Las aplicaciones rusas buscan tu VPN y el Estado quiere esos datos

Si vive en Rusia y abre una aplicación bancaria o un marketplace, el software de su teléfono casi con seguridad está comprobando si hay una VPN activa, y buena parte de esas aplicaciones envía el resultado a sus propios servidores. No es una sospecha de foro sobre privacidad: sale del análisis de las treinta aplicaciones Android rusas más instaladas. Y pesa justo esta semana, porque Roskomnadzor acaba de tumbar más de veinte servicios VPN a la vez.

Qué encontró el análisis de treinta aplicaciones

RKS Global, el grupo de derechos digitales fundado por el abogado especializado Sarkis Darbinián, descompiló los archivos APK de treinta aplicaciones Android rusas muy populares y las revisó contra 80 puntos de control repartidos en 12 categorías. En la primera ronda, publicada el 10 de abril de 2026, 22 de las 30 aplicaciones detectaban que había una VPN encendida, y 19 de ellas enviaban esa señal a sus propios servidores. En la comprobación de finales de abril, las treinta ya detectaban la VPN.

La lista no está hecha de utilidades desconocidas, sino del software que la gente abre varias veces al día.

• Banca: Sberbank Online, T-Bank, VTB y Alfa-Bank incorporan detección de VPN.
• Marketplaces y reparto: Ozon, Megamarket y Samokat.
• Ecosistemas: Yandex Browser y Yandex Maps, además de los servicios de VK, incluido Odnoklassniki.
• El acceso más profundo: siete aplicaciones no se quedan en el sí o no. Wildberries, Ozon, Megamarket, 2GIS, MTS, RuStore y Odnoklassniki extraen la lista completa de clientes VPN instalados en el dispositivo.

Ese último grupo es el que importa. Saber que hay un túnel levantado es una cosa. Saber qué herramientas concretas mantiene instaladas una persona, incluidas las que no está usando en ese momento, es un inventario de conducta y no una comprobación de seguridad.

El Estado pidió a las plataformas que devolvieran los hallazgos

El 30 de marzo de 2026, el titular del Ministerio de Desarrollo Digital, Maksut Shadáyev, celebró una reunión a puerta cerrada con representantes de más de veinte grandes empresas de internet. Según RBC, cuya información recogieron ampliamente los medios rusos, se les pidió restringir el acceso a los usuarios con VPN activa antes del 15 de abril. Las plataformas recibirían de Roskomnadzor las listas de direcciones IP de VPN ya identificadas, junto con recomendaciones para detectar y bloquear esos servicios por su cuenta.

La cláusula que convierte una función de detección en una maquinaria de aplicación es el retorno: los datos que las empresas recojan sobre nuevas VPN deben ir a los órganos de supervisión para que la lista común de bloqueo siga creciendo. La palanca discutida fue comercial y no penal: salida de las listas blancas oficiales, pérdida de beneficios fiscales del sector IT, retirada de la acreditación IT y exclusión del listado de software de preinstalación obligatoria.

Agosto: la misma lógica llevada al alojamiento

El 3 de agosto de 2026, RBC describió la siguiente fase, dirigida ya a la infraestructura. Los proveedores de alojamiento vigilarían las direcciones IP incluidas en la lista de excepciones que mantiene el centro de monitorización de Roskomnadzor. Si en una dirección se detecta infraestructura VPN de forma repetida durante una semana, el proveedor recibe un requerimiento y dispone de un día para responder. A un cliente verificado solo con número de teléfono o tarjeta se le puede cortar en treinta minutos, mientras que a uno verificado mediante Gosuslugi o contrato de empresa se le pediría primero retirar la infraestructura. Los proveedores considerados poco colaboradores se arriesgan a que se restrinjan subredes enteras.

Un día después, el 4 de agosto, más de veinte servicios VPN cayeron a la vez al cortarse subredes completas de alojadores. Ese giro lo contamos en nuestro artículo sobre el paso de bloquear las aplicaciones VPN a bloquear su alojamiento.

Qué está documentado y qué es deducción

Esta historia se cuenta con facilidad más fuerte de lo que es, así que conviene separar.

1. Documentado: el código de detección está en las aplicaciones, parte de él recoge el inventario de clientes VPN instalados y parte de los datos viaja a los servidores de las empresas. El estudio es público y reproducible a partir de los mismos APK.
2. Documentado: las autoridades pidieron formalmente a las plataformas que devolvieran sus hallazgos sobre VPN a los reguladores para ampliar la lista de bloqueo. Esto se apoya en fuentes de RBC y no en una norma publicada: nunca se mostró un documento oficial.
3. Deducción: que la lista concreta usada el 4 de agosto se construyera con datos recolectados por aplicaciones bancarias y marketplaces. Darbinián enlaza el despliegue de esos módulos en primavera con la escalada del verano, y la secuencia resulta sugerente, pero no se ha publicado prueba alguna que ate esa lista a esa telemetría.

Qué cambia para quien usa VPN

El cambio práctico es que eludir bloqueos ya no es solo una carrera entre protocolos y filtros. Ahora hay un segundo canal que pasa por software que el propio usuario instaló de forma voluntaria y al que resulta difícil renunciar, porque la alternativa es perder el acceso a la cuenta bancaria o al pedido de la compra. Desinstalar la aplicación de un marketplace es una opción real para unos y ninguna opción para otros.

También cambia en qué fijarse al elegir proveedor. Aguantar el filtrado a nivel de red es solo la mitad del problema cuando la otra mitad es un inventario tomado en el propio teléfono. Por eso pesa más una infraestructura que no dependa de una única dirección accesible, y la capacidad de cambiar de puntos de entrada con rapidez, que un puesto en la tabla de velocidad.