Qué protege una VPN y qué no: una guía honesta
Una VPN oculta tu tráfico a tu ISP y enmascara tu dirección IP. No te vuelve anónimo, no detiene el rastreo ni bloquea el malware.
Una VPN hace bien un trabajo principal: dirige tu conexión a través de un servidor gestionado por otra persona, dentro de un túnel cifrado, de manera que los sitios web ven la dirección de ese servidor en lugar de la tuya, y tu proveedor de internet ve el túnel en lugar de tu tráfico. Todo lo demás en la publicidad de las VPN, desde el anonimato hasta la protección frente a los hackers, debe contrastarse con esa realidad más limitada.
La Electronic Frontier Foundation (EFF) expresa la limitación con claridad en su guía Surveillance Self-Defense: las VPN son las más adecuadas para dirigir una conexión de red a través de una red diferente. Eso es útil, y específico, y la mayoría de las decepciones con las VPN proceden de esperar más.
Qué cambia realmente cuando activas una VPN
Cuando la VPN se conecta, tu dispositivo abre un túnel cifrado hasta un servidor VPN. Tu tráfico viaja por ese túnel, sale del servidor y continúa hasta su destino. Como resultado cambian tres cosas:
- Los sitios web ven una dirección diferente. Tu ubicación parece ser el lugar donde esté el servidor VPN, porque tus solicitudes llevan la dirección IP del servidor en lugar de la tuya. Como una dirección IP ofrece una indicación de la ubicación general, enmascararla elimina una manera fácil que tiene un sitio de situarte.
- Tu ISP y la red local ven el túnel, no los destinos. La EFF señala que una VPN oculta el tráfico saliente al proveedor de servicios de internet y al propietario de la red local, como una cafetería o un hotel. El operador de la Wi-Fi puede ver que estás conectado a una VPN. No puede leer el tráfico dentro del túnel.
- Algunos bloqueos de red dejan de aplicarse. Como tu conexión sale a través de una red distinta, una VPN puede eludir algunos bloqueos de la red que estás usando en realidad, por ejemplo una red escolar que filtra determinados sitios. La EFF añade la otra mitad: los proveedores de streaming y otros contenidos bloquean cada vez más los dispositivos que parecen estar usando una VPN, así que esta vía para rodear las restricciones geográficas a menudo fracasa.
Ese es todo el mecanismo. No hay un escudo adicional alrededor de tu dispositivo, tus cuentas o tus descargas. El túnel cubre solo el tramo entre tú y el servidor VPN.
Quién puede ver qué, con y sin VPN
Una VPN no elimina a los observadores de tu conexión. Cambia qué observador está en cada lugar.
| Observador | Sin una VPN | Con una VPN activada |
|---|---|---|
| Propietario de la Wi-Fi local | Puede ver a qué sitios te conectas y cualquier tráfico no cifrado | Ve una conexión cifrada con el servidor VPN |
| Tu ISP | Puede ver los sitios que visitas, cuándo y durante cuánto tiempo | Ve el túnel y su volumen, no los destinos dentro de él |
| Proveedor de VPN | No ve nada, porque no está en la ruta | Puede ver tu tráfico en gran medida como podría hacerlo tu ISP |
| Sitios web que visitas | Ven tu dirección IP real y tu ubicación general | Ven la dirección y la ubicación del servidor VPN |
| Sitios en los que inicias sesión | Conocen tu cuenta, sea cual sea tu conexión | Siguen conociendo tu cuenta |
La fila central es la que la publicidad omite. La FTC afirma el punto directamente para las aplicaciones VPN: en general, una VPN no te vuelve enteramente anónimo; oculta el contenido de tu tráfico a tu ISP o proveedor de Wi-Fi pública y traslada la confianza al proveedor de VPN. Todo el tráfico oculto al ISP es visible para el proveedor, y un proveedor podría vender esa información igual que podría hacerlo un ISP. Los proveedores también están sujetos a solicitudes de las fuerzas del orden y a las leyes de los países donde hacen negocios, y la EFF señala que muchos guardan tanta información como los ISP. Usar una VPN es una decisión sobre qué empresa preferirías tener en esa posición, no una decisión de no tener a ninguna empresa allí.
Qué no hace una VPN
No te vuelve anónimo. Incluso con tu dirección IP enmascarada, las empresas tienen otros modos de seguirte. La EFF enumera el GPS, las cookies web, los píxeles de rastreo y la huella digital del navegador (browser fingerprinting), en la que un sitio combina detalles como tu sistema operativo, modelo de dispositivo y resolución de pantalla para formar un identificador. Consumer Reports informa de que muchos expertos se preocupan ahora más por el rastreo publicitario de este tipo que por que alguien piratee la red de una cafetería. Iniciar sesión resuelve la cuestión: un servicio en el que te registras sabe qué cuenta está activa, en cualquier conexión.
No detiene los ataques dirigidos a ti en lugar de a tu conexión. Una página falsa de inicio de sesión a la que se llega a través de una VPN sigue siendo una página falsa de inicio de sesión, y una descarga maliciosa sigue siendo maliciosa dentro de un túnel cifrado. Consumer Reports cita a Roya Ensafi, de la University of Michigan, investigadora principal del proyecto de investigación VPNalyzer, quien afirma que las VPN no protegen frente a la mayoría de los riesgos en línea conocidos, incluidos el phishing, el rastreo, el malware y el ransomware.
Ya no es la respuesta predeterminada para la Wi-Fi pública. Una VPN configurada correctamente puede proteger el tráfico no cifrado en una red pública, y eso solía ser una recomendación estándar. La EFF explica por qué el consejo se ha matizado: la mayoría del tráfico web está ahora cifrado con HTTPS. HTTPS ya protege el contenido de una página o un mensaje. Lo que deja visible son metadatos, como qué dominio visitaste y cuándo. Una VPN puede ocultar esos metadatos a un oyente local, pero el proveedor de VPN los ve en su lugar.
No está diseñada para derrotar a un atacante que controla la red local. En mayo de 2024, la EFF informó de una investigación de Leviathan Security llamada TunnelVision, en la que un atacante en una red local utiliza un ajuste de DHCP, la opción 121, para obligar al tráfico a eludir la VPN mientras la conexión se mantiene activa, exponiendo tráfico no cifrado. El resumen de los investigadores: las VPN no fueron diseñadas para mitigar ataques en la red local, y prometer otra cosa es peligroso. Los proveedores varían en si han abordado esta técnica.
Si usas una, elígela como a un fiduciario
Como a una aplicación VPN se le concede permiso para interceptar todo tu tráfico, la FTC aconseja tomarse ese permiso en serio. Citando a investigadores que estudiaron casi 300 aplicaciones VPN, señala que algunas aplicaciones no usaban cifrado en absoluto, algunas solicitaban privilegios sensibles y algunas compartían datos con terceros para ofrecer anuncios o analizar el uso. Muchas aplicaciones gratuitas lo son por una razón: venden publicidad o comparten información con terceros.
Una breve lista de comprobación procedente de las orientaciones de la EFF y la FTC filtra la mayor parte del riesgo:
- Lee la política de privacidad en busca de recopilación, no de eslóganes. Busca qué recopila el proveedor, si vende datos y qué dice sobre entregar datos a los gobiernos. Una afirmación de no guardar registros es una afirmación, no una prueba.
- Busca comprobaciones externas. La EFF apunta a las auditorías públicas de seguridad realizadas por terceros y a los informes de transparencia como señales de que un proveedor se toma en serio el escrutinio, al tiempo que señala que las prácticas pueden cambiar después de una auditoría.
- Pregunta cómo se paga el servicio. Los servidores y el personal cuestan dinero. Si no estás pagando una suscripción, se aplica la pregunta de la EFF: ¿cómo se mantiene a flote el negocio, y es la respuesta tus datos?
- Comprueba el protocolo y el interruptor de corte (kill switch). La EFF aconseja comprobar que una VPN utiliza OpenVPN o WireGuard y advierte de que el antiguo protocolo PPTP usa un cifrado roto. Consumer Reports describe el kill switch, que corta tu conexión si la VPN se cae, para que el tráfico no continúe desprotegido.
- Comprueba los permisos de la aplicación. El ejemplo de la FTC es una aplicación que solicita acceso a los mensajes de texto: si un permiso no encaja con lo que necesita una VPN, aléjate.
Un uso laboral es diferente. Una VPN de empresa que te conecta a la red interna de tu empleador está haciendo el trabajo para el que se crearon las VPN. Quien gestiona esa red puede ver tu tráfico en ella, lo cual es lo esperado.
Conclusión
Merece la pena tener una VPN si tu objetivo encaja con su única función real: impedir que tu ISP y tu red local vean adónde va tu tráfico, y hacer que los sitios web vean la dirección de un servidor en lugar de la tuya. No es anonimato, porque las cookies, el fingerprinting, el GPS y las cuentas con sesión iniciada siguen identificándote, y no es seguridad general, porque el phishing y el malware atraviesan el túnel directamente. Elige un proveedor con el cuidado que exige la confianza que le estás entregando, mantén HTTPS, las actualizaciones, contraseñas seguras y la autenticación de dos factores en cualquier caso, y trata cualquier servicio que prometa protección total como una señal de advertencia.