خدمة VPN المجانية ليست مجانية: أكبر تحقيق مستقل في خدمات VPN المجانية على أندرويد وما كشفه

في يونيو 2024 نشر مختبر الاختبارات المستقل Top10VPN أكبر تحقيق عام في تطبيقات VPN المجانية على أندرويد حتى الآن: 100 من أكثر تطبيقات VPN المجانية شيوعاً على متجر Google Play، بقاعدة تثبيت مجمعة تناهز 2.5 مليار جهاز. كانت النتائج سيئة لدرجة أن التقرير بات وثيقة مرجعية في كل نقاش لاحق حول سلامة شبكات VPN للمستهلكين، والأنماط التي رصدها لا تزال تصنع الأخبار في 2026. تسرّبت طلبات DNS في ثلاثة وثمانين من المئة تطبيق، ما يعني أن مواقع الويب التي زارها المستخدم كانت مرئية لمزود خدمة الإنترنت أو لمسؤول الشبكة حتى في أثناء عمل ما يُفترض أنه VPN. رُفعت علامة برمجيات خبيثة على 19 بالمئة من التطبيقات عبر VirusTotal. احتوى 84 بالمئة منها على حزم SDK لتتبع جهات خارجية، أي أن هذه التطبيقات لم تكتفِ بحماية المستخدم بل أخذت تجمع بياناته السلوكية بشكل نشط لصالح صناعة الإعلانات التقنية. وحمل 93 بالمئة من التطبيقات ملصقات سلامة بيانات في متجر Play لا تطابق ما كانت تفعله التطبيقات فعلاً. أهم حقيقة وحيدة عن VPN المجانية في 2026 هي أن المنتج الذي تظنك تشتريه ليس المنتج الذي يبيعه المزود.

ما الذي اختُبر

ثبّت فريق Top10VPN كلاً من التطبيقات المئة على جهاز أندرويد نظيف، وأخضعها لسلسلة اختبارات آلية شملت كشف تسرب DNS، وكشف تسرب IPv4 وIPv6، وكشف تسرب WebRTC، وتحليل قوة التشفير، وتحديد حزم SDK التابعة لجهات خارجية، وفحص البرمجيات الخبيثة عبر VirusTotal، وربط النتائج بملصقات سلامة البيانات في متجر Play. نُشرت مجموعة البيانات الكاملة لكل تطبيق كورقة Google عامة مربوطة بالتقرير. الأرقام الرئيسية درامية بذاتها، لكن النتائج على مستوى كل تطبيق هي الدرس العملي الحقيقي.

كانت الأسواق الأكثر تدنياً من حيث عدد التثبيتات: Turbo VPN بـ 335 مليون تثبيت (تسرب DNS وحزم SDK لتتبع الإعلانات)، وSuperVPN بـ 250 مليون تثبيت (تسرب DNS)، وSecure VPN بـ 166 مليون تثبيت (تسرب DNS)، وPsiphon Pro بـ 141 مليون تثبيت (تسرب DNS)، وKaspersky VPN بـ 117 مليون تثبيت (تتبع الموقع في الخلفية عبر حزمتي SDK من Facebook وHuawei). أما WiFi Map VPN فبحوالي 116 مليون تثبيت، فسرّب طلبات DNS، وأرسل بيانات شخصية في ردود HTTP غير مشفرة إلى ip-api.com، وكشف سلسلة وكيل المستخدم في بيانات تتبعها بنص واضح. وVPN Proxy Master بـ 84 مليون تثيت، سرّب كلاً من DNS وIPv6، وأرسل بيانات شخصية إلى نطاق لا علاقة له بالتطبيق، واحتوى على حزم SDK إعلانية من Bytedance وYandex ومن جهات إعلانية هندية وسنغافورية.

إخفاقات التشفير

فشل أحد عشر تطبيقاً في أداء أبسط وظائف VPN. نقل تطبيق VPN Satoshi كامل حركة البيانات بنص مكشوف دون أي تشفير — كان كل عنوان URL وكل صفحة HTML وكل طلب API مرئياً لأي شخص على الشبكة. واستخدمت تطبيقات أخرى شفرات SSLv2 أو TLSv1 القديمة، وكلتاهما تُعدّان مكسورتين وفق المعايير الحديثة. واستخدم Thunder VPN، رغم تجاوزه 91 مليون تثبيت، شفرة SSLv2 في الاتصالات الثانوية. واستخدم Tomato VPN وUrban VPN وVPN Ukraine وVPN Monster و«VPN — fast secure vpn proxy» الشفرة القديمة ذاتها. ولم يشفّر Phone Guardian، رغم تسويقه لنفسه بوصفه تطبيقاً للخصوصية، حركة البيانات على الإطلاق واقتصر على تغطية HTTP فقط على شبكات WiFi غير الموثوقة.

إخفاقات التشفير مدمّرة تحديداً لأنها صامتة. المستخدم الذي يثبّت VPN مجانياً ويرى مؤشر «متصل» لا يملك أي وسيلة لمعرفة ما إذا كان الاتصال底层 مشفراً أو ضعيف التشفير أو غير مشفر على الإطلاق. الإشارة الوحيدة على وجود خطأ ما ستكون تنبيهاً عن شهادة في المتصفح، وهو بالضبط نوع التنبيهات التي تعلّم معظم المستخدمين تجاهلها والنقر فوقها.

تسربات DNS وIP

تُعدّ تسربات DNS أكثر أعطال VPN المجانية شيوعاً، وهي تُبطل الغرض الكامل من استخدام VPN. حين تتسرّب DNS، تظل مواقع الويب التي تزورها مرئية لمحلل مزود خدمة الإنترنت لديك حتى بينما يبقى بقية اتصالك مشفراً. اكتشف فريق Top10VPN تسربات DNS في 83 من أصل 100 تطبيق، وكانت غالبية الطلبات المسربة تذهب إلى محللي Google أو Cloudflare. وكانت أكثر خمسة تطبيقات تسريباً من حيث التثبيتات: Turbo VPN وSuperVPN وSecure VPN وPsiphon Pro وKaspersky VPN. وسرّبت ثلاثة تطبيقات عناوين IPv4 وIPv6 في الوقت نفسه: Tomato VPN وPhone Guardian وUltimate VPN. الأثر العملي أن المستخدم الذي يثبّت أحد هذه التطبيقات «لحماية خصوصيته على شبكة WiFi في فندق» لا يكون في الحقيقة أكثر حماية من مستخدم لم يثبّت التطبيق أصلاً.

أرسلت عدة تطبيقات أيضاً بيانات شخصية في ردود HTTP غير مشفرة. فأرسل كل من Turbo VPN Lite وSpeedy Quark VPN وVPN Proxy Master وWiFi Map VPN عنوان IP الحقيقي للمستخدم ومعلومات الجهاز إلى ip-api.com عبر HTTP عادي. وأرسل VPN Proxy Speed حزمة بيانات مشابهة إلى نطاق لا علاقة له بوظيفة التطبيق المعلنة. والنتيجة أن هذه التطبيقات لا تكتفي بالإخفاق في حماية المستخدم، بل تتولى بنفسها تغذية هويته الحقيقية لوسطاء بيانات من جهات خارجية في كل مرة يتصل فيها.

حزم SDK للتتبع ومشاركة البيانات

احتوى 84 بالمئة من التطبيقات المختبرة على حزم SDK لتتبع جهات خارجية. أرسلت ثلاثة وعشرون تطبيقاً عنوان IP الحقيقي للمستخدم إلى متعقبات خارجية: فأرسل Mouse VPN بيانات IP إلى Google، وأرسل ClearVPN بيانات IP إلى OneSignal، وشاركت Super VPN عنوان IP مع IronSource وUnity Ads، وشاركت NotVPN عنوان IP مع IronSource. وشاركت واحد وستون تطبيقاً معرّف Google الإعلاني للمستخدم مع جهات خارجية — فأرسل Turbo VPN مثلاً معرّفه الإعلاني إلى InMobi. وأرسلت خمسة تطبيقات معرّف Google الإعلاني إلى خوادمها الخاصة، من بينها Speedify بـ 12.5 مليون تثبيت وZoog VPN بـ 600,000 تثبيت. وشاركت سبعة وثلاثون تطبيقاً بيانات بصمة الجهاز شاملة الطراز والموديل وإصدار النظام وحجم الشاشة وحالة البطارية وحالة اتصال USB وحالة سماعة الرأس ومزود الإنترنت وبلد شريحة SIM واللغة ورقم البناء. إن الجمع بين البصمة ومشاركة المعرّف الإعلاني وتسرب IP الحقيقي هو المكافئ في تكنولوجيا المراقبة لترك باب منزلك الأمامي مفتوحاً مع لوحة على العشب.

ضمّت سبعة تطبيقات حزمة SDK الإعلانية الروسية myTarget، من بينها Planet VPN وFree VPN Super وLantern VPN وTLS Tunnel وWolf VPN. تدير myTarget شركة Mail.ru وكانت موضع نقاشات حول عقوبات أمريكية. وجود حزمة SDK خاضعة لعقوبات داخل VPN موجّه للمستهلك ليس خطراً نظرياً — بل إشارة ملموسة على من يدفع ثمن التطبيق والبيانات التي يصل إليها.

علامات البرمجيات الخبيثة

رُفعت علامة البرمجيات الخبيثة على تسعة عشر تطبيقاً عبر VirusTotal. كان التوصيف الأكثر شيوعاً هو Win32.Troj.Admob.a، وهو حصان طروادة يستغل البنية الإعلانية في Google لتوليد إيرادات احتيالية. أما أخطر علامة فكانت Dropper.Shedun.Android.239430، وهو من نوع «Dropper» يزرع حمولات خبيثة إضافية على الجهاز بعد التثبيت. رُفعت علامة على Thunder VPN بـ 91 مليون تثبيت. ورُفعت علامة على VPN – Super Unlimited Proxy بـ 93 مليون تثبيت. ورُفعت علامة على ClearVPN، خدمة VPN الاستهلاكية من MacPaw. ورُفعت علامة على Bitdefender VPN. ورُفعت علامة على HTTP Injector. التفسير الأكثر تحفظاً هو أن أي تطبيق في قائمة البرمجيات الخبيثة لا ينبغي أن يكون على هاتفك.

ملصقات سلامة بيانات متجر Play

حمل ثلاثة وتسعون تطبيقاً من المئة ملصقات سلامة بيانات في متجر Play لا تطابق ما كانت تفعله فعلاً. ضلّل خمسة وسبعون منها في جمع البيانات. وضلّل أربعة وستون في مشاركة البيانات. وادعى خمسة وستون تطبيقاً «عدم مشاركة بيانات» في حين تصف سياسات الخصوصية لديها مشاركة بيانات. وادعى اثنان وثلاثون تطبيقاً «عدم جمع بيانات» في حين تصف سياسات الخصوصية لديها جمعاً للبيانات. ولم تتطابق ملصقات سوى خمسة تطبيقات تماماً مع سياسات الخصوصية. وكان Betternet بـ 80 مليون تثيت من أبرز المخالفين — إذ لم يذكر ملصقه سوى «Device or other IDs» في حين تسرد سياسته معلومات الحساب والفوترة وبيانات الاستخدام والتشخيص وبيانات اتصال VPN. نظام ملصقات سلامة بيانات Google Play لا يُطبَّق عملياً ضد تطبيقات VPN.

ما يمكن استخدامه بدلاً من ذلك

أبسط إجابة هي أن تدفع مقابل VPN استهلاكي موثوق. مزودون الخدمات الخمسة الذين نوصي بهم في مقال Best VPN 2026 — NordVPN وSurfshark وProton VPN وExpressVPN وPIA — ينشرون جميعاً تدقيقات مستقلة لعدم الاحتفاظ بالسجلات من شركات مسمّاة، ويشغّلون جميعاً خوادم مخصصة في مراكز بيانات تجارية بدلاً من استعارة نطاق ترددي من شبكات بروكسي سكنية، ويتقاضون جميعاً ما يكفي ليكون اشتراك المستخدم هو المنتج لا بياناته السلوكية. فارق السعر بين VPN مجاني وآخر مدفوع في حدود اثنين إلى أربعة دولارات شهرياً. هذا هو الثمن الكامل لعدم تسجيل استعلامات DNS الخاصة بك أو بيع معرّفك الإعلاني أو ضم جهازك إلى شبكة بوت نت.

إن كنت عاجزاً فعلياً عن تحمّل تكلفة VPN مدفوع، فإن النسخة المجانية من Proton VPN هي الخيار المجاني الوحيد الذي يمكننا التوصية به بضمير مرتاح. تُموَّل من النسخة المدفوعة من المنتج نفسه، ونُشِرت لها تدقيقات مستقلة، ولا تتضمن حزم SDK للتتبع من جهات خارجية أو سلوك مشاركة البيانات الذي ميّز كل خيار مجاني آخر. التنازل أن النسخة المجانية من Proton تقيّد السرعات واختيار الموقع والاتصالات المتزامنة، وهي الطريقة الصادقة لبناء نسخة مجانية. كل VPN مجاني آخر شاهدناه في 2026 إمّا يخفي التكلفة في سياسة الخصوصية وإمّا يخفيها في حزم SDK الإعلانية. الكلتان مرتفعتان أكثر من اللازم.