Si cree que descargar una VPN directamente desde una tienda de aplicaciones oficial garantiza su privacidad digital, es momento de reconsiderar.

Realizamos una auditoría exhaustiva de los estándares de verificación de las tiendas, y los resultados exponen una marcada falta de control de calidad tanto en iOS App Store como en Google Play.

Evaluamos la transparencia de los desarrolladores y los estándares de verificación de tiendas, analizando 3,392 apps de Android VPN (con más de 1,000 descargas) y 1,387 apps de iOS VPN (con al menos una reseña).

Aunque Google Play parece presentar un desempeño significativamente peor que la App Store de Apple en casi todas las métricas de transparencia y validez, los datos son contundentes: solo 61.4% (851) de las apps iOS superaron todas las comprobaciones principales de validez, mientras que Android quedó por detrás con solo 40.8% (1,210).

El hecho de que una VPN esté disponible en una tienda oficial no garantiza su legitimidad. A continuación, se presentan los hallazgos sobre la seguridad de las VPN móviles.

Datos de Aplicación y Control de Calidad de la Tienda

Cuando se entrega el tráfico web a una VPN, se espera que el desarrollador sea una empresa real y registrada. Sin embargo, los datos de cumplimiento demuestran que miles de estas apps carecen incluso de la infraestructura corporativa más básica.

En cuanto a mantener un sitio web de desarrollador válido, Apple lidera. Nuestros datos muestran que 82.7% (1,147) de las apps iOS mantienen un sitio web de desarrollador válido. En contraste, solo el 52.2% (1,774) de las apps Android logran lo mismo (equivalente al 59.8% de las apps Android que realmente indicaron una URL).

Pero el problema va más allá de enlaces rotos. 46.9% de los sitios web Android válidos (832) y 47.5% de las políticas de privacidad de Android (1,612) dependen completamente de dominios de terceros gratuitos como Google Sites, GitHub y Blogger.

En total, más de 1,200 enlaces de sitios de desarrolladores o políticas de privacidad de Android apuntaban directamente a páginas gratuitas de Google. Apple tiene mejor desempeño, pero no es inmune: 15.6% de los sitios iOS (179) y 18.3% de las políticas de privacidad iOS (217) siguen dependiendo de estos hospedajes gratuitos.

¿Y entonces?

Confiar en plataformas gratuitas como Blogger o Google Sites señala una absoluta falta de infraestructura corporativa dedicada e inversión financiera. Si un desarrollador no está dispuesto a gastar unos dólares en un dominio personalizado, ¿cómo confiar en que inviertan en cifrado AES-256 seguro o en el mantenimiento de servidores?

Peor aún, si esa cuenta de terceros gratuita se suspende o abandona por el anfitrión, el soporte al desarrollador y la documentación de privacidad desaparecen de inmediato.

Las diferencias entre plataformas también son marcadas en cuanto a los requisitos de contacto del desarrollador. Google Play exige que los desarrolladores muestren una dirección de correo, pero 65.1% de las apps Android (2,208) utilizan servicios de dominio público gratuitos como @gmail.com o @yahoo.com.

Mientras tanto, iOS no exige que los desarrolladores muestren un correo y este está presente en solo 16.2% de las VPN iOS (225 apps).

Permitir que los desarrolladores omitan correos de contacto permite que operen de forma completamente anónima. Esto impide a los usuarios ejercer derechos fundamentales de privacidad, como el acceso o la eliminación de datos bajo GDPR.

Indica con fuerza que la “empresa” es un individuo o entidad transitoria más que un negocio registrado, dificultando la responsabilidad legal y la aplicación de la privacidad de datos.

https://kwizly.com/embed/OdRyJe.js

Representación errónea de políticas de privacidad y redes boilerplate

Una VPN solo es confiable si su política de privacidad lo es. Proveedores premium como ExpressVPN y NordVPN se someten a auditorías independientes regulares para verificar sus afirmaciones de no-logs. En contraste, nuestra auditoría reveló que cientos de VPN móviles usan textos completamente genéricos o copiados para hacerse pasar por servicios legítimos.

En un ejemplo, encontramos 13 apps iOS que comparten texto idéntico y no editable de política. Como los desarrolladores no se molestaron ni siquiera en leer sus propios documentos legales, el texto continúa con placeholders como: “Si tiene preguntas sobre esta Política de Privacidad, contacte a support@example.com”. Puedes ver una de estas políticas idénticas y no editadas aquí.

Estas plantillas no contienen compromisos vinculantes sobre prácticas VPN específicas, como registro de tráfico, seguimiento de IP o monitoreo de ancho de banda. Los usuarios se ven engañados al asumir que están protegidos cuando, en realidad, no existe una política legal real.

Además, una gran parte de estas apps depende de generadores automáticos de políticas, sitios que alojan en masa documentos de privacidad genéricos. La auditoría descubrió:

• 48 apps Android alojando políticas en projeto10.top
• 40 apps usando freeprivacypolicy.com
• 19 apps usando termsfeed.com

Los generadores de políticas automáticas suelen incluir avisos legales que no garantizan la exactitud. Además, el host puede alterar o eliminar la página sin que el desarrollador lo sepa, dejando a los usuarios sin términos de privacidad válidos.

Quizá el hallazgo más curioso corresponde a Sigma VPN, una app Android con más de 100,000 descargas. Su política de privacidad no es tal; enlaza directamente a un artículo de soporte de Wix copiado sobre cómo crear una política de privacidad.

Incluso cuando las políticas son únicas, a menudo son demasiado cortas para significar algo. La auditoría encontró que 2.3% de las políticas Android válidas (72) y 6.6% de las políticas iOS válidas (78) contienen 250 palabras o menos. Políticas tan truncadas carecen de divulgaciones legales necesarias sobre registro, intercambio de datos con terceros, jurisdicción y ventanas de retención de datos.

https://kwizly.com/embed/W0RJNX.js

Consejos para consumidores y hallazgos prácticos

Entonces, ¿cómo navegar por las tiendas de apps de forma segura sin descargar una opción dudosa o, peor aún, una pesadilla de captura de datos? Aquí está nuestra lista de verificación accionable para protegerse antes de presionar “Descargar”.

• Verificación de dominio: Verifique que el proveedor opere un dominio web propio e independiente que coincida con el nombre del producto, en lugar de un subdominio gratuito en Blogger o Google Sites. Si no poseen su propio sitio, no deben poseer su tráfico web.
• Lista de verificación de políticas: No se limite a creer en la palabra “Política de Privacidad”. Abra el enlace y busque textos genéricos en correos electrónicos (como support@example.com), pies de página de generadores o términos amplios no específicos de VPN. Confirme que la política se compromete explícitamente a no registrar conexiones o actividades.
• Prueba de contacto: Pruebe los canales de contacto del desarrollador antes de suscribirse. Envíe un correo rápido para verificar que la atención al cliente y los mecanismos de eliminación de cuentas realmente existen.

Conclusión

El método de verificación de enlaces de Google Play permite que cientos de apps operen con blogs temporales, páginas en blanco y sitios generadores automáticos. Aunque Apple hace un mejor trabajo en hacer cumplir enlaces web válidos, su principal fallo es permitir el total anonimato de los desarrolladores, dejando a los usuarios sin forma de exigir responsabilidad legal ante los desarrolladores de iOS.

En respuesta a nuestra investigación, Apple no comentó de forma oficial y señaló sus pautas de seguridad y procesos de revisión. Mientras tanto, un portavoz de Google declaró: “Estamos revisando esto. Cuando se detecta una app que infringe nuestras políticas, revisaremos las apps en cuestión y tomaremos las medidas adecuadas.”

La conclusión final es una lección crucial de la ciberseguridad moderna: la aprobación para aparejar en la tienda refleja el cumplimiento de formularios básicos de presentación, no la legitimidad operativa ni la protección de la privacidad. Siempre investigue por su cuenta antes de confiar a una VPN móvil sus datos personales.

from Latest from TechRadar https://ift.tt/q4iBJrS
via IFTTT IA