¿Qué es realmente una VPN? – Mauricio Cárdenas

Una VPN (Red Privada Virtual) es una tecnología que crea una conexión segura y encriptada sobre una red menos segura, generalmente el internet. Permite a los usuarios transmitir datos entre sus dispositivos y un servidor remoto como si estuvieran conectados directamente a una red privada, incluso si están usando una red pública como Wi-Fi en una cafetería o aeropuerto.

Así es como funciona:

Encriptación: Las VPN cifran los datos para asegurar que, incluso si son interceptados, no puedan ser leídos sin la clave de desencriptación. Esto protege información sensible como contraseñas, números de tarjetas de crédito y mensajes personales de ser accedidos por terceros no autorizados.
Túnel: Las VPN usan un proceso llamado «tunneling» (tunelización) para establecer una conexión privada entre el dispositivo del usuario y el servidor VPN. Este túnel crea una vía segura para que los datos viajen, protegiéndolos de posibles amenazas en la red pública.
Anonimato: Al enrutar el tráfico de internet a través de un servidor VPN, los usuarios pueden ocultar su dirección IP y ocultar sus actividades en línea de su proveedor de servicios de internet (ISP), agencias gubernamentales, hackers u otras entidades que intentan monitorear o rastrearlos.
Control de acceso: Las VPN también se pueden usar para eludir restricciones geográficas y acceder a contenido que puede estar bloqueado o restringido en ciertas regiones. Esto se logra conectándose a un servidor VPN ubicado en otro país, aparentando así que el usuario está accediendo a internet desde esa ubicación.

¿Qué pasa si los servidores VPN leen los datos del usuario? ¿Cómo puede el usuario estar seguro de que los servicios VPN no los espían?

Si los servidores de VPN leyeran los datos de los usuarios, comprometería el propósito fundamental de usar una VPN para la privacidad y la seguridad. Sin embargo, los usuarios pueden tomar varias medidas para asegurarse de que el proveedor de servicios VPN sea confiable y no esté espiando:

Política de privacidad: Revisa cuidadosamente la política de privacidad del proveedor. Busca que especifique claramente que no registran ni monitorean la actividad del usuario. Un servicio VPN confiable tendrá una política de privacidad transparente que detalla qué datos recopilan, cómo se utilizan y si se comparten con terceros.
Política de no registro (No-Logging Policy): Elige un proveedor de VPN que opere bajo una política estricta de no registro. Esto significa que no mantienen registros de las actividades en línea de los usuarios, como el historial de navegación, las marcas de tiempo de conexión, las direcciones IP, ni otros datos identificables.
Auditorías independientes: Algunos proveedores de VPN se someten a auditorías de seguridad independientes realizadas por organizaciones de terceros. Estas auditorías verifican si el servicio VPN cumple con sus afirmaciones de no registro y sigue las mejores prácticas de seguridad. Busca servicios que hayan sido auditados y verificados por empresas de renombre.
Jurisdicción: Considera la jurisdicción en la que opera el proveedor de VPN. Algunos países tienen leyes que requieren que las empresas conserven datos de usuarios o cooperen con la vigilancia del gobierno. Optar por un proveedor de VPN basado en una jurisdicción amigable con la privacidad puede ayudar a mitigar riesgos potenciales.
Confiabilidad: Investiga la reputación y el historial del proveedor. Busca reseñas, testimonios y comentarios de otros usuarios para evaluar su confiabilidad. Elige proveedores con experiencia y una historia comprobada en la protección de la privacidad.
Transparencia: Un proveedor de VPN confiable será transparente sobre sus operaciones, infraestructura y prácticas empresariales. Busca información sobre la propiedad de la empresa, la ubicación de los servidores, los protocolos de encriptación y las características de seguridad. Evita servicios de VPN que carezcan de transparencia o brinden respuestas vagas.

Al tomar estas precauciones y seleccionar un proveedor de VPN confiable, los usuarios pueden minimizar el riesgo de que sus datos sean comprometidos o espiados. Sin embargo, es esencial mantenerse vigilante e informado sobre los riesgos y vulnerabilidades potenciales en la tecnología VPN.

¿Existen casos de empresas malintencionadas que se hacen pasar por servicios VPN legítimos y luego espían los datos de los usuarios en el tráfico de la red?

Sí, lamentablemente, ha habido casos en los que actores maliciosos se disfrazan como servicios VPN legítimos para espiar los datos de los usuarios. Estos casos generalmente implican prácticas engañosas por parte de empresas que afirman ofrecer privacidad y seguridad, pero en realidad recopilan, monitorean o incluso venden la información del usuario a terceros. Aquí hay algunas formas comunes en las que los servicios de VPN maliciosos operan:

Registro de datos: Algunos proveedores de VPN afirman falsamente tener una política de no registro mientras secretamente registran datos de usuarios, como el historial de navegación, marcas de tiempo de conexión, direcciones IP y más. Esta información luego se puede utilizar con fines como publicidad dirigida, vigilancia o venderse a terceros para obtener ganancias.
Intercepción de tráfico: Los servicios VPN maliciosos pueden interceptar y analizar el tráfico del usuario que pasa por sus servidores, lo que les permite monitorear las actividades en línea de los usuarios, capturar información sensible o inyectar código malicioso en las páginas web.
Adware y malware: En algunos casos, los llamados servicios de VPN «gratuitos» pueden incluir adware o malware con su software, lo que compromete la privacidad y seguridad del usuario. Estos programas maliciosos pueden rastrear el comportamiento del usuario, mostrar anuncios intrusivos o incluso robar información personal.
Venta de datos: Algunos proveedores de VPN dudosos pueden monetizar los datos del usuario vendiéndolos a redes publicitarias, empresas de análisis u otros terceros sin el consentimiento de los usuarios. Esto viola la privacidad y socava la confianza depositada en el servicio VPN.
Vulnerabilidades de seguridad: Las aplicaciones VPN mal diseñadas o inseguras pueden contener vulnerabilidades que exponen a los usuarios a diversas amenazas, incluidas violaciones de datos, ataques «man-in-the-middle» y otras formas de explotación por actores maliciosos.

Para protegerse de servicios VPN maliciosos, los usuarios deben actuar con cautela e investigar a fondo antes de seleccionar un proveedor de VPN. Es esencial elegir servicios VPN reputados y confiables con un historial probado de protección de la privacidad y seguridad del usuario.

¿Tienes ejemplos concretos? ¿O historia?

Sí, aquí tienes algunos ejemplos notables de servicios VPN maliciosos e incidentes relacionados con violaciones de privacidad:

Hola VPN: Hola era un servicio VPN gratuito popular que ofrecía a los usuarios la capacidad de eludir restricciones geográficas y acceder a contenido bloqueado. Sin embargo, se descubrió que Hola operaba una red de igual a igual (peer-to-peer) donde el ancho de banda inactivo de los usuarios se utilizaba para las conexiones de otros. Esto no solo comprometía la privacidad de los usuarios, sino que también los exponía a posibles repercusiones legales por las actividades de otros. Además, se descubrió que Hola vendía el ancho de banda inactivo de sus usuarios a terceros, convirtiéndolos efectivamente en nodos de salida para actividades potencialmente maliciosas.
Hotspot Shield: En 2017, un grupo de defensa de la privacidad presentó una queja ante la Comisión Federal de Comercio (FTC) acusando a Hotspot Shield, un servicio VPN ampliamente utilizado, de prácticas comerciales engañosas y de violar la privacidad del usuario. La queja alegaba que Hotspot Shield interceptaba y redirigía el tráfico de los usuarios a sitios web afiliados e inyectaba cookies de rastreo en los navegadores de los usuarios sin su consentimiento, comprometiendo su privacidad y seguridad.
Onavo VPN de Facebook: Facebook ofreció una aplicación VPN llamada Onavo Protect, que afirmaba proporcionar a los usuarios privacidad y seguridad mientras navegaban por internet. Sin embargo, se reveló que Facebook utilizaba Onavo Protect para recopilar datos extensos sobre las actividades en línea de los usuarios, incluidas el uso de aplicaciones, visitas a sitios web y la información del dispositivo. Facebook utilizó estos datos para obtener información sobre el comportamiento de los usuarios e identificar competidores emergentes, lo que finalmente condujo a la adquisición de WhatsApp y otras empresas.
SecureVPN y DotVPN: En 2019, un estudio de investigación realizado por VPNPro reveló que varios servicios VPN populares, incluidos SecureVPN y DotVPN, estaban filtrando información personal de los usuarios y exponiendo sus actividades en línea. El estudio encontró vulnerabilidades de seguridad críticas en estas aplicaciones de VPN, lo que permitía a actores maliciosos interceptar y acceder a datos sensibles de los usuarios, incluidas contraseñas, información financiera y el historial de navegación.

Estos ejemplos destacan la importancia de investigar cuidadosamente los servicios VPN y tener precaución al elegir un proveedor, especialmente cuando se trata de ofertas de VPN gratuitas. Los usuarios deben priorizar características de privacidad y seguridad, como una política estricta de no registro, una encriptación robusta y transparencia en las prácticas de manejo de datos.

Cuéntame más sobre el caso de Onavo

El caso de Onavo involucra la adquisición y el uso posterior de Onavo por parte de Facebook para recopilar grandes cantidades de datos sobre las actividades en línea de los usuarios. Aquí están los detalles clave:

Adquisición de Onavo: En 2013, Facebook adquirió Onavo, una startup israelí de análisis móvil, por un monto estimado de entre 100 y 200 millones de dólares. En ese momento, Onavo se comercializaba como un servicio VPN diseñado para proporcionar privacidad y seguridad a los usuarios mientras navegaban por internet.
Prácticas de recopilación de datos: Después de la adquisición, Facebook continuó operando Onavo como una aplicación VPN disponible para su descarga en dispositivos iOS y Android. Sin embargo, luego se reveló que Facebook utilizaba Onavo para recopilar información detallada sobre el uso de aplicaciones, visitas a sitios web, datos del dispositivo y otras actividades en línea de los usuarios.
Análisis competitivo: Facebook utilizó los datos recopilados a través de Onavo para obtener valiosos conocimientos sobre el comportamiento de los usuarios, las aplicaciones populares, las tendencias emergentes y las amenazas competitivas. Al analizar los datos obtenidos de los usuarios de Onavo, Facebook pudo identificar posibles objetivos de adquisición, rastrear la popularidad de plataformas sociales competidoras y ajustar su estrategia de productos.
Violación de la privacidad del usuario: El uso de Onavo para recopilar datos extensos sobre las actividades en línea de los usuarios generó importantes preocupaciones sobre la privacidad. Los usuarios no fueron informados adecuadamente sobre el alcance de la recopilación de datos ni sobre cómo su información sería utilizada por Facebook. Esto llevó a acusaciones de prácticas engañosas y violaciones de la privacidad de los usuarios.
Eliminación de la App Store: En agosto de 2018, Apple eliminó Onavo Protect de la App Store después de determinar que violaba las directrices de Apple sobre la recopilación de datos y la privacidad. Apple citó preocupaciones de que Onavo violaba sus políticas al recopilar datos más allá de lo necesario para el funcionamiento de un servicio VPN.
Fin de Onavo: Tras su eliminación de la App Store y las crecientes preocupaciones sobre la privacidad, Facebook anunció la discontinuación de la aplicación Onavo Protect en febrero de 2019. Sin embargo, los datos recopilados a través de Onavo ya habían proporcionado a Facebook información valiosa que influyó en sus decisiones estratégicas y adquisiciones.

El caso de Onavo sirve como advertencia sobre los riesgos potenciales asociados con el uso de aplicaciones VPN, especialmente aquellas propiedad de grandes empresas tecnológicas. Subraya la importancia de comprender cómo se manejan los datos de los usuarios y tener cautela al confiar en servicios VPN con información sensible.