As aplicacoes russas procuram a sua VPN e o Estado quer esses dados

Se vive na Rússia e abre uma aplicação bancária ou um marketplace, o software no seu telemóvel está muito provavelmente a verificar se existe uma VPN ligada, e boa parte dessas aplicações envia o resultado para os seus próprios servidores. Não é uma suspeita de fórum sobre privacidade: resulta da análise das trinta aplicações Android russas mais instaladas. E ganha peso esta semana, porque o Roskomnadzor acabou de derrubar mais de vinte serviços de VPN de uma só vez.

O que revelou a análise de trinta aplicações

A RKS Global, o grupo de direitos digitais fundado pelo advogado especializado Sarkis Darbinyan, descompilou os ficheiros APK de trinta aplicações Android russas muito populares e verificou-as com 80 pontos de controlo distribuídos por 12 categorias. Na primeira ronda, publicada a 10 de abril de 2026, 22 das 30 aplicações conseguiam perceber que havia uma VPN ligada, e 19 delas enviavam esse sinal para os seus próprios servidores. Na reverificação do final de abril, todas as trinta detetavam a VPN.

A lista não é feita de utilitários obscuros, mas do software que as pessoas abrem várias vezes por dia.

• Banca: Sberbank Online, T-Bank, VTB e Alfa-Bank incluem todas deteção de VPN.
• Marketplaces e entregas: Ozon, Megamarket e Samokat.
• Ecossistemas: Yandex Browser e Yandex Maps, além dos serviços da VK, incluindo o Odnoklassniki.
• O acesso mais profundo: sete aplicações não ficam pelo sim ou não. Wildberries, Ozon, Megamarket, 2GIS, MTS, RuStore e Odnoklassniki recolhem a lista completa de clientes VPN instalados no aparelho.

É este último grupo que interessa. Saber que existe um túnel ativo é uma coisa. Saber que ferramentas concretas uma pessoa mantém instaladas, incluindo aquelas que não está a usar naquele momento, é um inventário de comportamento e não uma verificação de segurança.

O Estado pediu às plataformas que devolvessem o que encontrassem

A 30 de março de 2026, o responsável do Ministério do Desenvolvimento Digital, Maksut Shadayev, realizou uma reunião à porta fechada com representantes de mais de vinte grandes empresas de internet. Segundo a RBC, cuja informação foi amplamente retomada pelos media russos, foi pedido às empresas que limitassem o acesso a utilizadores com VPN ativa até 15 de abril. As plataformas receberiam do Roskomnadzor as listas de endereços IP de VPN já identificados, além de orientações para detetar e bloquear esses serviços por conta própria.

A cláusula que transforma uma função de deteção num mecanismo de imposição é o retorno: os dados recolhidos pelas empresas sobre novas VPN devem seguir para os órgãos de supervisão, para que a lista comum de bloqueio continue a crescer. A alavanca discutida foi comercial e não penal: saída das listas brancas oficiais, perda de benefícios fiscais do setor de TI, retirada da acreditação de TI e remoção da lista de software de pré-instalação obrigatória.

Agosto: a mesma lógica aplicada ao alojamento

A 3 de agosto de 2026, a RBC descreveu a fase seguinte, desta vez dirigida à infraestrutura. Os fornecedores de alojamento passariam a vigiar os endereços IP inscritos na lista de exceções mantida pelo centro de monitorização do Roskomnadzor. Se num endereço for vista infraestrutura de VPN de forma repetida durante uma semana, o fornecedor recebe um pedido e tem um dia para responder. Um cliente verificado apenas por número de telefone ou cartão pode ser cortado em trinta minutos, ao passo que um cliente verificado através do Gosuslugi ou de contrato empresarial seria primeiro convidado a remover a infraestrutura. Os fornecedores considerados pouco cooperantes arriscam ver sub-redes inteiras restringidas.

Um dia depois, a 4 de agosto, mais de vinte serviços de VPN caíram em conjunto, com sub-redes inteiras de alojadores a serem cortadas. Escrevemos sobre essa viragem no nosso artigo sobre a passagem do bloqueio das aplicações de VPN para o bloqueio do seu alojamento.

O que está documentado e o que é dedução

Esta história conta-se com facilidade de forma mais forte do que é, por isso convém separar.

1. Documentado: o código de deteção está nas aplicações, parte dele recolhe o inventário de clientes VPN instalados e parte dos dados viaja para os servidores das empresas. O estudo é público e reproduzível a partir dos mesmos APK.
2. Documentado: as autoridades pediram formalmente às plataformas que devolvessem aos reguladores aquilo que detetassem sobre VPN, para alargar a lista de bloqueio. Isto assenta em fontes da RBC e não num diploma publicado: nunca foi mostrado qualquer documento oficial.
3. Dedução: que a lista concreta usada a 4 de agosto tenha sido construída com dados recolhidos por aplicações bancárias e marketplaces. Darbinyan liga o lançamento desses módulos na primavera à escalada do verão, e a sequência é sugestiva, mas não foi publicada qualquer prova a ligar essa lista a essa telemetria.

O que muda para quem usa VPN

A mudança prática é que contornar bloqueios deixou de ser apenas uma corrida entre protocolos e filtros. Existe agora um segundo canal, que passa por software instalado voluntariamente pelo próprio utilizador e a que é difícil renunciar, porque a alternativa é perder o acesso à conta bancária ou à encomenda de compras. Desinstalar a aplicação de um marketplace é uma opção real para uns e nenhuma opção para outros.

Muda também aquilo que se deve procurar num fornecedor. Resistir à filtragem ao nível da rede é apenas metade do problema quando a outra metade é um inventário feito no próprio telemóvel. Por isso pesa mais uma infraestrutura que não dependa de um único endereço alcançável, e a capacidade de mudar rapidamente de pontos de entrada, do que um lugar na tabela de velocidades.