Morten Lyhne Petersen
Knap 4.800 mobile VPN-apps er blevet gennemgået, og resultatet peger på massiv snyd med hjemmesider, e-mail-adresser og privatlivspolitikker.
En stor undersøgelse fra det britiske tech-medie TechRadar tegner et dystert billede af den VPN-app du måske allerede har på telefonen. Journalisterne har gennemgået 3.392 Android-apps med over 1.000 downloads og 1.387 iOS-apps med mindst én anmeldelse, og konklusionen er, at et overraskende stort antal af de mest downloadede apps gemmer sig bag falske eller ikke-eksisterende hjemmesider og genbrugte privatlivspolitikker.
Undersøgelsen rammer et marked hvor tilliden er hele produktet: en VPN, altså et virtuelt privat netværk, sender din trafik gennem udbyderens servere, så dens sikkerhed og ærlighed er alt der står mellem dine data og en ukendt tredjepart.
Hjemmesider der peger ingen steder hen
17 procent af Android-apperne, cirka 577 stykker, har slet ingen hjemmeside registreret. Og selv når linket er der, fører det ofte til blankt papir: enkeltside-domæner på gratis platforme, midlertidige blogs eller sider genereret af automatiske værktøjer.
63 procent af Android-udbyderne, i alt cirka 2.137 apps, oplyser kun en gratis Gmail- eller anden webmail-adresse, eller sender henvendelser til konti der bouncer med det samme. Der er dermed ingen reel måde at kontakte udvikleren på hvis noget går galt.
Google Play klarer sig markant dårligere end App Store på næsten alle transparens-tjek. På Apples side består 61,4 procent af apperne validitets-testene, mens Android kun har 40,8 procent. Til gengæld har App Store en anden akilleshæl: platformen tillader udviklere at forblive helt anonyme, så brugere reelt ikke kan holde nogen ansvarlig.
Privatlivspolitikker der ikke beskytter noget
Værre bliver det, når man dykker ned i selve privatlivspolitikkerne. TechRadar-undersøgelsen finder, at mange apps har politikker der er kopieret direkte fra andre udbydere, eller er så korte at de mangler basale juridiske oplysninger om logning, videregivelse til tredjepart, jurisdiktion og hvor længe data opbevares.
Nogle politikker er slet ikke politikker: linket fører til en artikel om, hvordan man skriver en privatlivspolitik.
VPN-branchen erkender problemet
Reaktionerne fra de store udbydere var usædvanligt ligefremme. NordVPNs teknologichef Marijus Briedis erklærede over for TechRadar, at “en VPN får betroet en brugers mest følsomme data, og som denne undersøgelse viser, er en betydelig del af markedet ikke rustet til det ansvar”, og opfordrede brugerne til at bruge tid på at undersøge udbyderen og lede efter klare privatlivspolitikker, professionelle hjemmesider og dedikerede supportkanaler.
ExpressVPNs informationssikkerhedschef Aaron Engel sagde i samme reaktion, at “gennemsigtighed bør være en nøglefaktor når man vælger en VPN”, og at “gennemsigtighed skal understøttes af beviselige handlinger”.
Sådan tjekker du din egen app
Ud fra undersøgelsens fund tegner der sig en kort tjekliste for danske brugere der vil vurdere om deres nuværende VPN-app er værd at have tillid til.
Slå udviklerens hjemmeside op og se om den ligner en rigtig virksomhed, ikke bare en tom skabelon eller en gratis blogplatform. Send en test-mail til supporten og se om der kommer et svar. Kopiér en karakteristisk sætning fra appens privatlivspolitik og søg efter den på Google. Dukker den op hos andre udbydere, er politikken kopieret.
Kig efter, om politikken eksplicit lover ingen forbindelses- eller aktivitetslogning, og hvor lang den er. En seriøs politik er sjældent to sætninger lang.
Er der ikke et selskabsnavn, en fysisk adresse, en fungerende kontaktkanal og en detaljeret privatlivspolitik, er der ifølge undersøgelsen god grund til at slette appen og finde en anden.
