Riscos de VPNs gratuitas no Irã: o que pode ficar exposto e o que continua privado?

O que uma VPN gratuita pode expor?

Uma VPN gratuita pode expor informações da sua conexão ao operador, e seu aplicativo pode coletar dados adicionais do aparelho. Isso não permite automaticamente que o operador leia uma senha enviada por uma conexão HTTPS corretamente protegida. A visibilidade da rede e o acesso ao conteúdo do celular são questões separadas. ^[1][2][6]

O preço não resolve essas questões. Pergunte quem fornece o serviço, como ele é financiado e o que seus termos de privacidade permitem. Um plano gratuito, um serviço mantido por doações e um negócio de publicidade podem ter incentivos diferentes. Pagar também não substitui a avaliação do provedor. ^[1]

Em 4 de novembro de 2026, a escolha útil para uma pessoa no Irã não é simplesmente “gratuito ou pago”. Identifique o que precisa proteger, em quem está confiando e o que o programa realmente promete. Estas são informações gerais de segurança. Se a principal preocupação for uma ameaça direcionada a alguém específico, uma comparação genérica de VPNs não consegue avaliar toda a situação dessa pessoa.

O que o operador da VPN vê e o que permanece criptografado?

No tráfego transportado por uma VPN, o provedor local de internet geralmente vê uma conexão com a VPN, em vez do mesmo tráfego direto para os destinos. O operador da VPN pode observar informações da conexão, como o endereço IP de entrada, os horários do tráfego e as informações de destino disponíveis para ele. Isso transfere a confiança; não a elimina. ^[1]

O conteúdo precisa de proteção própria. O HTTPS protege informações entre o navegador e o site quando a conexão segura é válida. Ele não torna o site honesto. Confirme o destino e leve avisos de certificado a sério, especialmente antes de informar credenciais ou dados de pagamento. ^[2]

Pense no acesso a um site de e-mail como duas perguntas: quem pode observar a conexão de rede e quem recebe as informações digitadas no site? A VPN faz parte do caminho. O site é o destinatário pretendido. Uma decisão sobre o caminho não substitui a verificação de que o destinatário é aquele com quem você queria se comunicar.

Evite os dois extremos: “uma VPN lê tudo” e “uma VPN torna tudo invisível”. Pergunte de quais dados, observador e proteção se está falando. Uma declaração de privacidade útil deve permitir respostas separadas, em vez de tratar todas as informações como uma categoria única e indistinta.

O que são vazamentos de DNS e de tráfego?

DNS é o sistema que traduz nomes de sites em endereços de rede. Uma consulta pede as informações necessárias para encontrar um serviço; não é o mesmo que baixar todas as páginas ou ler todas as mensagens dele. Manter essa distinção ajuda a entender uma alegação sobre “dados de navegação”. ^[10]

Um vazamento de DNS significa que consultas relevantes de nomes escapam do caminho que deveria protegê-las. O tráfego também pode sair do túnel VPN de outras formas. A apresentação de Roya Ensafi na USENIX em 2026 descreve pesquisas que encontraram consultas DNS fora do túnel, exposição do endereço IP durante falhas do túnel e tratamento inseguro de dados em aplicativos VPN. Essas descobertas demonstram formas reais de falha, não um veredito sobre todos os produtos atuais. ^[3]

Pergunte o que um aplicativo quer dizer ao prometer evitar vazamentos. A explicação aborda queda de conexão, troca de rede e o sistema operacional compatível? Identifica a versão examinada? Um rótulo como “protegido” ajuda menos do que uma declaração específica sobre a situação coberta.

No uso comum, evite fazer uma experiência arriscada com uma conta privada só para ver o que acontece. Ao comparar avaliações publicadas, procure as condições e a data. Guarde uma captura da alegação e de seu alcance para consulta, sem incluir segredos da conta ou conteúdo de tráfego sensível.

Um aplicativo VPN pode coletar dados sem relação com o túnel?

Sim. O aplicativo instalado tem comportamento e permissões próprios. O Android permite revisar separadamente o acesso a informações como contatos, fotos e localização. Confira o que cada permissão permite e se você precisa do recurso que a utiliza. Não confunda a autorização para encaminhar uma conexão com uma justificativa ilimitada para acessos sem relação com ela. ^[6]

A seção Segurança dos dados do Google Play registra informações fornecidas pelos desenvolvedores sobre coleta, compartilhamento e práticas de segurança. O Google explica que algumas categorias têm exceções e que uma análise de segurança independente indicada ali não verifica se a declaração do desenvolvedor nessa seção é completa ou exata. Leia os detalhes, em vez de tratar um selo como garantia incondicional. ^[5]

A apresentação da USENIX de 2026 também descreve aplicativos VPN que transmitem identificadores de publicidade para rastreamento entre aplicativos. É um problema diferente de um operador ler uma requisição web sem criptografia. Ao avaliar um aplicativo, examine sua coleta de dados como programa, não apenas a promessa de criptografar o tráfego. ^[3]

Faça uma revisão simples: examine as permissões, leia a descrição dos dados e anote a identidade do desenvolvedor. Se essas três peças não forem coerentes, pause a decisão. Você não precisa instalar vários aplicativos desconhecidos para reunir mais provas sobre uma oferta que não consegue identificar.

Um IP diferente esconde minha identidade ou localização?

Não por si só. A identificação por impressão digital do navegador e do dispositivo pode combinar detalhes do aparelho ou navegador em um padrão reconhecível. A EFF explica que rastreadores podem usar esses padrões em diferentes sites e aplicativos. Mudar o endereço de rede, por si só, não remove todas essas outras características. ^[8]

A localização é outro canal separado. O Android permite que aplicativos com a devida permissão usem a localização do aparelho. As orientações do Google distinguem permissões e serviços de localização de outras escolhas da conta e do dispositivo. Portanto, um endereço de conexão que parece estrangeiro não prova que todos os aplicativos pararam de receber dados de localização. ^[7]

O Security in a Box separa objetivos diferentes: proteger informações em uma rede local, reduzir o rastreamento comercial e impedir que uma atividade seja associada a uma identidade. Esses objetivos exigem decisões diferentes. Suas orientações sobre anonimato também alertam contra vincular uma atividade a uma conta que identifique a pessoa. ^[9]

Por exemplo, entrar em uma conta pessoal conhecida é uma escolha de usar aquela conta, mesmo que o caminho de rede mude. Não espere que um rótulo de VPN desfaça informações que você fornece deliberadamente. Antes de abrir um aplicativo, decida se precisa de uma conexão privada, de outra localização para obter acesso ou de separar a atividade de uma identidade. Esses objetivos não são equivalentes.

VPNs gratuitas são sempre piores que as pagas?

Uma cobrança não prova confiabilidade técnica. O artigo da USENIX de 2023 sobre ataques conhecidos como TunnelCrack estudou falhas de roteamento que afetavam várias categorias de clientes, incluindo VPNs gratuitas, pagas, corporativas e integradas ao sistema. Os resultados dizem respeito aos produtos e às condições testados naquela época; não devem ser apresentados como taxas atuais de falhas de todo o mercado. ^[4]

Ao ler uma auditoria ou relatório de pesquisa, confira a data, a versão do aplicativo e o que foi avaliado. Um estudo de roteamento de tráfego não certifica automaticamente a política de retenção de uma empresa. Uma declaração sobre registros nos servidores não cobre automaticamente código publicitário em um aplicativo móvel. Pergunte se as evidências realmente tratam da alegação que importa para você.

Para uma oferta gratuita, pergunte como o serviço é mantido e o que acontece quando uma franquia termina. Para uma oferta paga, pergunte como funcionam cancelamento e renovação. São perguntas práticas ao fornecedor, não motivos para presumir que um dos modelos é seguro ou desonesto.

Compare as respostas por escrito. Deixe um espaço vazio onde o provedor não respondeu. Resista a preenchê-lo com estrelas de avaliação, um grande número de downloads ou uma descrição atraente. A decisão deve seguir as evidências disponíveis para aquele serviço e versão, não uma regra de que todo produto gratuito é malicioso.

O que verificar antes de instalar ou continuar usando uma VPN?

Comece pela menor revisão que seja útil. Registre o nome do aplicativo, o desenvolvedor e o canal oficial de distribuição. Leia a descrição do tratamento de dados e a razão de cada permissão sensível. O Google Play disponibiliza as práticas declaradas pelo desenvolvedor na página do aplicativo, incluindo coleta, compartilhamento e exclusão. Use essas declarações como questões a investigar, não como uma auditoria independente concluída. ^[5]

Depois examine as evidências das alegações de segurança. A pesquisa TunnelCrack mostra por que o sistema operacional e o comportamento do roteamento importam. Se um provedor citar uma avaliação, confira se ela cobre a mesma plataforma que você usa e se o programa relevante mudou desde então. ^[4]

Monte uma pequena ficha de comparação com cinco perguntas: quem opera o serviço? O que o aplicativo coleta? O que o servidor retém? Qual avaliação independente existe? O que acontece se a conexão falhar? “Não conhecido” é uma resposta útil porque mostra onde falta confiança.

Em um celular compartilhado pela família, decidam também quem pode instalar programas e alterar permissões. Evite exigir que um familiar entenda todos os termos técnicos. Peça que pare quando um aplicativo novo solicitar uma alteração sem explicação e ofereça uma forma conhecida de pedir ajuda sem compartilhar senhas.

O que fazer se um aplicativo ou pedido de pagamento parecer suspeito?

Pare de inserir novas informações sensíveis enquanto identifica o problema. Anote o que ocorreu: pedido inesperado de permissão, nova página de acesso, cobrança sem explicação ou falha de conexão. Preserve o nome do aplicativo e o texto do pedido. Essas observações ajudam mais do que supor que todos os sintomas têm a mesma causa.

Se uma mensagem pedir que visite uma página de acesso, use um caminho conhecido para a conta em vez do link fornecido. As orientações do Google sobre phishing recomendam conferir o destino e evitar divulgar informações pessoais em resposta a pedidos suspeitos. Uma mensagem sobre pagamento ou renovação de VPN merece o mesmo cuidado que outras mensagens sobre contas. ^[11]

Se a preocupação for a exposição da localização, revise as configurações de localização e as permissões dos aplicativos, em vez de supor que trocar de servidor VPN resolve. O Google explica como funciona o acesso à localização no aparelho e nos aplicativos. Decida quais aplicativos precisam dessa informação para as tarefas que você realmente usa. ^[7]

Se já ocorreu um pagamento desconhecido ou uma invasão de conta, trate isso como um incidente separado. Guarde as provas e siga o processo de recuperação adequado, em vez de continuar testando o aplicativo suspeito. Os guias de segurança on-line da Pouyam tratam de aparelhos, contas e golpes.

Defina expectativas realistas de privacidade

Escolha uma ferramenta para uma tarefa definida. Reduzir o que uma rede local vê, limitar o rastreamento comercial e separar uma atividade de uma identidade são objetivos diferentes. As orientações do Security in a Box explicitam essas distinções. Decida qual objetivo importa antes de aceitar uma promessa ampla de anonimato do provedor. ^[9]

Se o problema for rastreamento, lembre-se de que características do navegador e do aparelho podem contribuir para a identificação. Entenda a explicação do método de rastreamento antes de comprar outro serviço de conexão. Uma VPN pode resolver uma questão de rede sem alterar uma questão do navegador. ^[8]

Mantenha o plano simples o suficiente para sustentá-lo. Identifique a ferramenta que usa, o motivo e os limites que entende. Revise a decisão quando o operador, as permissões do aplicativo ou as condições do serviço mudarem. Evite acumular produtos desconhecidos só porque cada um promete mais uma camada de proteção.

Para entender o modelo básico de conexão, leia a explicação da Pouyam sobre o que uma VPN esconde e quais são suas limitações. O resultado útil é uma decisão específica e compreensível sobre confiança, não a afirmação de que um aplicativo gratuito ou pago torna segura toda atividade on-line.