lo spiega, diffida.
Google richiede, tra l’altro, almeno 10.000 installazioni, 250 recensioni e 90 giorni nello store. Una VPN piccola o nuova può non avere il badge ed essere legittima. Per questo il badge è solo un indizio in più.
Cosa fare se ne hai già installata una
Fallo il prima possibile. Non aspettare di vedere se succede qualcosa.
Nelle impostazioni di Android, cerca queste due sezioni. Il nome esatto cambia da telefono a telefono. Togli il permesso a ogni app che non riconosci.
Attiva Google Play Protect o usa un antivirus affidabile.
Parti dalla posta elettronica e dalla banca. Se sospetti un trojan, fallo da un altro dispositivo.
Se ci sono operazioni che non riconosci, chiama la banca e presenta una denuncia.
In Spagna, l’INCIBE ha una linea di assistenza gratuita e riservata sulla cybersicurezza: lo 017 (pagina in spagnolo). In altri paesi, rivolgiti all’agenzia nazionale per la cybersicurezza.
Ha senso una VPN gratuita?
L’INCIBE avverte che molte VPN gratuite si finanziano raccogliendo e vendendo i dati degli utenti. Questo non significa che siano tutte pericolose. Significa che devi sapere chi la offre e come guadagna.
Se rispetta i cinque passaggi qui sopra, puoi valutarla. Se non li rispetta, meglio non installarla. In altri articoli analizziamo due servizi specifici: Windscribe gratis e Proton VPN.
Domande frequenti
Una VPN dello store ufficiale è sempre sicura?
No. Lo studio di Citizen Lab ha analizzato app di Google Play con falle e proprietari poco chiari. Lo store riduce il rischio, ma non lo elimina.
Perché è importante sapere chi c’è dietro la VPN?
Perché l’azienda che fornisce la VPN può vedere il traffico che passa dai suoi server. Lo studio di Citizen Lab lo sottolinea.
E su iPhone?
I casi che citiamo riguardano Android. Non abbiamo trovato fonti ufficiali recenti sull’iPhone che possiamo citare, quindi non affermiamo nulla. I controlli su store, sviluppatore, permessi e finanziamento valgono su qualsiasi telefono.
Ho bisogno di una VPN?
Dipende da cosa vuoi farci. Una VPN crea una connessione cifrata tra il tuo dispositivo e un server. Delle reti wifi pubbliche parliamo in questo articolo.
Una VPN non è sicura solo perché si chiama VPN.
Nei casi che abbiamo esaminato, il problema compare quando non sai chi c’è dietro l’app. Compare anche quando viene installata fuori dallo store ufficiale.
Prima di installarne una, controlla lo store, lo sviluppatore, i permessi e come si finanzia. Se qualcosa non torna, non installarla.
Fonti
Kaspersky: aumento delle app che si fingono VPN (20/11/2024) (in inglese).
Cleafy: Klopatra, un nuovo trojan bancario per Android (30/09/2025) (in inglese).
Citizen Lab: Hidden Links, famiglie segrete di app VPN (14/08/2025) (in inglese).
Google: avviso su frodi e truffe (06/11/2025) (in inglese).
Android Developers Blog: badge «Verified» per le VPN (28/01/2025) (in inglese).
INCIBE: collegarsi alla propria azienda in modo sicuro con una VPN (09/08/2018) (in spagnolo).
INCIBE: gratis o a pagamento, cosa devi sapere sulle VPN (in spagnolo).
Aggiornato a novembre 2026.
POTREBBE INTERESSARTI
Wifi pubblico: perché non dovresti mai connetterti al tuo conto bancario lì
