في تقرير بحثي حديث، قام فريق من جامعات ميشيغان ونيو مكسيكو وIIT دلهي باختبار 281 من أشهر تطبيقات VPN المجانية على متجر Google Play، ليكتشف أن العديد منها يفشل في تحقيق الهدف الأساسي من استخدام الشبكات الافتراضية الخاصة: حماية خصوصية المستخدم وتأمين حركة المرور.
تسريبات بيانات ومخاطر التتبع
أظهرت النتائج أن 29 تطبيقًا سمحت بتسرب حركة المرور خارج النفق المشفر، بما في ذلك استعلامات DNS التي تكشف المواقع التي يزورها المستخدم. كما أن 61 تطبيقًا أرسلت بيانات بنص واضح يمكن لأي طرف مراقب للشبكة قراءتها، بينما خمسة تطبيقات أرسلت ملفات التهيئة دون تشفير، ما يتيح للمهاجمين إعادة توجيه الاتصال إلى خوادمهم الخاصة. الأخطر أن بعض التطبيقات لم تستخدم أي تشفير على الإطلاق، ما يجعلها عديمة الفائدة من الناحية الأمنية.
ثغرة “اختطاف النفق”
أبرز الثغرات تمثلت في خمسة تطبيقات هي: BambooVPN، VPN Pro، Free VPN، Hexa VPN، 101 VPN، حيث حملت ملفات التهيئة عبر نص واضح. هذا الخلل يسمح لمشغلي شبكات عامة مثل مقاهي الإنترنت بإعادة كتابة الملف وتوجيه المستخدم إلى خادم يسيطرون عليه، ليتم اعتراض كل حركة المرور دون علم الضحية. ورغم وعود بعض المطورين بإصلاح المشكلة، فإن ثلاثة تطبيقات لا تزال عرضة للهجوم حتى بعد إعادة الاختبار.
وعود زائفة وإعلانات متخفية
من بين التطبيقات التي تم تحليلها، 169 لم تحاول حتى إخفاء حركة المرور، ما يجعلها سهلة الاكتشاف والحجب من قبل مزودي الخدمة أو الحكومات. المفارقة أن معظم هذه التطبيقات تسوّق نفسها على أنها قادرة على تجاوز الحجب وفتح المحتوى المقيد، بينما في الواقع لا تقدم أي حماية حقيقية. كما كشف الباحثون أن 76 تطبيقًا أرسلت معرّف الإعلانات الخاص بالجهاز، وهو رمز فريد يُستخدم لتتبع المستخدم عبر التطبيقات المختلفة، إضافة إلى بيانات مثل نوع الهاتف وإصدار النظام وحتى إحداثيات GPS الدقيقة في بعض الحالات.
ضعف البنية التقنية
التحليل شمل أيضًا ملفات إعداد OpenVPN المدمجة في 108 تطبيقات، حيث تبين أن 89% منها تعتمد على طريقة مصادقة واحدة فقط، وأن نحو 20% تستخدم خوارزميات تشفير قديمة مثل Blowfish وTriple DES، المعروفة بثغرات أمنية خطيرة. بعض التطبيقات ألغت التشفير تمامًا عبر تعيين خيار “none”، ما يجعل الاتصال مكشوفًا بالكامل. هذه النتائج تعكس غياب الصيانة والتحديثات، إذ إن معظم التطبيقات تمر عبر فلاتر متجر بلاي دون تدقيق فعلي، بل وتحصل على شارات “موثقة” لا تعكس واقعها الأمني.
ردود جوجل ودلالات أوسع
أوضحت جوجل أنها تلتزم بسياسات صارمة وتراجع التطبيقات عند وجود بلاغات، مؤكدة أن المطورين مسؤولون عن الإفصاح الدقيق حول ممارسات جمع البيانات. لكن الدراسة تشير إلى أن شارة “Verified” لا تكشف عن مثل هذه الثغرات، ما يضع علامات استفهام حول فعالية آليات التدقيق الحالية. وتأتي هذه النتائج في سياق أوسع، إذ سبق أن كشفت دراسات في 2025 عن روابط سرية بين تطبيقات VPN شهيرة، واستخدام مكتبات قديمة معرضة لثغرات مثل Heartbleed، ما يثبت أن المشكلة ليست جديدة بل متكررة.
