Turbo VPN mostrava «connesso» mentre il tuo IP reale restava visibile
Il client Windows di Turbo VPN segnalava una connessione attiva mentre l'indirizzo IPv4 reale dell'utente restava visibile. TechRadar ha pubblicato la scoperta questa settimana, e all'azienda sono serviti due aggiornamenti per fermare le fughe: la build d'emergenza 3.7.0.0 è arrivata solo dopo che i ricercatori hanno inviato un secondo pacchetto di prove tecniche. La parte pericolosa è che nulla sembrava sbagliato. L'app diceva connesso, e non c'era motivo di dubitarne.
L'app non costruiva alcun tunnel
Il dettaglio più utile non è che qualcosa sia uscito, ma perché. Il protocollo proprietario Lepus non creava un tunnel cifrato di sistema, come fa normalmente una VPN. Avviava invece un processo ShadowsocksR locale, attivava l'impostazione proxy di Windows e teneva un proxy sulla porta 46288.
È questa distinzione a decidere cosa sia protetto. Un proxy configurato nelle impostazioni di Windows intercetta le applicazioni che rispettano quell'impostazione, cioè soprattutto i browser. Tutto il resto continua a usare la connessione ordinaria: traffico di fondo del sistema operativo, messaggistica desktop, servizi di aggiornamento, strumenti da riga di comando. L'interfaccia continua a dire connesso, perché dal punto di vista dell'app il proxy è attivo. L'utente vede il verde e presume che copra tutta la macchina.
Sono serviti due aggiornamenti
Dopo la prima segnalazione Turbo VPN ha rilasciato una correzione. Non è bastata. La versione 3.6.0.0 continuava a far uscire indirizzi IPv6, e non solo sui protocolli proprietari Lepus e LinkSentinel ma anche su connessioni OpenVPN standard. Solo dopo ulteriori prove tecniche è arrivata la versione 3.7.0.0, che blocca l'IPv6 non cifrato lato client e costringe il traffico nel tunnel IPv4 cifrato. I test confermano che questa build tiene.
Vale la pena tenere netto il perimetro: le fughe descritte sono state trovate nel client Windows. Non è un motivo per stare tranquilli sulle app mobili, ma è ciò che è stato testato e pubblicato.
Non era il primo avvertimento su queste app
Con il contesto, l'architettura si spiega meglio. Nel 2025 Citizen Lab ha pubblicato a FOCI una ricerca sui legami nascosti tra app VPN. In otto applicazioni distribuite da Innovative Connecting, Autumn Breeze e Lemon Clove, tra cui Turbo VPN, Snap VPN e VPN Proxy Master, con oltre 380 milioni di download complessivi, sono emersi codice condiviso, dipendenze comuni e una password Shadowsocks scritta nel codice. Una password condivisa e scritta nel codice significa che chiunque la estragga può decifrare il traffico che dovrebbe proteggere.
La stessa ricerca segnala cifrari obsoleti, raccolta non dichiarata di dati di posizione, vulnerabilità all'iniezione di pacchetti, codice offuscato che ostacola l'analisi e legami societari delle tre aziende con Qihoo 360, società cinese di cybersicurezza sanzionata dagli Stati Uniti nel 2020. Fa anche un'osservazione che spiega l'architettura: sono servizi a livello applicativo costruiti su Shadowsocks, un protocollo pensato per attraversare il Great Firewall, non per garantire privacy.
Come controllare la vostra VPN in cinque minuti
Vale per qualsiasi fornitore, anche per quelli buoni. Prima connettetevi, poi verificate:
- Aprite una pagina di test delle fughe e verificate che l'indirizzo IPv4 mostrato sia quello del server e non il vostro.
- Controllate l'IPv6 sulla stessa pagina. Le fughe IPv6 sono il guasto più comune, perché molti client incapsulano l'IPv4 e ignorano silenziosamente l'IPv6.
- Guardate i server DNS elencati. Se appartengono al vostro operatore di casa, lui vede la vostra navigazione a prescindere dal tunnel.
- Provate il traffico non del browser. Fate un ping o una traccia da terminale e vedete se esce dal tunnel. È esattamente ciò che una configurazione a solo proxy non regge.
- Interrompete il tunnel mentre è in corso un download. Se il download prosegue, non c'è un kill switch funzionante, e ogni futura disconnessione vi esporrà.
Da qui l'argomento pratico a favore di un fornitore verificabile e non semplicemente popolare. A distinguere un servizio serio non è il numero di installazioni, ma se il protocollo è documentato, se revisori indipendenti sono stati fatti entrare e i loro rapporti pubblicati, se protezione dalle fughe e kill switch sono attivi di default, e se la proprietà è dichiarata apertamente invece che ricostruita dai registri societari. Un'app gratuita con centinaia di milioni di installazioni può comunque essere un proxy per browser con una password condivisa. Abbiamo esaminato un guasto affine quando WebKit faceva uscire IP reale e DNS aggirando i proxy, e la distanza tra promesse e pratica quando una VPN senza log ha perso 58 milioni di record di connessione.
