Как российские приложения шпионят за пользователями VPN
Новое расследование раскрыло скоординированные усилия российского правительства по превращению популярных потребительских приложений в инструменты слежки, нацеленные на людей, использующих VPN для обхода государственной цензуры. Результаты, опубликованные правозащитной организацией RKS Global, поднимают серьёзные вопросы не только о конфиденциальности в России, но и о том, насколько вообще можно доверять приложениям, установленным на вашем устройстве.
Из 30 проанализированных популярных российских приложений 22 оказались активно определяющими использование VPN и сохраняющими эти данные на серверах, доступных российским спецслужбам. Приложения охватывают банковские платформы и крупные веб-сервисы, которыми ежедневно пользуются миллионы россиян. Для этих пользователей простое открытие банковского приложения при подключении к VPN может сформировать запись, которая попадёт в руки государственных органов.
Как приложения определяют использование VPN
Определить, подключён ли пользователь к VPN, технически несложно. Приложения могут проверять несколько признаков: соответствует ли активный сетевой интерфейс устройства известным VPN-протоколам, разрешается ли IP-адрес в адрес центра обработки данных, а не жилого или мобильного провайдера, или присутствуют ли определённые системные индикаторы, связанные с программным обеспечением для туннелирования.
Особую значимость результатам расследования RKS Global придаёт не сам факт возможности обнаружения, а то, что эти приложения предположительно записывают и хранят данную информацию таким образом, что она становится доступна посторонним лицам. Это превращает рутинную техническую проверку — из тех, что многие приложения выполняют в целях предотвращения мошенничества или оптимизации сети, — в инструмент политической слежки.
Накопленные данные затем могут использоваться для составления профиля пользователей, регулярно обходящих российские интернет-ограничения, известные внутри страны как контроль RuNet. Власти всё настойчивее квалифицируют использование VPN как уголовное или подрывное деяние, а задокументированная активность через VPN создаёт доказательную базу, способную поддержать уголовное преследование.
Более широкие последствия для пользователей VPN
Для людей за пределами России непосредственная угроза может казаться далёкой. Однако расследование указывает на риск для конфиденциальности, не ограниченный какой-либо одной страной: приложения, которым вы доверяете повседневные задачи — проверку банковского счёта, чтение новостей, онлайн-шопинг, — могут собирать данные о вашей сетевой активности способами, на которые вы никогда не давали согласия и о которых, возможно, не подозреваете.
В случае России эти данные предположительно передаются государственным спецслужбам. В иных обстоятельствах те же самые данные могут продаваться рекламодателям, передаваться правоохранительным органам по требованию закона или оказываться раскрытыми в результате утечки. Механизм одинаков; различаются лишь получатель и намерение.
Это также напоминание о том, что VPN защищает ваш трафик от прочтения в процессе передачи, однако не препятствует приложению, запущенному на вашем устройстве, наблюдать за сетевым окружением и сообщать об обнаруженном. Слежка на уровне приложений действует ниже того уровня, который защищает VPN.
Что это означает для вас
Если вы являетесь гражданином России и используете VPN для доступа к заблокированному контенту, риск здесь прямой и серьёзный. Использование VPN при одновременной работе приложений крупных российских банков или платформ может формировать записи, идентифицирующие вас как человека, уклоняющегося от цензурного контроля. Наиболее безопасный подход — относиться к этим приложениям как к потенциально враждебным вашей конфиденциальности и ограничивать их использование при подключении к VPN, либо использовать отдельное устройство без таких приложений для конфиденциального просмотра.
Для пользователей в других странах урок касается разрешений приложений и доверия. Большинство владельцев смартфонов предоставляют приложениям широкий доступ, не изучая, какие данные те собирают и куда они направляются. Информация о состоянии сети, в том числе о том, активен ли VPN, зачастую доступна приложениям без каких-либо специальных разрешений как на Android, так и на iOS. Вы не всегда можете помешать приложению проверить ваше сетевое окружение, однако можете осознанно подходить к выбору устанавливаемых приложений и используемых сервисов.
Изучение политики конфиденциальности приложений, особенно разделов об обмене данными с третьими лицами и о запросах со стороны государственных органов, стоит затраченного времени. Если у приложения нет чёткой политики или если она оставляет за собой право широко делиться данными с аффилированными лицами или властями — это сигнал, к которому следует отнестись серьёзно.
Будьте в курсе и действуйте
Расследование RKS Global — наглядный пример того, как цифровые права и личная конфиденциальность взаимосвязаны. Когда правительства принудительно вовлекают частные компании в программы слежки, приложения, которыми люди управляют своими финансами и повседневной жизнью, становятся потенциальными векторами государственного мониторинга.
Практические выводы просты. Тщательно выбирайте, какие приложения устанавливать и обновлять, особенно те, которые принадлежат компаниям, потенциально подверженным давлению со стороны государства. Помните, что VPN — это один уровень защиты конфиденциальности, а не полный щит. И обращайте внимание на то, где хранятся данные ваших приложений и кто может получить к ним доступ, — потому что этот вопрос важен вне зависимости от того, в какой стране вы живёте.
По мере того как подобная государственно направленная слежка через приложения становится всё лучше задокументированной, стоит следить за работой организаций по защите цифровых прав, которые расследуют и разоблачают подобные практики. Информированные пользователи лучше подготовлены к защите самих себя.
