Proton raporu: VPN’lerin %25’i konumunuzu izliyor.

Haziran ayında bu uygulamalar 13 milyondan fazla kez indirildi. Bu indirme ölçeği, potansiyel veri akışının büyüklüğünü ve riskin ne kadar yaygın olabileceğini gösteriyor.

Hangi şirketler, hangi yöntemler?

Proton, 64 Çin bağlantılı VPN uygulamasından 31’inin Singapur, Hong Kong ve Birleşik Krallık gibi yargı bölgelerinde kurulu paravan şirketler üzerinden yayımlandığını belirtiyor. Bu yapı, gerçek sahipliği ve kontrolü anlamayı zorlaştırıyor.

Rapor, yalnızca Çin’i işaret etmiyor. İsrail ve Rusya’nın yanı sıra Five Eyes ülkelerinde (Avustralya, Kanada, Yeni Zelanda, Birleşik Krallık ve ABD) faaliyet gösteren şirketlerin de milyonlarca kişiden izleme verisi topladığını aktarıyor. Bu tablo, izleme ekonomisinin küresel ölçekte işlediğine işaret ediyor.

Neden tehlikeli?

VPN, internet trafiğini şifreleyip IP adresinizi ve yaklaşık fiziksel konumunuzu gizlemeyi amaçlar. Ancak uygulamanın içindeki izleme yazılımları konum ve cihaz verilerini ayrı yollardan toplarsa, kimliğinizi gizlemek için indirdiğiniz araç tersine çalışabilir.

Proton, otoriter yönetimlerin bu verileri kişilerin hareketlerini izlemek için kullanabileceği uyarısını yapıyor. Bu durum, kamu görevlileri, kolluk çalışanları, gazeteciler ve protestolara katılanlar gibi risk grupları açısından özel bir tehdit yaratıyor.

Uygulama mağazaları ve denetim

Rapor, Apple ve Google’ın mağazalarına girecek uygulamalar için geliştiricilerin kendi beyanlarına dayanan bir süreç yürüttüğünü; şirketlerin bu beyanları sınırlı ölçüde doğruladığını ve bağımsız denetim şartı aramadığını vurguluyor. Bu zayıf denetim çizgisi, hangi VPN’in gerçekten gizliliği koruduğunu, hangisinin ise tam tersini yaptığını anlamayı güçleştiriyor.

“Popüler olmak güvenli olmak anlamına gelmez.” — Rapor, mağazalarda üst sıralara çıkan bir VPN’in dahi verilerinizi toplayabileceğini hatırlatıyor.

Ne kanıtlıyor, ne kanıtlamıyor?

Rapor, belirli VPN uygulamalarında izleme yazılımlarının bulunduğunu ve bir kısmının kullanıcı konumunu topladığını kanıtlıyor. Ayrıca bazı uygulamaların sahipliğinin paravan şirketlerle gizlendiğini gösteriyor.

Ancak bu bulgular, her bir kullanıcının verisinin belirli bir devlete veya kuruluşa kesin olarak aktarıldığını tek tek ispatlamıyor. Tüm VPN’lerin güvensiz olduğunu da göstermiyor; sorun, belirli uygulama gruplarında yoğunlaşıyor.

VPN seçerken nelere bakmalı?

• Şirket yapısı ve sahiplik: Kimin sahibi olduğu ve nerede yerleşik olduğu açıkça yazmalı.

• Denetim ve şeffaflık: Güncel şeffaflık raporları ve bağımsız denetim (audit) yayınlanmalı.

• Gizlilik ilkeleri: Toplanan veri türleri net ve sınırlı olmalı; konum verisi toplanmamalı.

• Yargı yetkisi: Hangi ülkenin yasalarına tabi olduğunu açıkça belirtmeli.