7000 款 VPN 应用的隐私体检：美国下载的 85% 内置追踪器，25% 还在偷偷定位

装 VPN 是为了隐藏行踪，结果行踪被 VPN 自己记了下来。VPN 服务商 Proton 发布的一项研究给出了一个相当扎眼的数字：在美国 App Store 下载的 VPN 应用中，85% 内含追踪器。这项研究以 AppTweak 今年 5 月的下载量和 Exodus Privacy 的追踪器统计为基础，覆盖了超过 7000 款移动端 VPN 应用，NewMobileLife 流動日報 引述了报告内容。

追踪器都收什么：设备型号、网络、运营商全都要

VPN 的本职是加密流量、隐藏身份，启用之后连互联网服务供应商都不该知道你在做什么。但研究显示，85% 的美国 VPN 应用带着收集和分享数据的追踪器，收集内容包括设备 ID、设备型号、网络类型和移动运营商名称。当掌握的独立数据点足够多，就能先把用户归进某个类别，再从分类里锁定到个人，把 VPN 使用行为和收集到的信息连起来，匿名这件事就名存实亡了。

更越界的一类是直接追踪位置：25% 的受查应用会追踪用户位置，其中 64 款通过 GPS 和地理位置数据定位用户，名单里包括 VPN Proxy Master、VPN-Fast、VPN Super、X-VPN 等热门应用。研究还给出一个背景数字：约三分之一的美国人日常使用 VPN。

64 款中国公司持有，31 款借空壳公司藏起来

所有权是这项研究的另一个重点。受查 VPN 中有 64 款由中国企业持有，按当地法律要求，这些公司可能需要向政府提供用户数据；其中 31 款更通过空壳公司隐瞒了这层关联，用户从应用信息页面上根本看不出背后的实际控制方。

苹果的角色：自称守门人，同时在赚这笔钱

报告没有放过平台方。苹果多年来在多宗反垄断诉讼和听证会上反复强调，App Store 审查让它成为用户唯一的保护者，但同一批存在隐私问题的 VPN 应用每卖出一笔订阅，苹果都在抽成。守门人和受益者是同一家公司，这是这项研究最尖锐的一句潜台词。

怎么查自己装的应用干不干净

这项研究用到的 Exodus Privacy 是公开工具，任何人都能查：它的网站和开源客户端会列出某个 Android 应用内嵌的全部追踪器。iOS 侧没有同等粒度的工具，但 App Store 的 App 隐私标签给了另一条线索——「用于追踪你的数据」那一栏里列出的条目越多，这款应用收集的东西就越多。买 VPN 之前花两分钟把标签从头到尾读一遍，比看评分和下载量有用。

挑 VPN 的四条底线

把研究结论翻译成可操作的清单，大概四条。一看所有权：开发公司注册在哪、母公司是谁，空壳公司结构的直接跳过；二看日志政策：零日志不能只是一句宣传语，有没有经过独立审计是分水岭；三看 jurisdiction（司法管辖区）：注册在监控法律严格地区的服务，理论上要配合当地的数据调取要求；四看权限：一个 VPN 应用要通讯录、要短信权限的，动机说不通。

平台责任这道题，苹果躲不开

这项研究发布后，指向 App Store 审查机制的批评大概率会再来一轮。苹果的立场一直是封闭生态换来更严格的审核，但研究里 85% 这个数字戳中的正是这个叙事的软肋：如果审核真能拦住追踪器，这个比例不该这么高。更微妙的是利益结构，App Store 的订阅抽成让苹果从这些应用的销售中直接获益，既当裁判又当运动员的质疑，短期内不会有答案。

留给用户的原则其实简单：隐私工具本身先要经得起隐私检查，装任何一个自称保护你的应用之前，先看看它在收集什么。

给普通读者的落点是务实的：挑 VPN 别只看下载量和评分，先查开发者的所有权归属和隐私政策里有没有零日志承诺，避开会收集设备信息的应用。Proton 自己就是 VPN 服务商，这份研究有天然的立场成分，但它引用的 Exodus Privacy 追踪器数据是公开可查的，装之前花两分钟查一下，比事后发现被追踪划算得多。