Qual é o grande problema das VPNs gratuitas e por que você deve ter cuidado

As VPNs surgiram há muito tempo como um sistema altamente eficaz para proteger a comunicação entre duas pontas, impedindo que eventuais "intrusos" tivessem acesso à transferência de dados, graças à camada de privacidade e criptografia que elas adicionam.

O conceito foi amplamente adotado em ambientes corporativos e profissionais, mas seu uso tornou-se muito mais comum após a adaptação das VPNs para uma finalidade bem mais atraente: permitir o acesso a serviços como Netflix, Hulu ou Pandora a partir de outros países — quando, teoricamente, isso só seria possível estando nos Estados Unidos.

O segredo, nesse caso, está em manipular os endereços IP — identificadores que servem para simular que o seu dispositivo está operando nos Estados Unidos ou em qualquer outro país. Geralmente, esses serviços de VPN são pagos, mas existem opções gratuitas — o Genbeta chegou a listar sete delas há algum tempo — que atraem muitos usuários justamente por esse motivo. O problema, é claro, é que, na prática, nada é realmente gratuito.

O caso do Hola

Em maio de 2015, ganhou destaque um escândalo envolvendo o Hola, um serviço de VPN gratuito que, assim como outros do gênero, possibilita o acesso a serviços de internet com restrições geográficas. A proposta do Hola era bastante atraente e seu funcionamento, notável; contudo, o problema era que essa gratuidade vinha com "letras miúdas".

Nesse caso, as "letras miúdas" significavam que, ao nos conectarmos a essa VPN, cedíamos nossa largura de banda para que usuários de outro serviço associado — o Luminati, que é, de fato, uma VPN paga — pudessem utilizá-la para diversos fins. Fins que, embora pudessem ser inofensivos, também podiam ser — como ficou demonstrado — bastante questionáveis.

Aconteceu que um dos usuários (ou grupos de usuários) do Luminati aproveitou o serviço para lançar um ataque de negação de serviço contra o site 8chan. A informação foi confirmada por Fredrick Brennan, responsável pelo 8chan (o texto e as imagens originais perderam-se, já que o 8chan foi hackeado em abril de 2017), que explicou como a queda do site ocorreu.

O Hola tornou-se ganancioso. No final de 2014, a empresa percebeu que tinha em mãos uma botnet com mais de 9 milhões de endereços IP, provenientes de seu próprio serviço, e começou a vender o acesso a essa rede (inicialmente, apenas para requisições HTTP) por meio do site http://illuminati.io.

Brennan classificou o Hola como "o serviço de VPN menos ético que já vi", ressaltando que a gratuidade do serviço tornava seus usuários, indiretamente, possíveis responsáveis ​​por esses ataques, realizados por meio de uma botnet gigantesca na qual as pessoas entravam sem saber.

Embora os responsáveis ​​por ambas as empresas já tenham esclarecido a situação — e, ao que parece, não haverá mais problemas entre as partes —, o dano já estava feito. Isso demonstra que, no caso de uma VPN gratuita — assim como acontece com qualquer outra coisa oferecida de graça —, o "preço" acaba sendo cobrado de outra forma.

Em agosto de 2016, o serviço ainda era considerado pouco recomendável, segundo análises especializadas em VPNs.

Não existe almoço grátis

As VPNs são uma alternativa interessante para proteger o uso que fazemos da Internet. Manter a privacidade é algo que preocupa cada vez mais — especialmente após os vazamentos de Edward Snowden — e serviços desse tipo prometem garantir essa privacidade, muitas vezes vangloriando-se de oferecer essa capacidade sem nos cobrar nada.

O problema é que, para que os servidores proxy que oferecem esse serviço funcionem, é necessária uma conexão capaz de lidar com o volume imenso de dados gerados quando muitos usuários utilizam o serviço — o que pode afetar a velocidade da conexão. E isso custa dinheiro. Muito dinheiro.

Se somarmos a isso os custos de manutenção, operação e segurança, o valor total aumenta. Por que alguém ofereceria esses serviços gratuitamente? Simples: porque, na verdade, eles não são gratuitos.

Em alguns desses serviços, a gratuidade é compensada pela exibição de publicidade durante a navegação. Os provedores esperam que o usuário clique nesses anúncios enquanto aguarda o estabelecimento da conexão ou durante o uso do serviço.

O problema é que o canal utilizado para veicular a publicidade tem sempre prioridade: o acesso às informações que o usuário realmente deseja torna-se mais lento do que o carregamento dos anúncios. Muitos serviços de VPN gratuitos oferecem velocidades extremamente lentas e/ou uma instabilidade frustrante.

Se você já utilizou esses serviços para acessar plataformas de streaming nos EUA, como a Netflix, talvez tenha enfrentado interrupções constantes na transmissão ao usar essas VPNs de procedência duvidosa.

Outro problema, muito mais preocupante, é que alguns desses serviços servem apenas como isca para que hackers e grupos de cibercriminosos obtenham acesso aos computadores dos usuários. Isso acontece, por vezes, até mesmo com empresas aparentemente legítimas, como a Sensor Tower.

Os criminosos, que possuem amplo conhecimento na área, criam um serviço de VPN e o divulgam como gratuito. Ao receberem as solicitações de conexão, eles conseguem infiltrar-se nos computadores dos usuários para roubar dados sensíveis, como informações de cartões de crédito.

De repente, o serviço para de funcionar e, pouco tempo depois, surgem surpresas desagradáveis ​​nas contas bancárias das vítimas. Existem, de fato, sites que buscam analisar a validade desses serviços, como o VPNRanks, e que, entre outras coisas, revelaram os problemas que ocorreram com o Hola.

Ou, então, continuam em operação, servindo de base para um gigantesco ataque MitM (Man-in-the-Middle — "homem no meio") capaz de subtrair enormes quantidades de dados de todos esses usuários.

A partir daí, abrem-se possibilidades infinitas para esses atacantes, que podem modificar os dados que chegam até nós durante nossas sessões de navegação — "disfarçando" os sites de destino e substituindo-os por outros — ou injetar todo tipo de informação e malware em nossos computadores, sem que sequer percebamos.

Esse mesmo princípio pode ser aplicado às botnets que, na verdade, são criadas quando alguém acessa uma VPN. O responsável pelo serviço tem a enorme responsabilidade de gerenciar todas essas conexões protegidas; e toda essa largura de banda sob seu controle permite que — como no caso mencionado do Hola — os responsáveis ​​reutilizem essa botnet para oferecer tal capacidade a usuários pagantes.

Usuários que, por sua vez, podem ser cibercriminosos em busca de botnets baratas para realizar seus ataques, é claro.

O que um bom serviço de VPN deve oferecer?

Parece evidente que serviços de VPN gratuitos são uma porta aberta para problemas; se você já utilizou ou utiliza um deles, saiba que está exposto a esses riscos. É claro que empresas que cobram por esse tipo de serviço não estão isentas de problemas, mas as garantias ao optar por um serviço mais confiável são muito maiores.

E, no entanto, podem acontecer coisas como a que ocorreu com Cody Kretsinger, um hacker do grupo LulzSec que foi um dos responsáveis ​​pelos ataques sofridos pelos servidores da Sony Pictures Entertainment em 2011. Kretsinger utilizava uma VPN muito popular chamada HideMyAss (o nome é bastante descritivo) para ocultar os ataques que realizava a fim de acessar servidores controlados pela Sony Pictures.

O problema é que a HideMyAss registrava os endereços IP dos usuários, bem como seus horários de entrada e saída do serviço. Um tribunal do Reino Unido exigiu que a HMA fornecesse esses dados para a investigação dos ataques, o que permitiu à justiça identificar e prender Kretsinger.

Embora os provedores desses serviços sejam capazes — ainda que não devessem fazê-lo — de monitorar toda a atividade web dos usuários, o que eles costumam fazer é registrar os endereços IP e os horários de entrada e saída do serviço. Isso representa um risco grave para quem, justamente, tenta utilizar esses serviços para proteger sua privacidade.

Portanto, ao buscar uma VPN que garanta essa privacidade, é necessário ler atentamente os termos de serviço do provedor para verificar se essas informações são registradas — e por quanto tempo.

Muitos serviços de VPN afirmam armazenar apenas as informações pessoais necessárias para a criação de uma conta e o processamento do pagamento, ressaltando que não registram endereços IP, horários de acesso ou o consumo de largura de banda durante as sessões.

Além disso, permitem o pagamento com criptomoedas, como o Bitcoin, o que confere um nível adicional de segurança e privacidade à transação, caso o objetivo seja proteger a própria identidade.

Se você utiliza um serviço desse tipo com o objetivo de acessar conteúdos de plataformas de streaming, por exemplo, o aspecto mais importante é que o provedor ofereça "locais de saída" que simulem que o seu computador está nos Estados Unidos, na China ou em qualquer outro lugar desejado.

Também pode ser vantajoso contratar um provedor de VPN sediado fora do seu país, a fim de evitar complicações jurídicas desnecessárias. Portanto, um provedor que disponha de diversos servidores espalhados pelo mundo é uma opção mais interessante para garantir a sua privacidade e segurança.

Recursos como filtros anti-malware ou anti-spyware são fundamentais, assim como — cada vez mais — a disponibilidade de funcionalidades específicas para dispositivos móveis. Em um nível mais técnico, há a comparação entre os diferentes protocolos utilizados por serviços de VPN (PPTP, L2TP, OpenVPN, SSTP, IKEv2). De modo geral, especialistas costumam recomendar o OpenVPN, alertando, por outro lado, que é melhor evitar o uso do PPTP.

Com essas informações, fica mais fácil compreender a importância de escolher não apenas uma VPN paga, mas uma que atenda adequadamente às suas necessidades específicas. Há alguns meses, o site TorrentFreak publicou um comparativo de serviços recomendados, que pode servir como referência para quem tem interesse nesse tipo de solução.

Cuidado com VPNs gratuitas, incluindo aplicativos e serviços para dispositivos móveis

É preciso estar atento aos riscos associados a esse segmento de VPNs, disponíveis para conexões — teoricamente seguras — a partir de diversos tipos de smartphones. Um estudo do CSIRO, realizado em agosto de 2016, revelou que cerca de 40% dos aplicativos de VPN gratuitos para Android contêm malware, incluindo alguns dos mais populares.

Na verdade, essas VPNs gratuitas podem não apenas conter malware, mas também monitorar nossa atividade e rastrear tudo o que fazemos em nossos dispositivos, para depois vender esses dados a outras empresas. No início de 2019, um estudo revelou que 25% dos serviços de VPN mais populares no Android apresentavam falhas de segurança e privacidade.

Aplicativos como o Hotspot Shield chegam a redirecionar solicitações HTTP para sites de comércio eletrônico, como Alibaba ou eBay, e "sequestram" nossas sessões de navegação, entre outros riscos. O ideal, nesse caso, é recorrer a um serviço pago com boa reputação — como os apresentados na comparação do TorrentFreak (mencionada anteriormente) ou na do blog especializado Restore Privacy.

Alguns navegadores começaram a integrar seus próprios serviços de VPN: o Opera fez isso há alguns meses, primeiro no PC e, depois, no Android. O Firefox seguiu o mesmo caminho e, há poucos dias, anunciou que, após testes preliminares, também passará a oferecer esse serviço — embora, para utilizá-lo, seja necessário pagar uma assinatura. Sem dúvida, uma alternativa interessante vinda de uma empresa como a Mozilla.

No caso do Firefox, a opção é interessante, e seu modelo pago oferece, provavelmente, mais garantias do que qualquer VPN gratuita. Já no Opera, embora a VPN seja gratuita, a oferta é mais confiável do que a de muitos provedores que surgem por toda parte com propostas duvidosas. Portanto, em ambos os casos, as alternativas não devem ser, de forma alguma, descartadas.

Imagem de capa | Petter Lagson no Genbeta | As VPNs são seguras, mas não infalíveis