Kita semua pernah tergoda. Butuh akses cepat ke layanan yang diblokir, atau sekadar ingin merasa lebih aman saat numpang Wi-Fi kedai kopi. Mengunduh aplikasi VPN gratis di Android terasa seperti solusi instan yang masuk akal. Tapi sebuah studi baru menunjukkan betapa naifnya asumsi itu. Riset dari tiga universitas menguji 281 aplikasi VPN gratis dari Google Play Store, dan hasilnya cukup untuk membuat siapa pun berpikir ulang: mayoritas aplikasi ini tidak hanya gagal melindungi datamu, tapi justru berpotensi membocorkannya.
- Peneliti dari tiga universitas menguji 281 aplikasi VPN gratis di Android 14 menggunakan kerangka MVPNalyzer; aplikasi yang bermasalah memiliki total lebih dari 2,4 miliar instalasi.
- Lima aplikasi memuat file konfigurasi tanpa enkripsi, memungkinkan penyerang di Wi-Fi publik mengalihkan lalu lintas ke server mereka sendiri tanpa sepengetahuan pengguna.
- Dari 108 aplikasi yang menggunakan OpenVPN, hanya satu yang memenuhi seluruh persyaratan keamanan yang diuji; hampir satu dari lima menggunakan enkripsi usang atau lemah.
- 246 aplikasi menghubungi server pelacakan dan periklanan, sementara 76 mengirimkan ID iklan perangkat; satu aplikasi bahkan mengirimkan koordinat GPS secara persis.
Ilusi keamanan yang rapuh
Premis dasarnya sederhana: VPN seharusnya membungkus lalu lintas datamu dalam terowongan terenkripsi, sehingga penyedia layanan internet atau siapa pun yang mengintip di jaringan tidak bisa melihat apa yang kamu lakukan. Tapi begitu data memasuki terowongan itu, aplikasi VPN sendiri bisa melihat semuanya. Kamu hanya memindahkan kepercayaan dari ISP ke perusahaan pembuat aplikasi. Pertanyaannya: layakkah mereka dipercaya?
Studi yang dipresentasikan di konferensi keamanan NDSS ini dipublikasikan pada Juli lalu oleh University of Michigan. Peneliti dari University of Michigan, University of New Mexico, dan IIT Delhi bekerja sama membangun kerangka pengujian bernama MVPNalyzer. Mereka menjalankan 281 aplikasi VPN gratis di perangkat Android 14, dan apa yang mereka temukan jauh dari sekadar beberapa bug kecil.
Lima aplikasi bisa dibajak lewat Wi-Fi
Temuan paling mengkhawatirkan melibatkan lima aplikasi yang memuat file konfigurasi tanpa enkripsi. File ini menentukan server mana yang akan dihubungi aplikasi. Jika file tersebut dikirim melalui jaringan dalam bentuk teks biasa, penyerang di jaringan Wi-Fi yang sama, misalnya operator hotspot publik, bisa mengubahnya di tengah jalan dan mengalihkan koneksi ke server mereka sendiri.
Di layar ponselmu, status akan tetap menunjukkan "Connected" seperti biasa. Kamu tidak akan melihat perbedaan apa pun. Padahal seluruh lalu lintas datamu kini mengalir melalui server yang dikendalikan penyerang. Peneliti berhasil mereplikasi dan mengonfirmasi serangan ini di perangkat mereka sendiri. Dari lima penyedia yang dilaporkan, dua merespons dan berjanji beralih ke HTTPS; tiga lainnya memilih diam.
Kebocoran dan pelacakan di balik janji privasi
Janji utama VPN adalah privasi. Tapi 29 aplikasi justru membiarkan lalu lintas data bocor keluar dari terowongan. Dari jumlah itu, 24 aplikasi mengekspos kueri DNS, yang berarti situs web yang kamu kunjungi terlihat jelas oleh jaringan lokal. Aplikasi-aplikasi ini sendiri sudah diinstal sekitar 360 juta kali. Enam aplikasi membocorkan seluruh lalu lintas, dan empat menjalankan terowongan tanpa enkripsi sama sekali. Nol. Tidak ada pelindung apa pun.
Bagian paling ironisnya adalah pelacakan. Banyak orang menginstal VPN justru untuk menghindari pelacakan, tapi 76 aplikasi malah mengirimkan ID iklan perangkat. Ini adalah pengenal yang digunakan pengiklan untuk melacak seseorang di berbagai aplikasi. Lebih parah lagi, 246 aplikasi, lebih dari 80 persen dari total yang diuji, menghubungi server periklanan dan pelacakan yang dikenal. Mereka mengirimkan detail seperti model perangkat, versi sistem operasi, dan ukuran layar. Secara terpisah data ini terlihat tidak berbahaya, tapi digabungkan, mereka membentuk sidik jari yang bisa mengidentifikasi perangkat secara unik.
Satu aplikasi bahkan mengirimkan koordinat GPS secara persis. Ini bukan sekadar pelanggaran privasi abstrak; ini data lokasi real-time yang bisa disalahgunakan dengan cara yang sangat konkret.
Enkripsi ketinggalan zaman di balik layar
Peneliti juga menganalisis file konfigurasi OpenVPN dari 108 aplikasi. Hasilnya suram. Hanya satu aplikasi yang memenuhi semua persyaratan keamanan yang diuji. Sekitar 89 persen hanya mengandalkan satu metode autentikasi, alih-alih menggabungkan kata sandi dan sertifikat. Hampir satu dari lima menggunakan enkripsi yang lemah atau sudah usang, termasuk algoritma Blowfish dan Triple DES yang sudah diketahui memiliki kerentanan. Beberapa bahkan sepenuhnya menonaktifkan enkripsi di dalam terowongan.
Benang merahnya sederhana: aplikasi-aplikasi ini jarang mendapat pemeliharaan, dan pemeriksaan otomatis Google Play Store membiarkannya lolos. Studi ini juga mencatat bahwa lencana "Verified" untuk aplikasi VPN lebih berfungsi sebagai gimmick pemasaran ketimbang jaminan keamanan yang sesungguhnya.
Bukan kasus yang berdiri sendiri
Ini bukan pertama kalinya sinyal bahaya muncul. Pada Agustus 2025, Citizen Lab dan Arizona State University menemukan beberapa aplikasi VPN Android populer dengan total lebih dari 700 juta unduhan yang secara rahasia saling terhubung, berbagi kata sandi hard-coded, dan mengumpulkan data lokasi. Di bulan Oktober 2025, firma keamanan Zimperium melaporkan bahwa tiga dari sekitar 800 VPN gratis yang diuji masih menjalankan versi OpenSSL yang rentan terhadap Heartbleed, sebuah kerentanan yang sudah ditambal sejak 2014.
Pola ini konsisten: aplikasi VPN gratis yang tidak dirawat dengan baik terus beredar di Play Store, dan skala unduhannya sangat besar. Pengguna awam tidak punya cara mudah untuk membedakan mana yang aman dan mana yang hanya kedok.
Apa yang bisa kamu lakukan sendiri
Masalah paling serius, file konfigurasi tidak terenkripsi dan pengaturan terowongan yang lemah, tidak terlihat dari luar. Di situlah letak bahayanya. Kamu tidak bisa hanya mengandalkan protokol yang diiklankan di deskripsi Play Store. Pertahanan terbaik bukanlah daftar fitur yang ditawarkan, melainkan pertanyaan tentang siapa yang berdiri di belakang aplikasi itu.
Utamakan penyedia yang mempublikasikan audit keamanan independen terbaru. Waspadalah terhadap aplikasi gratis yang membombardir kamu dengan iklan, karena model bisnis itu sendiri bertentangan dengan klaim privasi yang mereka jual. Anggaplah klaim seperti "verified" atau "no logs" sebagai titik awal, bukan sebagai bukti. Jika kamu penasaran dengan daftar lengkap aplikasi yang bermasalah, lampiran studi ini memuat semuanya dan bisa kamu periksa sendiri.
Saya belum menguji langsung semua aplikasi dalam studi ini, jelas tidak mungkin juga untuk satu orang. Tapi berdasarkan apa yang saya baca, kesimpulannya cukup gamblang: jika VPN gratis yang kamu pakai tidak jelas siapa pembuatnya dan bagaimana mereka membiayai operasinya, kemungkinan besar kamu bukan pelanggannya, melainkan produknya.
