Riesgos de las VPN gratuitas en Irán: ¿qué se expone y qué sigue siendo privado?

¿Qué puede exponer una VPN gratuita?

Una VPN gratuita puede revelar información de conexión a su operador y su aplicación puede recopilar datos adicionales del dispositivo. Eso no permite automáticamente al operador leer una contraseña enviada por una conexión HTTPS correctamente protegida. La visibilidad de la red y el acceso al contenido del teléfono son cuestiones distintas. ^[1][2][6]

El precio no resuelve esas cuestiones. Pregunte quién presta el servicio, cómo se financia y qué permiten sus condiciones de privacidad. Un plan gratuito, uno financiado por donaciones y un negocio publicitario pueden tener incentivos distintos. Pagar tampoco sustituye la evaluación del proveedor. ^[1]

A fecha de 4 de noviembre de 2026, para alguien en Irán la elección útil no es simplemente «gratis o de pago». Identifique qué necesita proteger, en quién confía y qué promete realmente el software. Esta es información general de seguridad. Si preocupa una amenaza dirigida a una persona concreta, una comparación genérica de VPN no puede evaluar toda su situación.

¿Qué ve el operador de la VPN y qué sigue cifrado?

Para el tráfico que pasa por una VPN, el proveedor local de internet normalmente ve una conexión a la VPN, en vez del mismo tráfico directo al destino. El operador de la VPN puede observar datos de conexión, como la IP entrante, los horarios del tráfico y la información de destino disponible. Esto traslada la confianza; no la elimina. ^[1]

El contenido necesita su propia protección. HTTPS protege la información entre navegador y sitio web cuando la conexión segura es válida. No convierte al sitio en honesto. Confirme el destino y tome en serio las advertencias sobre certificados, especialmente antes de introducir credenciales o datos de pago. ^[2]

Al visitar una web de correo, distinga 2 preguntas: ¿quién observa la conexión de red y quién recibe lo escrito en el sitio? La VPN forma parte del recorrido. El sitio es el destinatario previsto. Decidir sobre el recorrido no sustituye comprobar que el destinatario sea aquel con quien quería contactar.

Evite ambos extremos: «una VPN lo lee todo» y «una VPN vuelve todo invisible». Pregunte de qué datos, observador y protección se habla. Una declaración de privacidad útil debe permitir responder por separado, sin agrupar toda la información en una categoría indiferenciada.

¿Qué son las fugas de DNS y de tráfico?

DNS traduce nombres de sitios web en direcciones de red. Una consulta solicita información necesaria para encontrar un servicio; no equivale a descargar todas sus páginas o leer todos sus mensajes. Mantener esa distinción ayuda a entender afirmaciones sobre «datos de navegación». ^[10]

Una fuga de DNS ocurre cuando las consultas pertinentes salen de la ruta que debía protegerlas. El tráfico también puede escapar del túnel VPN de otras formas. La presentación de Roya Ensafi en USENIX de 2026 describe investigaciones que encontraron consultas DNS fuera del túnel, exposición de IP durante fallos del túnel y manejo inseguro de datos en aplicaciones VPN. Son fallos reales, no un veredicto sobre todos los productos actuales. ^[3]

Pregunte qué significa la promesa de evitar fugas. ¿Explica las desconexiones, los cambios de red y el sistema operativo compatible? ¿Identifica la versión examinada? Una etiqueta como «protegido» sirve menos que una afirmación concreta sobre la situación cubierta.

En el uso cotidiano, no haga un experimento arriesgado con una cuenta privada solo para ver qué ocurre. Si compara evaluaciones publicadas, revise condiciones y fecha. Guarde una captura de la promesa y su alcance para consultarla, sin secretos de cuentas ni contenido de tráfico sensible.

¿Puede una aplicación VPN recopilar datos ajenos al túnel?

Sí. La aplicación instalada tiene comportamiento y permisos propios. Android permite revisar por separado el acceso a contactos, fotos y ubicación. Compruebe qué permite cada permiso y si necesita la función que lo usa. La autorización para dirigir una conexión no justifica sin límites accesos ajenos a esa función. ^[6]

La sección Seguridad de los datos de Google Play registra información aportada por desarrolladores sobre recopilación, intercambio y seguridad. Google explica que algunas categorías tienen excepciones y que una revisión de seguridad independiente indicada allí no verifica la integridad ni la exactitud de esa declaración del desarrollador. Lea los detalles; una insignia no es una garantía incondicional. ^[5]

La presentación de USENIX de 2026 también describe aplicaciones VPN que transmiten identificadores publicitarios para el seguimiento entre aplicaciones. Es un problema distinto de que un operador lea una solicitud web sin cifrar. Revise la recopilación de datos del software, además de su promesa de cifrar tráfico. ^[3]

Haga una revisión sencilla: examine permisos, descripción de datos e identidad del desarrollador. Si esas 3 piezas no encajan, posponga la decisión. No necesita instalar varias aplicaciones desconocidas para reunir más pruebas sobre una oferta cuyo responsable no identifica.

¿Otra dirección IP oculta mi identidad o ubicación?

Por sí sola, no. La identificación por huella digital combina características del dispositivo o navegador en un patrón reconocible. EFF explica que los rastreadores pueden usar esos patrones entre sitios y aplicaciones. Cambiar la dirección de red no elimina por sí solo las demás características. ^[8]

La ubicación es otro canal separado. Android permite a las aplicaciones con el permiso correspondiente usar la ubicación del dispositivo. Google distingue los permisos y servicios de ubicación de otras opciones de cuenta y dispositivo. Una dirección de conexión aparentemente extranjera no demuestra que todas las aplicaciones hayan dejado de recibir su ubicación. ^[7]

Security in a Box distingue objetivos: proteger información en una red local, reducir seguimiento comercial e impedir que una actividad se vincule a una identidad. Requieren decisiones distintas. Su guía de anonimato también advierte sobre vincular actividades a cuentas identificables. ^[9]

Por ejemplo, iniciar sesión en una cuenta personal habitual supone usar esa cuenta aunque cambie la ruta de red. No espere que una etiqueta VPN anule información proporcionada deliberadamente. Antes de abrir una aplicación, decida si necesita conexión privada, otra ubicación para acceder o separación de una identidad. No son objetivos intercambiables.

¿Las VPN gratuitas son siempre peores que las de pago?

Pagar no demuestra fiabilidad técnica. El artículo de USENIX de 2023 sobre los ataques TunnelCrack estudió debilidades de enrutamiento en varios tipos de clientes: gratuitos, de pago, corporativos e integrados. Sus resultados corresponden a los productos y condiciones examinados entonces; no representan tasas actuales de fallos de todo el mercado. ^[4]

Al revisar una auditoría o investigación, compruebe fecha, versión y objeto de evaluación. Un estudio sobre rutas de tráfico no certifica automáticamente la política de conservación de datos. Una declaración sobre registros del servidor no cubre necesariamente código publicitario de la aplicación móvil. Pregunte si las pruebas responden a la afirmación que le importa.

Ante una oferta gratuita, pregunte cómo se sostiene y qué sucede al agotarse cualquier asignación. Ante una de pago, pregunte por cancelación y renovación. Son preguntas prácticas para el proveedor, no motivos para suponer que un modelo es seguro o deshonesto.

Compare las respuestas por escrito. Deje en blanco lo que el proveedor no haya respondido. No lo sustituya por estrellas, muchas descargas o una descripción atractiva. Decida según las pruebas disponibles del servicio y la versión concretos, no con la regla de que todo producto gratuito es malicioso.

¿Qué revisar antes de instalar o conservar una VPN?

Empiece por una revisión breve y útil. Anote nombre de la aplicación, desarrollador y canal oficial de distribución. Lea cómo maneja los datos y para qué necesita cada permiso sensible. Google Play muestra las prácticas declaradas por el desarrollador en la ficha, incluidos recopilación, intercambio y eliminación. Úselas como preguntas que investigar, no como una auditoría independiente terminada. ^[5]

Después revise las pruebas de seguridad. TunnelCrack muestra por qué importan el sistema operativo y el enrutamiento. Si el proveedor cita una evaluación, compruebe que cubra su plataforma y si el software pertinente cambió desde entonces. ^[4]

Prepare una comparación con 5 preguntas: ¿quién lo opera?, ¿qué recopila la aplicación?, ¿qué conserva el servidor?, ¿qué evaluación independiente existe?, ¿qué ocurre si falla la conexión? «Desconocido» es útil: indica dónde falta confianza.

En un teléfono compartido en casa, decidan también quién puede instalar software y cambiar permisos. No haga responsable a un familiar de entender cada término técnico. Pídale que se detenga ante cambios sin explicación y ofrézcale una vía conocida para pedir ayuda sin compartir contraseñas.

¿Qué hacer ante una aplicación o solicitud de pago sospechosa?

Deje de introducir datos sensibles mientras identifica el problema. Anote qué ocurrió: permiso inesperado, página nueva de inicio de sesión, cargo sin explicación o fallo de conexión. Conserve el nombre de la aplicación y el texto de la solicitud. Estas observaciones sirven más que atribuir todos los síntomas a la misma causa.

Si un mensaje le dirige a una página de acceso, entre por una vía conocida en vez del enlace recibido. La guía de Google sobre phishing recomienda comprobar el destino y evitar revelar datos personales ante solicitudes sospechosas. Examine los mensajes de pago o renovación de VPN igual que otros mensajes sobre cuentas. ^[11]

Si preocupa exponer su ubicación, revise ajustes y permisos en vez de suponer que cambiar de servidor VPN lo resuelve. Google explica el acceso a la ubicación del dispositivo y las aplicaciones. Decida cuáles la necesitan para las tareas que realmente utiliza. ^[7]

Si ya hubo un pago desconocido o una toma de cuenta, trátelo como incidente separado. Guarde pruebas y siga la recuperación pertinente en vez de seguir probando la aplicación sospechosa. Las guías de seguridad en línea de Pouyam abordan dispositivos, cuentas y estafas.

Tenga expectativas realistas sobre la privacidad

Elija herramientas para tareas definidas. Reducir lo visible para una red local, limitar el seguimiento comercial y separar actividad e identidad son objetivos distintos. Security in a Box los distingue expresamente. Decida cuál importa antes de aceptar una promesa amplia de anonimato. ^[9]

Si el problema es el rastreo, recuerde que las características del navegador y dispositivo pueden identificarle. Revise la explicación del método antes de comprar otro servicio de conexión. Una VPN puede resolver una cuestión de red y dejar intacta otra del navegador. ^[8]

Mantenga un plan sencillo de aplicar. Identifique la herramienta, por qué la usa y qué límites entiende. Revise la decisión si cambian operador, permisos o condiciones. Evite acumular productos desconocidos porque cada uno prometa otra capa de protección.

Para entender la conexión, lea la explicación de Pouyam sobre lo que oculta una VPN y sus límites. El resultado útil es una decisión concreta y comprensible sobre confianza, no afirmar que una aplicación gratuita o de pago vuelve segura toda actividad en línea.