{"id":1502,"date":"2026-07-10T21:19:14","date_gmt":"2026-07-10T21:19:14","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/10\/un-estudio-de-281-aplicaciones-vpn-gratuitas-para-android-encuentra-fugas-de-trafico-datos-no-cifrados-y-seguimiento-cyberdefensa-mx\/"},"modified":"2026-07-10T21:19:14","modified_gmt":"2026-07-10T21:19:14","slug":"un-estudio-de-281-aplicaciones-vpn-gratuitas-para-android-encuentra-fugas-de-trafico-datos-no-cifrados-y-seguimiento-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/10\/un-estudio-de-281-aplicaciones-vpn-gratuitas-para-android-encuentra-fugas-de-trafico-datos-no-cifrados-y-seguimiento-cyberdefensa-mx\/","title":{"rendered":"Un estudio de 281 aplicaciones VPN gratuitas para Android encuentra fugas de tr\u00e1fico, datos no cifrados y seguimiento \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los investigadores ejecutaron 281 de las aplicaciones VPN gratuitas m\u00e1s populares en Google Play Store a trav\u00e9s de un nuevo sistema de prueba y descubrieron que muchas fallan en lo b\u00e1sico para instalar una VPN, es decir, mantener su tr\u00e1fico privado y seguro.<\/p>\n

Las aplicaciones marcadas con al menos un problema se han instalado m\u00e1s de 2.400 millones de veces.<\/p>\n

Los problemas son b\u00e1sicos, no sofisticados. 29 aplicaciones permiten que el tr\u00e1fico de los usuarios se filtre fuera del t\u00fanel cifrado, incluidas las b\u00fasquedas de DNS que revelan qu\u00e9 sitios web visita. 61 aplicaciones env\u00edan algunos datos en texto plano que cualquiera que observe el tr\u00e1fico en esa red puede leer.<\/p>\n

Cinco de ellos env\u00edan el archivo de configuraci\u00f3n de la aplicaci\u00f3n en claro, lo que permite a un atacante en la red redirigir la conexi\u00f3n a un servidor que controlan.<\/p>\n

El sistema, llamado MVPNalyzer<\/strong>fue presentado en la conferencia de seguridad NDSS en febrero de 2026 por investigadores de la Universidad de Michigan, la Universidad de Nuevo M\u00e9xico y el IIT Delhi.<\/p>\n

Es una contraparte m\u00f3vil del estudio VPNalyzer anterior del mismo laboratorio sobre software VPN de escritorio, y los investigadores lo describen como el primer marco creado para auditar sistem\u00e1tica y repetidamente aplicaciones VPN de Android.<\/p>\n

Una VPN envuelve su tr\u00e1fico en un t\u00fanel cifrado para que su proveedor de Internet, o un esp\u00eda en la red, no pueda ver lo que est\u00e1 haciendo. La desventaja es que la aplicaci\u00f3n VPN ahora lo ve todo. No est\u00e1s eliminando la necesidad de confiar en alguien. Est\u00e1s trasladando esa confianza de tu proveedor de Internet a quien cre\u00f3 la aplicaci\u00f3n.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El estudio pregunta si estas aplicaciones se lo merecen. Para muchos, no es as\u00ed.<\/p>\n

El defecto m\u00e1s grave: el secuestro de t\u00faneles<\/h2>\n

El peor hallazgo involucra a esas cinco aplicaciones que descargan su archivo de configuraci\u00f3n sin cifrado. Ese archivo le dice a la aplicaci\u00f3n a qu\u00e9 servidor conectarse. Si viaja en texto plano, un atacante en la misma red, digamos un operador de Wi-Fi p\u00fablico, puede reescribirlo en tr\u00e1nsito y apuntar la aplicaci\u00f3n a un servidor que controla.<\/p>\n\n\n\n\n
\"\"<\/a><\/td>\n<\/tr>\n
Arquitectura del marco MVPNalyzer<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

El usuario se conecta, ve la pantalla habitual \u00abconectado\u00bb y dirige todo a trav\u00e9s del atacante. Los investigadores crearon este ataque y confirmaron que funcion\u00f3 en tel\u00e9fonos bajo su control.<\/p>\n

Se\u00f1alaron el tema como una prioridad para los cinco proveedores. Dos respondieron y ambos prometieron mover el archivo a HTTPS. Uno dijo que enviar\u00eda los archivos de configuraci\u00f3n. \u00abUsar HTTPS de forma segura con la validaci\u00f3n de certificado adecuada\u00bb.<\/a> Los otros tres no lo hab\u00edan reconocido.<\/p>\n

Filtraciones y aplicaciones que no ocultan nada<\/h2>\n

De los 29, 24 filtraron tr\u00e1fico DNS, exponiendo los sitios visitados por los usuarios a la red local; esas aplicaciones por s\u00ed solas representan alrededor de 360 \u200b\u200bmillones de instalaciones. Seis filtraron todo el tr\u00e1fico de navegaci\u00f3n fuera del t\u00fanel y cuatro ejecutaron \u00abt\u00faneles\u00bb sin cifrado alguno, y algunas aplicaciones fallaron en m\u00e1s de una forma.<\/p>\n

Por otra parte, 169 aplicaciones no intentaron disfrazar su tr\u00e1fico como algo m\u00e1s que una VPN, por lo que un operador de red o un censor gubernamental puede detectarlas y bloquearlas con herramientas b\u00e1sicas. Casi dos tercios de esas aplicaciones anuncian que superan el bloqueo o el desbloqueo de contenido restringido. Hacen la promesa y no hacen nada para cumplirla.<\/p>\n

\"\"<\/a><\/div>\n

Para alguien en un pa\u00eds donde usar una VPN es en s\u00ed mismo riesgoso, ser f\u00e1cil de identificar como usuario de VPN es lo opuesto a lo que se registr\u00f3.<\/p>\n

Seguimiento, desde las aplicaciones creadas para detenerlo<\/h2>\n

La gente suele instalar VPN para evitar ser rastreados. Muchas de estas aplicaciones realizan un seguimiento de todos modos. 76 envi\u00f3 el ID de publicidad del dispositivo, un c\u00f3digo \u00fanico que los anunciantes utilizan para seguir a una persona de una aplicaci\u00f3n a otra.<\/p>\n

El estudio encontr\u00f3 que m\u00e1s del 80% de las aplicaciones, 246 de ellas, contactaron con servidores conocidos de publicidad y seguimiento. Muchos tambi\u00e9n enviaron detalles como el modelo de tel\u00e9fono, la versi\u00f3n del sistema operativo y el tama\u00f1o de la pantalla.<\/p>\n

Por s\u00ed solos, parecen inofensivos, pero combinados forman una \u00abhuella digital\u00bb que puede identificar un dispositivo. Una aplicaci\u00f3n incluso envi\u00f3 las coordenadas GPS exactas del tel\u00e9fono.<\/p>\n

Configuraciones d\u00e9biles bajo el cap\u00f3<\/h2>\n

Los investigadores tambi\u00e9n separaron los archivos de configuraci\u00f3n de OpenVPN incluidos con 108 de las aplicaciones, una verificaci\u00f3n separada de las pruebas de tr\u00e1fico en vivo anteriores. Solo uno sigui\u00f3 todas las mejores pr\u00e1cticas de seguridad medidas por el estudio.<\/p>\n

Alrededor del 89% confi\u00f3 en un \u00fanico m\u00e9todo de autenticaci\u00f3n, ya sea una contrase\u00f1a o un certificado, en lugar de combinar los dos. Casi uno de cada cinco utiliz\u00f3 cifrado d\u00e9bil u obsoleto, incluido el antiguo cifrado Blowfish y triple DES. Algunos configuran el cifrado de datos del t\u00fanel en ninguno, lo que desactiva el cifrado por completo. Ambos cifrados antiguos conllevan debilidades conocidas desde hace mucho tiempo (CVE-2016-6329<\/a> y CVE-2016-2183<\/a>) que permiten a un atacante recuperar datos de conexiones de larga duraci\u00f3n.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La mayor\u00eda de estos problemas tienen la misma ra\u00edz: las aplicaciones apenas reciben mantenimiento y las comprobaciones autom\u00e1ticas de Play Store las dejan pasar. Muchos se encuentran entre los primeros resultados de b\u00fasqueda, donde las etiquetas de seguridad de Google y su insignia \u00abVerificada\u00bb para aplicaciones VPN pretenden indicar confianza. El estudio dice que esas etiquetas funcionan m\u00e1s como se\u00f1ales de marketing que como una garant\u00eda de seguridad real.<\/p>\n

Esto no es algo \u00fanico<\/h2>\n

Otras investigaciones recientes apuntan en el mismo sentido. En agosto de 2025, investigadores del Citizen Lab de la Universidad de Toronto y de la Universidad Estatal de Arizona encontr\u00f3<\/a> que varias aplicaciones populares de VPN para Android, con m\u00e1s de 700 millones de descargas combinadas, estaban vinculadas en secreto, compart\u00edan contrase\u00f1as codificadas y recopilaban datos de ubicaci\u00f3n silenciosamente.<\/p>\n

En octubre de 2025, la empresa de seguridad m\u00f3vil Zimperium reportado<\/a> que tres de las aproximadamente 800 aplicaciones VPN gratuitas que prob\u00f3 todav\u00eda inclu\u00edan una versi\u00f3n de la biblioteca OpenSSL vulnerable a Heartbleed, un error muy conocido corregido en 2014. Muchas tambi\u00e9n pidieron permisos telef\u00f3nicos mucho m\u00e1s all\u00e1 de los que necesita una VPN.<\/p>\n

Los tres estudios cuentan una historia: las aplicaciones VPN gratuitas siguen combinando un fuerte argumento de privacidad con una ingenier\u00eda d\u00e9bil, y siguen alcanzando millones de instalaciones antes de que alguien se d\u00e9 cuenta.<\/p>\n

Qu\u00e9 pueden hacer los usuarios<\/h2>\n

Los fallos m\u00e1s graves aqu\u00ed, la b\u00fasqueda de configuraci\u00f3n de texto sin cifrar y la configuraci\u00f3n d\u00e9bil del t\u00fanel, son invisibles desde el lado del usuario. No puedes detectarlos mirando la aplicaci\u00f3n, que es todo el problema. Entonces, la verdadera defensa no es qu\u00e9 protocolo anuncia la aplicaci\u00f3n. Es qui\u00e9n est\u00e1 detr\u00e1s.<\/p>\n

Favorecer a los proveedores que publican una auditor\u00eda de seguridad independiente reciente. Tenga cuidado con las aplicaciones gratuitas que lo entierran en anuncios. Y trate las afirmaciones \u00abverificadas\u00bb o \u00absin registros\u00bb como un punto de partida, no como una prueba.<\/p>\n

Los investigadores enumeran todas las aplicaciones marcadas en el ap\u00e9ndice del art\u00edculo, para que puedas comprobar si la de tu tel\u00e9fono est\u00e1 entre ellas.<\/p>\n

El equipo planea hacer p\u00fablico MVPNalyzer para que las tiendas de aplicaciones y los reguladores puedan realizar estas comprobaciones ellos mismos. Teniendo en cuenta esta evidencia, tendr\u00e1n que hacerlo.<\/p>\n

Hacker News ha preguntado a Google si est\u00e1 revisando o eliminando las aplicaciones marcadas, y cu\u00e1l es su respuesta al hallazgo del estudio de que las etiquetas de seguridad de Play Store y la insignia \u00abVerificada\u00bb funcionan m\u00e1s como marketing que como garant\u00edas de seguridad. Tambi\u00e9n le hemos pedido al equipo de investigaci\u00f3n de MVPNalyzer que identifique las cinco aplicaciones vulnerables al secuestro de t\u00faneles y que confirme si los proveedores notificados han implementado correcciones desde entonces. Esta historia se actualizar\u00e1 con cualquier respuesta.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Los investigadores ejecutaron 281 de las aplicaciones VPN gratuitas m\u00e1s populares en Google Play Store a trav\u00e9s de un nuevo sistema de prueba y descubrieron que muchas fallan en lo b\u00e1sico para instalar una VPN, es decir, mantener su tr\u00e1fico privado y seguro. Las aplicaciones marcadas con al menos un problema se han instalado m\u00e1s […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[75,786,177,24,627,596,963,944,2951,36,3688,1890,866],"class_list":["post-1502","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-android","tag-aplicaciones","tag-cifrados","tag-cyberdefensa-mx","tag-datos","tag-encuentra","tag-estudio","tag-fugas","tag-gratuitas","tag-para","tag-seguimiento","tag-trafico","tag-vpn"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1502","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1502"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1502\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1502"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1502"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1502"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}