Миллионы загрузок, ноль поддержки: как клоны VPN дурят Google Play и тебя

Миллионы скачиваний — казалось бы, гарантия качества, особенно когда речь заходит о VPN-приложениях на Android. Если ими пользуются миллионы, значит всё прозрачно и безопасно, правда? Увы, реальность гораздо унылее и тревожней. Недавний аудит VPN для Android вскрыл нелицеприятную картину: популярность приложения и огромный ассортимент вовсе не означают техническую поддержку, заботу о безопасности и даже простейшее следование правилам магазина приложений Google Play.

Вместо надёжной поддержки и обслуживания мы получаем искусно замаскированные клоны, которые обходят базовые требования, предъявляемые к разработчикам. Многие из этих приложений приносят прибыль исключительно за счёт обилия рекламы, а для «галочки» указывают на страницах Google Play фальшивые или вообще пустые сайты. Итог: миллионы пользователей остаются без обратной связи и хоть какой-то юридической защиты, а Google не спешит чинить дыры в своей системе.

14 VPN из топовых рейтингов, каждое с более чем 10 млн скачиваний, ведут пользователей на несуществующие сайты, временные домены или пустые страницы. USA VPN и VPN Indonesia отправляют на полностью белый tap2free.net. AnonyTun — на ошибку 403, Fast VPN — на сообщение "Invalid URL". Есть варианты и пооригинальнее: MTM Tunnel Lite ведёт на интернет-«колодец желаний»: пустой блог с единственной записью «ничего нет». А Armada VPN даже умудряется опозориться, промахнувшись с названием на собственной странице: там гордо красуется «Aramda VPN».

Некоторые аппетитные экземпляры не утруждают себя даже указанием вообще какого-либо сайта. Всё это — приглашение для взломщиков и зелёный свет для сервисов, которым плевать на защиту данных.

Главное же: пользователи фактически лишены поддержки, не могут сообщить об уязвимостях, удалить аккаунт или даже найти юридический адрес. Прочитать условия использования — только внутри кривого приложения. Честные компании вкладываются в сайты и поддержку, а "топовые" VPN в Google Play — призраки.

Но это только вершина айсберга. Аудит выявил целые "кольца разработчиков" — группы, выпускающие десятки клонов под разными названиями, но с одной и той же "начинкой". Самый популярный трюк: app-ads.txt. Это служебный файл для Google-рекламы, который можно найти на любом бесплатном сайте. Вместо настоящего сайта разработчик просто вставляет ссылку на этот файл — и Google считает, что формальность соблюдена. Так, Karastm выпускает 39 VPN-приложений — 35 из них ведут на одинаковый app-ads.txt. Helalik выпускает 19 VPN, все указывают на одну и ту же пустую страницу. BanglaTach клепает 26 VPN и все — на бессмысленный шаблон WordPress. Другие используют ссылки на несуществующие блоги или удалённые аккаунты.

В результате простому пользователю подсовывают одинаковые, плохо защищённые копии вместо настоящего выбора. Все эти "белые лейблы" делят между собой не только баги, но и практики сбора данных — в отличие от честных компаний, скрывают всю инфраструктуру и поддержку.

Вывод плачевен: пока Google не займётся реальной проверкой приложений, ориентироваться на количество скачиваний или красивые названия — путь к разочарованию и, возможно, утечке личных данных. Прежде чем скачивать VPN, проверяйте портфолио разработчика: если перед вами десятки клонов и одинаковые сайты — обойдите стороной. URL заканчивается на /app-ads.txt или ведёт на бесплатный блог? Забудьте, это не сервис, а оболочка.

Google признал проблему и пообещал разобраться, но что-то подсказывает — плакаться в белый экран поддержки VPN-призрака будете вы, а не Google. Ну а все упомянутые разработчики — как ни странно — предпочли промолчать.