Ce que les chercheurs ont découvert dans 281 VPN Android gratuits
L'enquête s'appelle MVPNalyzer. Signée par des chercheurs des universités du Michigan, du Nouveau-Mexique et de l'IIT Delhi, elle a été présentée en février 2026 au symposium NDSS, puis remise en avant cet été par Michigan Engineering.
Les chercheurs ont extrait les adresses contactées par les applications et les ont comparées aux listes EasyList, EasyPrivacy, Disconnect et AdGuard. Résultat : 246 applications ont contacté 3 714 URL uniques classées comme publicitaires ou liées au suivi.
Attention à ne pas aller plus loin que ce que montre l'étude. Contacter un tel domaine ne signifie pas automatiquement qu'une appli espionne son utilisateur. Cela révèle en revanche un paradoxe : une très large majorité de ces applications présentées comme des outils de confidentialité communiquaient elles-mêmes avec des services publicitaires ou de suivi.
76 applications envoyaient l'identifiant publicitaire, 38 l'adresse IP
L'étude est allée plus loin en regardant quelles informations sortaient des téléphones. 76 applications transmettaient l'identifiant publicitaire Android, un code réinitialisable qui peut servir à reconnaître un même appareil entre plusieurs applications.
Constat distinct : 38 applications envoyaient également l'adresse IP du terminal de test dans leurs données applicatives.
Le fournisseur du VPN connaît de toute façon cette adresse puisque votre téléphone se connecte à son serveur. Mais les chercheurs soulignent que sa présence dans des champs transmis par l'application révèle une collecte intentionnelle de cette donnée, notamment dans des échanges associés au suivi.
Fuite de votre navigation, trafic de l'appli en clair : deux problèmes distincts
Le problème ne se limite pas à la publicité ou aux identifiants. 29 applications laissaient passer une partie du trafic utilisateur hors du tunnel VPN. Les chercheurs ont identifié, avec des recoupements entre les catégories, 24 applications présentant des fuites DNS, 6 des fuites de trafic de navigateur et 4 des tunnels non chiffrés.
Une fuite DNS ne dévoile pas nécessairement la page exacte que vous consultez, mais elle peut révéler les domaines auxquels votre appareil cherche à accéder. Les 24 applications concernées cumulaient à elles seules environ 360 millions d'installations.
Autre chiffre, autre problème : 61 applications émettaient du contenu en clair. Il s'agit ici de communications générées par l'application elle-même, et non simplement de votre navigation qui sortirait accidentellement du tunnel.
Cinq applications téléchargeaient notamment leur fichier de configuration VPN sans chiffrement. Et le risque n'est pas resté théorique : les chercheurs ont reproduit l'attaque sur leurs propres appareils. Un intermédiaire placé sur le réseau pouvait remplacer ce fichier et rediriger le client vers un serveur VPN qu'il contrôlait. Deux des cinq éditeurs prévenus se sont engagés à sécuriser ces échanges avec HTTPS.
Au total, les applications dans lesquelles les chercheurs ont identifié au moins un problème de sécurité ou de confidentialité cumulaient plus de 2,4 milliards d'installations. Ce chiffre ne correspond pas à 2,4 milliards de personnes actuellement exposées : il additionne les compteurs d'installations du Play Store, potentiellement plusieurs installations pour un même utilisateur.
Un VPN ne supprime pas la confiance, il la déplace
C'est l'un des enseignements les plus intéressants de l'étude. Un VPN ne vous permet pas de ne plus faire confiance à personne. Il déplace la confiance.
Sans VPN, votre opérateur ou le réseau Wi-Fi auquel vous êtes connecté occupe une position privilégiée sur votre connexion. Avec un VPN, une grande partie de cette confiance est transférée vers l'éditeur du service, puisque son application et ses serveurs peuvent traiter l'essentiel de votre trafic.
Ce principe vaut pour l'ensemble des VPN grand public, gratuits comme payants, même si les chiffres de MVPNalyzer concernent uniquement des applications gratuites. Et le tunnel VPN ne supprime ni les cookies, ni les comptes auxquels vous restez connecté, ni les autres techniques permettant de reconnaître votre appareil.
Ce que l'étude ne permet pas de conclure
Les chiffres impressionnent, mais leur périmètre compte. Le corpus a été constitué en novembre 2024 à partir de 40 recherches effectuées dans les différents pays couverts par le Play Store, auxquelles s'ajoutait la catégorie VPN & Proxy Tools.
Les applications gratuites disponibles dans cet ensemble mondial ont ensuite été téléchargées depuis la boutique américaine et testées sur des smartphones OnePlus sous Android 14. Les applications qui exigeaient un compte ou un paiement pour fonctionner ont été écartées.
L'étude ne permet donc pas d'appliquer ses pourcentages à tous les VPN disponibles aujourd'hui. Elle ne mesure pas non plus les applications iOS ou les services nécessitant un abonnement payant. Certaines applications testées fin 2024 ont enfin pu être mises à jour, corrigées ou retirées depuis.
VPN gratuit : cinq vérifications avant d'en installer un
L'étude ne permet pas de conclure qu'un VPN gratuit est forcément dangereux. Elle rappelle surtout qu'il vaut mieux regarder au-delà du bouton « Installer ». Quelques vérifications peuvent aider :
- identifier clairement l'éditeur du VPN et vérifier qu'il est possible de le contacter ;
- privilégier des protocoles reconnus et une application régulièrement maintenue ;
- vérifier la présence d'une protection contre les fuites DNS et d'un kill switch, qui coupe la connexion si le tunnel VPN tombe ;
- lire la politique de confidentialité pour savoir quelles données peuvent être transmises à des tiers ;
- comprendre le modèle économique du service lorsqu'aucun abonnement ne le finance.
Un audit indépendant récent constitue également un signal de confiance utile, à condition d'en regarder le périmètre. Un audit du code ou de l'infrastructure ne valide pas automatiquement une promesse « sans journaux ». Si un fournisseur s'appuie sur un audit pour défendre sa politique de no-log, il faut vérifier que cette politique faisait réellement partie des éléments contrôlés.
Ces mêmes critères permettent d'ailleurs de départager les VPN payants.
Gratuit ne veut donc pas dire dangereux. Mais cette étude montre qu'une promesse de confidentialité ne devrait jamais être acceptée sur parole. Lorsqu'une application obtient une position aussi privilégiée sur votre connexion, la bonne question n'est pas seulement « est-ce que mon trafic est chiffré ? », mais aussi « à qui suis-je en train de confier mes données ? ».
