La cronología de incidentes de los VPN
Cada escándalo de registros, cada filtración de datos, cada confiscación y cada venta de datos que pudimos documentar - desde HideMyAss y los registros de LulzSec entregados (2011) hasta las redadas que no encontraron nada (Mullvad 2023). Ese es el cajón de pruebas del sector.
- 2026
El cofundador de Mullvad revelado como principal financiador de un partido populista sueco reputation
La revista semanal sueca Flamman informó, a partir de la propia declaración de ingresos del Orebropartiet, que el cofundador de Mullvad, Daniel Berntsson, donó 5 millones de coronas suecas en 2025 al Orebropartiet, un partido populista que defiende una "remigración integral". Mullvad publicó una declaración (20 de julio de 2026) calificándolo como una donación privada del individuo, sin participación de la empresa. Reporte de fuente única con respuesta del operador registrada.
- 2026
Darktrace documenta nodos de salida de Hola usados para malware y minería de criptomonedas other
Once años después del escándalo de 2015 con nodos de salida, Darktrace reportó el uso criminal de la red proxy impulsada por usuarios de Hola para distribuir malware y minería de criptomonedas. El modelo de negocio de Hola sigue siendo enrutar tráfico de extraños a través de las máquinas de sus usuarios.
- 2026
Operación Saffron desmantela 'First VPN', utilizada por grupos de ransomware seizure
Una operación global de aplicación de la ley incautó un servicio de VPN blindado ('First VPN') utilizado por aproximadamente dos docenas de grupos de ransomware, abarcando 33 servidores, y arrestó a un administrador. Continúa la estela de desmantelamientos de DoubleVPN (2020) y VPNLab (2022).
- 2026
Las autoridades holandesas incautan un servidor de Windscribe, supuestamente sin orden judicial seizure
Windscribe informó que las fuerzas de seguridad neerlandesas tomaron uno de sus servidores a principios de febrero de 2026, alegando la empresa que ocurrió sin orden judicial; no se expuso ningún dato de usuario. Sigue al decomiso en Ucrania de 2021: Windscribe continúa operando tras incautaciones sin perder su política de no registros.
- 2026
Perfect Privacy desaparece sin decir palabra other
Perfect Privacy, una vez considerada una VPN suiza de múltiples saltos y sin registros, dejó de responder en 2025 y su sitio estuvo completamente fuera de línea para finales de enero de 2026; sin aviso de cierre, sin proceso de reembolso, el dinero de los suscriptores perdido. La historia de advertencia para las pequeñas VPN de privacidad y para pagar anualmente.
- 2025
El cliente de Linux de PureVPN filtra tráfico IPv6 tras reconectar vulnerability
Un investigador independiente documentó que los clientes de Linux de PureVPN (GUI y CLI) filtran tráfico IPv6 fuera del túnel tras una transición de red, incluso con el kill switch activado, mientras que la interfaz indica 'conectado'. Sin solución al momento de la divulgación; el proveedor ya había afirmado cobertura en auditorías del kill switch.
- 2025
El cofundador de Windscribe absuelto en caso penal griego: no había registros que entregar logs-court
El cofundador de Windscribe fue acusado penalmente en Grecia (mediante un tratado MLAT de INTERPOL) después de que una de sus IPs de salida se usara para acceder ilegítimamente a un servidor. El caso se desestimó a favor de Windscribe porque la empresa demostró que no guarda registros de usuarios. Es el segundo proveedor, tras PIA y Mullvad, cuya afirmación de 'sin registros' resiste un proceso penal.
- 2025
Los nuevos propietarios de VPNSecure cancelan todas las suscripciones de por vida ownership-scandal
Tras una venta opaca (la empresa australiana ya se había trasladado a Hong Kong en 2019), los nuevos propietarios de VPNSecure desactivaron todas las cuentas de 'por vida' en abril de 2025, alegando que no sabían que esos planes existían, y luego no ofrecieron reembolsos. Un escándalo de derechos del consumidor y una advertencia sobre los acuerdos de VPN de por vida.
- 2024
TunnelVision (CVE-2024-3661): truco de enrutamiento DHCP que expone el tráfico de la VPN vulnerability
Leviathan demostró que un servidor DHCP malicioso puede enviar configuraciones de enrutamiento que filtran el tráfico del cliente de VPN fuera del túnel, sin que afecte el kill switch. Fallo de DHCP de décadas de antigüedad, exposición generalizada en la industria; ningún proveedor individual es responsable, todas las plataformas principales están afectadas.
- 2024
Documentos judiciales desclasificados alegan que Onavo descifró el tráfico de competidores other
Documentos desclasificados en el caso FTC contra Meta (marzo de 2024) supuestamente muestran que la VPN Onavo de Meta eliminó el cifrado SSL del tráfico analítico de rivales y pagó a usuarios para que la instalaran; la evidencia más contundente hasta ahora de que las VPN gratuitas operadas por empresas de publicidad son escuchas en espera. Meta cuestiona esta caracterización; los documentos hablan por sí mismos.
- 2024
Avast multada con 16,5 millones de dólares por la FTC por vender datos de navegación a través de Jumpshot data-sale
El gigante de antivirus/VPN Avast recolectó datos detallados de navegación de sus propios productos y los vendió a través de su filial Jumpshot (expuesto en enero de 2020 por PCMag y Motherboard). El acuerdo de la FTC en febrero de 2024 prohibió a Avast vender datos de navegación e impuso una sanción civil de 16,5 millones de dólares. Avast también posee HideMyAss y AVG Secure VPN (a través de Gen Digital).
- 2023
TunnelCrack: la mayoría de los clientes de VPN filtran tráfico a atacantes locales vulnerability
La investigación académica mostró que casi todos los clientes de VPN probados (Windows, macOS, iOS, Linux) eran vulnerables a trucos de 'localnet' o 'IP del servidor' que enrutan el tráfico fuera del túnel. Afecta al diseño de los clientes, no a proveedores específicos; varios (incluido Mullvad) implementaron mitigaciones tras una divulgación coordinada.
- 2023
La policía sueca registra Mullvad y se va con las manos vacías seizure
Agentes con una orden de registro inspeccionaron las oficinas de Mullvad en Gotemburgo; como Mullvad no almacena datos de clientes, no se incautó nada y ningún cliente se vio afectado. Un precedente ejemplar sobre cómo un proveedor sin registros maneja un allanamiento.
- 2022
La directiva de CERT-In en la India obliga al registro durante 5 años; proveedores retiran servidores other
La directiva de CERT-In exigía que los proveedores de VPN mantuvieran registros de suscriptores y direcciones IP durante 5 años y reportaran incidentes en 6 horas. Proton, Mullvad y otros retiraron servidores físicos en la India antes que cumplir; decenas de aplicaciones de VPN fueron retiradas de las tiendas de aplicaciones indias. Un régimen de registro impuesto por el Estado, no un escándalo, pero con el mismo efecto.
- 2022
Europol desmantela VPNLab.net seizure
Una operación coordinada por Europol incautó la infraestructura de VPNLab.net, alegando que el servicio era utilizado por operadores de ransomware y malware. Las VPN utilizadas por delincuentes son una categoría de incautación; las VPN para consumidores no se ven afectadas por estas acciones.
- 2021
Zerodium ofrece recompensas por exploits de 0 días en clientes de VPN para Windows vulnerability
El intermediario de exploits Zerodium anunció que pagaría más de 1 millón de dólares por vulnerabilidades de 0 días en los clientes para Windows de NordVPN, ExpressVPN y Surfshark, especialmente aquellas que desanonimicen usuarios o permitan ejecutar código. En la misma temporada, ExpressVPN reveló una vulnerabilidad de elevación de privilegios por abuso de PATH en su propia aplicación para Windows.
- 2021
Kape compra ExpressVPN y ahora controla 4 grandes VPN además de sitios de reseñas ownership-scandal
Kape Technologies adquirió ExpressVPN por 936 millones de dólares, colocando a una empresa exdedicada al adware al frente de ExpressVPN, CyberGhost, PIA y ZenMate, y, mediante adquisiciones, también de populares sitios de reseñas de VPN considerados 'independientes' (vpnMentor, Wizcase). Consolidación del sector y conflictos de intereses en un mismo grupo empresarial.
- 2021
El CIO de ExpressVPN expuesto como operativo del Proyecto Raven en Emiratos Árabes Unidos ownership-scandal
Reuters reveló que Daniel Gericke, CIO de ExpressVPN, fue un operativo pagado en el programa de vigilancia Proyecto Raven de los Emiratos Árabes Unidos y que había firmado un acuerdo de no divulgación tipo NSA, además de un acuerdo de procesamiento diferido en EE.UU.; Vice mostró que ExpressVPN conocía 'hechos clave'. Permaneció en el cargo; la NSA lo multó con 335.000 dólares en 2023. Un veterano de vigilancia dirigiendo la seguridad de un producto de privacidad.
- 2021
Servidores de Windscribe incautados en Ucrania - no se encontraron registros de usuarios seizure
Las autoridades ucranianas incautaron servidores de Windscribe en Kiev por un usuario abusivo. Los servidores no tenían cifrado completo del disco (una falla operativa real que Ars señaló), pero no existían registros de conexión para entregar; la afirmación de no mantener registros resistió el contacto con las fuerzas del orden.
- 2021
Datos de usuarios de GeckoVPN / ChatVPN / SuperVPN vendidos en foros de piratería data-sale
A finales de febrero de 2021, un vendedor ofreció un conjunto combinado de ~10 millones de usuarios (el vendedor afirmó 360 millones de registros) de SuperVPN, GeckoVPN y ChatVPN: correos electrónicos, contraseñas en texto claro, información de pago e identificadores de dispositivos. Troy Hunt lo calificó como prueba de que la confianza en un proveedor de VPN es crucial: estas aplicaciones registraron lo que prometieron no registrar, y luego lo filtraron.
- 2020
FBI/Europol incautan servidores de DoubleVPN seizure
Una operación internacional incautó los servidores e infraestructura de DoubleVPN, alegando que la VPN de conexión anidada protegía a grupos de ransomware y phishing. Fue la primera de las actualizaciones modernas contra VPNs criminales.
- 2020
OVPN obtiene orden judicial: tribunal sueco rechaza medida cautelar de empresa cinematográfica: no hay datos que entregar logs-court
En septiembre de 2020, el Tribunal de Patentes y Mercado de Suecia rechazó una medida informativa presentada por Rights Alliance contra OVPN: los expertos designados no pudieron vincular ningún usuario con actividad de torrent y OVPN no entregó datos de usuarios. Documentado en el blog del operador con registros judiciales.
- 2020
La aplicación 'sin registros' UFO VPN filtra base de datos de 1.2 TB, ~23 millones de usuarios breach
UFO VPN, propiedad china (registrada en Hong Kong por Dreamfii), anunciaba una política estricta de no registros en su propia publicidad mientras dejaba expuesto un clúster Elasticsearch con 1.2 TB de registros de usuarios, contraseñas en texto claro y registros de sesiones de VPN para ~23 millones de cuentas. La misma oleada de investigaciones señaló otros aplicaciones gratuitas de VPN de propiedad china ese verano.
- 2020
SuperVPN filtra 10 millones de registros de usuarios breach
El VPN gratuito para Android SuperVPN dejó expuestos registros de usuarios - correos electrónicos, contraseñas en forma débil, datos de pago, identificadores de dispositivos - circulando desde febrero de 2020 (10 millones de registros; más tarde apareció un conjunto de datos mayor de ~360 millones de registros). Una de las peores filtraciones de datos de VPN gratuita registradas.
- 2019
Grupo de fugas de 2019: aparecen violaciones de servidores de TorGuard y VikingVPN junto con la de NordVPN breach
Un conjunto de configuraciones de servidores de las violaciones de 2017/2018 de NordVPN, TorGuard y VikingVPN fue publicado públicamente ('M' en 8chan/Telegram), con afirmaciones de claves TLS capturadas. TorGuard y VikingVPN confirmaron violaciones anteriores de infraestructura alquilada; los tres promocionaban políticas de no registro.
- 2018
Apple prohíbe la VPN Onavo de Facebook por recolección de tráfico data-sale
Apple expulsó a Onavo Protect de Facebook de la App Store por recopilar datos de uso de aplicaciones más allá de su propósito declarado; Facebook cerró Onavo en 2019. Documentos desclasificados en marzo de 2024 alegaron que Onavo incluso descifró tráfico analítico de competidores (Snap, YouTube).
- 2018
La política de cero registros de PIA resiste en la justicia, dos veces logs-court
En un caso del FBI en 2016 (amenazas de bomba) y nuevamente en junio de 2018, PIA fue citado judicialmente para entregar registros de usuarios y no pudo proporcionar nada más allá de grupos compartidos de IPs de servidores de VPN: ambos casos documentados en registros judiciales. La afirmación de cero registros con mejor respaldo probatorio en la industria.
- 2018
Servidor de terceros de NordVPN comprometido; revelado 19 meses tarde breach
Un atacante accedió a un servidor alquilado de NordVPN en un centro de datos finlandés en marzo de 2018, posiblemente extrayendo material de claves OpenVPN/TLS; NordVPN lo reveló solo en octubre de 2019 tras surgir el grupo de fugas de 2019. La empresa dice que no se expusieron nombres de usuario, contraseñas ni tráfico; la revelación tardía es el escándalo.
- 2017
Los registros de PureVPN ayudaron al FBI a identificar a un supuesto acosador cibernético logs-proven
PureVPN, vendido como 'sin registros', produjo registros de conexión que ayudaron al FBI a arrestar a un supuesto acosador cibernético en Massachusetts; la propia presentación judicial del Departamento de Justicia muestra los registros. PureVPN luego dijo que solo registraría 'errores de conexión', una distinción que nadie pudo auditar.
- 2016
La plataforma de adware Crossrider cambia de nombre a Kape Technologies adware
Crossrider, cuya plataforma de desarrolladores monetizaba instaladores de navegadores infectados con adware, cambió su nombre a Kape ('tecnología de privacidad') en 2016 y comenzó a comprar VPN: CyberGhost (2017), ZenMate, PIA (2019). La historia de adware está documentada en las propias páginas de detección de Malwarebytes; Kape afirma haber abandonado ese negocio.
- 2016
PIA se retira de Rusia en lugar de operar bajo incautación de servidores seizure
Tras comenzar las autoridades rusas a incautar servidores de VPN, Private Internet Access eliminó por completo su presencia en Rusia en lugar de operar bajo incautación: un precedente positivo, salir del mercado en vez de cumplir o registrar datos.
- 2016
IPVanish, una VPN de 'cero registros', entregó registros de conexión a DHS/HSI logs-proven
Documentos judiciales mostraron que IPVanish entregó al Departamento de Seguridad Nacional la IP real de un cliente de Comcast, marcas de tiempo de sesión y nombre de host en 2014, a pesar de anunciar una política estricta de no registro; un post en Reddit denunció el caso en 2016 y TorrentFreak confirmó los documentos completos en 2018. IPVanish luego fue vendida dos veces más (StackPath en 2017, j2 Global/Ziff Davis en 2021).
- 2016
Proxy.sh retira una entrada de su aviso de garantía, insinuando una orden de silencio canary-gone
Proxy.sh eliminó una línea de su aviso de garantía que cubría incautaciones de nodos o órdenes de silencio, indicando implícitamente que podría estar bajo una orden secreta. La única muerte documentada de un aviso de garantía en un proveedor de VPN.
- 2015
Hola convierte a más de 10 millones de usuarios en nodos de salida; el ancho de banda se vende a través de Luminati (más tarde Bright Data) other
Investigadores demostraron que la versión gratuita de Hola convierte las máquinas de los usuarios en nodos de salida; un atacante usó salidas de Hola para un ataque de denegación de servicio (DDoS) contra 8chan, y el mercado de ancho de banda de Hola (Luminati, posteriormente separado como Bright Data) comercializó ese mismo tráfico. Modelo de negocio basado en la venta de ancho de banda utilizando las IPs de los usuarios.
- 2013
El proveedor de VPN Proxy.sh analizó el tráfico del servidor para atrapar a un hacker logs-proven
Proxy.sh confirmó que monitoreó el tráfico de un usuario específico en un nodo de EE. UU. para identificar a un acosador/hacker tras recibir correos electrónicos de la víctima. Fue algo divulgado y limitado, pero prueba que el proveedor puede y lo hará leer tráfico en sus servidores.
- 2011
Los registros de HideMyAss ayudan a condenar a un miembro de LulzSec logs-proven
HideMyAss publicó una entrada en su blog confirmando que entregó al FBI los registros de conexión del usuario 'recoded' (Cody Kretsinger), quien se declaró culpable del hackeo a Sony Pictures y fue sentenciado en 2013. El propio operador admitió que conserva datos suficientes para identificar usuarios.