Обновлено
Самая дорогая ошибка в приватности — не отсутствие защиты, а уверенность в защите, которой нет. Человек включает VPN, видит зелёную иконку и перестаёт думать об остальном.
Ниже — то, от чего VPN не защищает в принципе. Не потому, что сервис плохой, а потому, что эти угрозы живут вне того участка, за который туннель отвечает.
Содержание
Вредоносные программы
VPN шифрует канал. Он не смотрит, что по этому каналу едет. Скачанный заражённый установщик приедет через туннель точно так же, как приехал бы напрямую, — просто в зашифрованном виде.
Многие сервисы добавляют встроенные блокировщики: у NordVPN это Threat Protection, у Surfshark — CleanWeb. Базовые версии работают по спискам доменов: запрос к известному вредоносному адресу отсекается на уровне DNS. Это полезная мелочь, примерно как блокировщик рекламы. Антивирусом она не является. Продвинутые версии (например, Threat Protection Pro на Windows и macOS) проверяют файлы в момент скачивания, но не сканируют диск и не лечат уже заражённую систему.
Что делать вместо: встроенная защита операционной системы плюс привычка не запускать файлы из непонятных источников. Для Windows — Defender включён и обновляется, этого достаточно большинству.
Фишинг
Поддельная страница банка по HTTPS с валидным сертификатом выглядит для VPN как обычный сайт. Туннель добросовестно доставит ваши логин и пароль злоумышленнику.
Фильтры по спискам ловят часть таких доменов, но фишинговая кампания живёт в среднем меньше суток, а в списки попадает через несколько часов после первых жертв.
Что делать вместо: менеджер паролей — он не подставит данные на чужой домен, даже если вы обмануты визуально. Плюс двухфакторная аутентификация: лучше всего ключ безопасности или passkey — их нельзя выманить на поддельном сайте. Код из приложения надёжнее SMS, но фишинговая страница может перехватить и его.
Всё, что связано с вашими аккаунтами
Здесь самое серьёзное расхождение между ожиданием и реальностью.
Вы включили VPN, зашли в почту, потом в соцсеть, потом в маркетплейс. Все три сервиса знают, кто вы, — вы им представились. IP-адрес в этой картине третьестепенная деталь. Более того, вход из неожиданной страны выглядит подозрительно и регулярно заканчивается блокировкой аккаунта или требованием подтверждения.
Побочный эффект: VPN-адрес используют тысячи людей, и репутация у таких адресов плохая. Отсюда бесконечные капчи, отказы в регистрации и просьбы подтвердить личность.
Что делать вместо: разделять контексты. Разные браузеры или профили под разные задачи, а не надежда на то, что IP что-то скроет.
Куки, трекеры и цифровой отпечаток
Рекламные системы давно не полагаются на IP как на главный идентификатор. Их инструменты:
- Куки и локальное хранилище браузера.
- Встроенные пиксели и скрипты аналитики, которые есть на большинстве сайтов.
- Цифровой отпечаток — набор параметров вашего браузера: версия, разрешение экрана, список шрифтов, поведение графической подсистемы, часовой пояс, язык. Комбинация оказывается достаточно редкой, чтобы узнавать конкретный браузер без всяких куки.
Отпечаток при включении VPN не меняется вообще. Меняется одна строка — IP. А если в отпечатке стоит московский часовой пояс и русский язык браузера, а адрес немецкий, вы становитесь заметнее, а не незаметнее.
Что делать вместо: блокировщик uBlock Origin (в Firefox; в Chrome доступна только облегчённая версия uBlock Origin Lite), изоляция куки между сайтами, отдельный браузер под задачи, где нужна чистота.
Приложения на телефоне
Мобильные приложения получают данные не из сети, а из операционной системы. Разрешение на геолокацию даёт точные координаты — по спутникам, Wi-Fi и сотовым вышкам; туннель к этому отношения не имеет. Модель телефона и данные датчиков движения отдаются напрямую; рекламный идентификатор — тоже, если вы не запретили отслеживание (iOS) или не удалили его (Android). Список установленных программ современные версии Android приложениям по умолчанию ограничивают.
Для приложения, которому вы выдали доступ к геопозиции, подмена IP теряет смысл: оно и так знает, где вы.
Что делать вместо: ревизия разрешений в настройках, удаление рекламного идентификатора (Android) или запрет запросов на отслеживание (iOS), удаление приложений, которыми вы не пользуетесь.
Ваше собственное устройство
Если на компьютере работает программа, записывающая нажатия клавиш, или в браузере стоит расширение с широкими правами, — всё происходит до того, как данные попадут в туннель. Шифровать уже украденное бессмысленно.
Расширения особенно недооценивают: разрешение «читать и изменять данные на всех сайтах» даёт полный доступ к содержимому страниц, включая то, что вы вводите.
Что делать вместо: периодически просматривать список расширений и удалять всё, чем не пользуетесь активно.
Утечки баз данных
Сервис, которому вы отдали почту, телефон и адрес доставки, однажды может их потерять. Через какой канал вы эти данные отправляли — роли не играет.
Что делать вместо: отдельная почта для регистраций, разные пароли, подписка на уведомления об утечках.
То, что вы рассказываете сами
Фотография с геометкой, публичный профиль, ответ в комментариях с упоминанием своего города, одинаковый ник на десяти площадках. Ни один туннель этого не отменяет — а связать аккаунты по совпадающему нику проще, чем по IP.
Правовая сторона
VPN — коммерческая компания в конкретной юрисдикции. К ней можно прийти с официальным запросом.
Дальше всё определяется тем, что у неё есть в наличии. Если журналы соединений не ведутся, отдавать нечего — такие случаи проверялись на практике: Private Internet Access в 2018 году подтвердил это в суде, а из офиса Mullvad в 2023-м полиция ушла с обыска без данных клиентов. Если ведутся, хотя бы в виде временных меток подключений, — возможна корреляция по времени.
Отсюда следует простая вещь: обещание на главной странице ничего не значит, значение имеет проверяемая практика — независимые аудиты, отчёты о полученных запросах, юрисдикция. Разбор этих критериев — в отдельном разделе. Для тех, кого не устраивает идея доверять кому-либо в принципе, есть вариант собственного сервера, хотя он меняет одни вопросы на другие: подробности здесь.
Небольшой честный итог
VPN закрывает конкретный участок — от вашего устройства до точки выхода в сеть. За пределами этого участка он бесполезен, и это нормально: молотку не ставят в вину то, что им неудобно закручивать шурупы.
Проблемы начинаются, когда инструмент продают как универсальное решение. Тогда человек экономит на том, что реально работает — на обновлениях, менеджере паролей и втором факторе, — и платит за иллюзию.
О том, где проходит граница между приватностью и анонимностью и что о вас видно при включённом туннеле, — в материале «VPN и анонимность».
Короткие ответы
Заменяет ли VPN антивирус?
Нет. Встроенные блокировщики режут вредоносные домены по спискам; некоторые ещё проверяют файлы при скачивании, но уже заражённое устройство не лечат.
Узнает ли сайт, кто я, если включён VPN?
Если вы вошли в аккаунт — разумеется. Плюс остаются куки и цифровой отпечаток браузера.
Почему при включённом VPN везде капчи?
Адрес сервера делят множество людей, у таких адресов низкая репутация. Помогает смена локации или выделенный IP — но он закреплён лично за вами, так что приватности с ним меньше.
Скрывает ли VPN геолокацию на телефоне?
Нет. Приложения с разрешением на геопозицию получают координаты напрямую от системы.
Меня найдут, если я нарушу закон под VPN?
При серьёзном расследовании — вполне вероятно. Через запрос к сервису, оплату, привычки, аккаунты и корреляцию по времени.
Тогда зачем VPN вообще нужен?
Чтобы убрать наблюдателя между вами и интернетом и сменить точку выхода. Это полезно и достижимо — в отличие от «полной анонимности».