Gratis VPN er ikke gratis: Slik oppdager du at tjenesten selger dataene dine videre

Ideen om at en VPN-tjeneste skjuler deg på nettet, er dypt innarbeidet hos norske brukere. Men for et voksende antall gratis apper er logikken den motsatte: når du ikke betaler med penger, er dine surfevaner selve produktet.

En sikkerhetsgjennomgang av de 100 mest populære gratis VPN-appene for Android, med til sammen over 2,5 milliarder installasjoner, viste at 71 av dem delte brukerdata med tredjeparter. Blant mottakerne var både amerikanske annonsegiganter, det russiske selskapet Yandex, TikTok-eieren ByteDance og etablerte datameglere.

77 prosent av de gjennomgåtte appene beskyttet dessuten ikke brukernes personvern som lovet, blant annet fordi de lekket internettaktivitet via DNS- eller IP-lekkasjer, mens 85 prosent hadde overdrevne tillatelser eller funksjoner med tydelig potensial for personvernbrudd.

FBI stengte gigantisk botnett skjult som VPN

At problemet ikke er teoretisk, ble tydelig da amerikanske myndigheter i mai 2024 stengte det som ble kalt tidenes største botnett. Nettverket besto av rundt 19 millioner infiserte IP-adresser i mer enn 190 land, og infeksjonskjøretøyet var seks gratis VPN-apper: MaskVPN, DewVPN, PaladinVPN, ProxyGate, ShieldVPN og ShineVPN.

Det amerikanske justisdepartementet slo fast at appene ble spredt via piratkopierte spill og programvare, og at de installerte en skjult proxy-bakdør på ofrenes maskiner. Kriminelle kunne så leie infiserte IP-adresser og bruke dem til bombetrusler, økonomisk svindel og overgrepsmateriale. Den 35 år gamle kinesiske statsborgeren Yunhe Wang ble pågrepet i Singapore og tjente rundt 99 millioner dollar på å selge tilgang til de kaprede maskinene.

FBI oppfordret i etterkant brukere direkte til å avinstallere de navngitte appene og være forsiktige med å laste ned gratis VPN-programvare fra ukjente kilder.

Amerikansk cybermyndighet frarådet personlige VPN

Advarslene har siden bredt seg til myndighetsnivå. Den amerikanske cybersikkerhetsmyndigheten CISA publiserte i desember 2024 en veiledning for mobilkommunikasjon der anbefalingen var kortfattet: ikke bruk personlig VPN.

Begrunnelsen var at gratis og forbrukerrettede VPN-tjenester i praksis bare flytter overvåkingsrisikoen fra internettleverandøren over på en VPN-leverandør som i mange tilfeller har uklare personvernvilkår. Veiledningen ble utgitt i kjølvannet av det omfattende Salt Typhoon-innbruddet mot amerikansk telebransje og var i utgangspunktet rettet mot embetsmenn, men prinsippet gjelder også vanlige forbrukere.

Datatilsynet: Europa har mistet kontrollen

For nordmenn er problemstillingen del av et større bilde. Datatilsynet markerte personverndagen 28. januar 2026 med et seminar om digital suverenitet, der hovedbudskapet var at rundt 80 prosent av europeiske digitale tjenester og infrastruktur i dag leveres av utenlandske aktører.

Når en gratis VPN-app pakker inn norsk nettrafikk og sender metadata videre til et amerikansk annonsenettverk eller et russisk analyseselskap, forsterker den nettopp det avhengighetsforholdet Datatilsynet advarer mot. Det handler ikke lenger bare om personvern, men om hvem som til enhver tid har oversikt over hva den norske befolkningen gjør på nettet.

Slik oppdager du at appen tjener på deg

Et par praktiske sjekker avslører de fleste tvilsomme tjenester før du installerer:

Les personvernvilkårene. Står det at appen kan dele "aggregerte" eller "anonymiserte" data med "partnere" eller "annonsører", betyr det i praksis at dataene dine er en inntektskilde. En seriøs no-logs-tjeneste vil eksplisitt love at trafikkdata verken lagres eller deles.

Sjekk eierskap og hovedkontor. En rekke gratis apper er registrert i land uten personvernlovgivning. Er utvikleren usporbar eller endres den ofte, er det et rødt flagg.

Se på forretningsmodellen. Serverdrift, kryptering og løpende vedlikehold koster penger. Når appen verken tar betalt via abonnement eller viser reklame inne i appen, er inntekten som regel brukerdata eller solgt båndbredde.

Vær skeptisk til rangeringene i app-butikkene. Både Google Play og App Store har ved gjentatte anledninger huset apper som senere er avslørt som spionvare. At en app har millioner av nedlastinger og høy stjerneskala, er ingen garanti for at den er trygg.

Er hovedmålet ditt å beskytte deg mot phishing eller kommersiell overvåking, gir det ifølge CISA-veiledningen ofte mer mening å bruke ende-til-ende-krypterte tjenester som Signal for kommunikasjon, og en anerkjent betalt VPN med dokumentert no-logs-policy, enn å stole på en gratis app hvis inntjening er skjult for deg.