VPN gratuitas de Android: filtran tráfico y arriesgan tu BYOD

En 2016, investigadores de CSIRO's Data61 (Australia) y del International Computer Science Institute de la Universidad de California en Berkeley publicaron el análisis más citado hasta la fecha sobre apps VPN gratuitas para Android: 283 aplicaciones descargadas de Google Play, todas ellas solicitando el permiso VPN del sistema operativo. El estudio, presentado en la conferencia ACM Internet Measurement Conference (IMC) 2016, combinó análisis estático del código, análisis dinámico del tráfico generado y comprobación cruzada contra el motor de VirusTotal para detectar comportamiento malicioso. No analizaron promesas de marketing ni políticas de privacidad: midieron qué hacía realmente el tráfico una vez la app tenía el control de la interfaz de red del teléfono. El resultado desmontó la premisa comercial de la categoría completa: la palabra 'VPN' en el nombre de una app no garantiza cifrado, no garantiza anonimato y, en varios casos, ni siquiera garantiza que el tráfico salga del dispositivo por un canal distinto al habitual. Casi una década después, la lógica de negocio de estas apps —monetizar el acceso gratuito con publicidad y datos— no ha cambiado, y Google Play sigue sin exigir auditorías independientes de tráfico para aprobar una app de esta categoría.

El permiso VPN de Android (la clase VpnService del sistema) no obliga a nada: solo le dice al sistema operativo que una app va a recibir una copia de todos los paquetes de red del dispositivo antes de que salgan a internet. Qué hace la app con esos paquetes depende enteramente de su código, y ahí está el punto ciego que explota buena parte de la categoría gratuita. Una app puede declarar el permiso VPN, mostrar un icono de candado y una animación de 'conectando', y aun así reenviar el tráfico sin cifrar a un servidor propio, o peor, interceptarlo activamente para inspeccionarlo, modificarlo e inyectar publicidad antes de dejarlo continuar su camino. El estudio de CSIRO/ICSI encontró que una parte significativa de las apps analizadas hacía exactamente esto: actuaban como proxy local que descifra, lee y vuelve a cifrar el tráfico HTTPS del usuario para insertar anuncios propios, un patrón técnicamente indistinguible de un ataque man-in-the-middle clásico. La diferencia entre 'app de publicidad agresiva' y 'vector de secuestro de sesión' es solo el destino de esos datos capturados en claro: cookies de sesión, tokens de autenticación y cabeceras de aplicaciones corporativas pasan por ese mismo punto intermedio, y nada impide que también se registren o se reenvíen a un tercero.

Por qué el permiso VPN de Android es binario, no fraccionable

Android no ofrece, de fábrica, una forma de conceder el permiso VPN 'solo para estas apps' y excluir el resto: una vez el usuario acepta la solicitud, la interfaz virtual capturará el tráfico de todo el dispositivo, incluida cualquier app corporativa instalada en el mismo terminal. El llamado split-tunneling selectivo por app existe en algunas implementaciones de VPN corporativas serias, pero requiere que el propio proveedor lo implemente y que el dispositivo esté gestionado por un perfil de empresa (EMM/MDM); una VPN gratuita de consumo no tiene ningún incentivo para ofrecer esa granularidad, y de hecho le interesa lo contrario: ver todo el tráfico posible para maximizar los ingresos publicitarios. En un escenario BYOD sin gestión de dispositivo, esto significa que un empleado que instala una VPN gratuita en su móvil personal para ver contenido geobloqueado en una app de streaming está, sin saberlo, enrutando también las sesiones del correo corporativo, el CRM o las herramientas de gestión a través de ese mismo punto ciego. La empresa no tiene visibilidad de esa instalación ni forma de impedirla si el dispositivo no está enrolado en ningún sistema de gestión, y el empleado, salvo que trabaje en el sector, no tiene motivos para sospechar que una app de VPN gratuita puede ser el eslabón más débil de su seguridad.

La inyección de publicidad como excusa técnica para el MITM

• Muchas apps VPN gratuitas incluyen bibliotecas de terceros para tracking y publicidad embebidas en el propio SDK, lo que amplía la exposición de datos del usuario más allá del tráfico de red (Ikram et al., 2016).
• El estudio detectó apps con presencia de malware o comportamiento marcado como malicioso por motores antivirus en VirusTotal, pese a estar publicadas y disponibles en Google Play en el momento del análisis.
• Parte de las apps analizadas interceptaba activamente conexiones cifradas del usuario mediante certificados y proxies propios, la misma técnica que usaría un atacante para robar tokens de sesión en un ataque man-in-the-middle.
• Ninguna de estas prácticas aparecía descrita con claridad en la ficha comercial de la app en la tienda de aplicaciones.

En un móvil sin ningún uso profesional, una VPN gratuita mal diseñada es un problema de privacidad del propio usuario: sus hábitos de navegación quedan expuestos a un tercero que monetiza esos datos. En un dispositivo BYOD que además accede a correo corporativo, a un CRM, a herramientas de gestión de proyecto o a una VPN de empresa, el mismo fallo técnico convierte el móvil personal en la puerta de entrada más débil de todo el perímetro corporativo. La sesión de una aplicación SaaS corporativa no distingue si el token que la autentica viaja por una red doméstica, una 4G o el túnel local de una VPN gratuita: si ese token pasa en claro por un proxy que lo registra, el atacante no necesita robar ninguna contraseña, le basta con reproducir esa sesión ya autenticada. La mayoría de las pymes españolas que permiten BYOD no tienen ningún control técnico sobre qué apps de terceros instala el empleado en su propio dispositivo, y muchas ni siquiera cuentan con una política BYOD escrita que mencione explícitamente el uso de VPN de terceros. El resultado habitual es que la empresa invierte en proteger su perímetro de red y sus servidores, mientras el punto de entrada más accesible para un atacante sigue siendo el móvil personal de un empleado con una app gratuita mal auditada.

La reacción reflexiva de muchas direcciones de IT al conocer este tipo de hallazgos es exigir la instalación de un perfil MDM completo en el móvil personal del empleado, o directamente prohibir el BYOD. Ninguna de las dos soluciones funciona bien en la práctica para una pyme española de tamaño medio. Un MDM completo sobre un dispositivo personal suele topar con la resistencia legal y laboral del empleado, que legítimamente no quiere que la empresa tenga capacidad de borrado remoto o visibilidad sobre su móvil privado, y en España la relación entre vigilancia de dispositivo personal y derecho a la intimidad del trabajador no es trivial. Prohibir el BYOD sin más eleva el coste de dotar de terminal corporativo a toda la plantilla y genera fricción real en equipos que ya trabajan con su propio móvil desde hace años. Nuestra recomendación en Blurtek no es la solución máxima sino la proporcional: separar la gestión del dispositivo completo de la gestión de las aplicaciones corporativas que se instalan en él, algo que la gestión de aplicaciones móviles (MAM) permite sin tocar el resto del teléfono del empleado.

• Prohibir explícitamente, por contrato o política interna, el uso de VPN gratuitas de terceros no auditadas en cualquier dispositivo que acceda a sistemas corporativos.
• Adoptar gestión de aplicaciones móviles (MAM) en lugar de MDM completo cuando el dispositivo es personal, para aislar el tráfico corporativo sin invadir el resto del teléfono.
• Aplicar autenticación condicional a nivel de aplicación, no solo de red, de forma que una sesión SaaS corporativa exija reautenticación si detecta un cambio de red o de huella del dispositivo.
• Reducir la vida útil de los tokens de sesión en las aplicaciones corporativas críticas para acortar la ventana de explotación si un token queda expuesto.
• Formar a la plantilla en un mensaje simple y verificable: el permiso VPN de Android da acceso a todo el tráfico del teléfono, no solo al de la app que lo pide.
• Auditar, aunque sea una vez al año, qué apps VPN o de optimización de red tiene instaladas la plantilla en los dispositivos con acceso corporativo.

En la mayoría de las pymes que auditamos, la política BYOD existe en el papel pero nadie ha verificado nunca qué apps de red tienen instaladas los dispositivos que acceden a los sistemas de la empresa. El problema no es la falta de normas, es la falta de verificación.