5VPN gratuitas que piden instalar un certificado o una APK adicional
Aceptar un certificado no es un ajuste menor. Cuando un móvil Android instala una CA de usuario, pasa a dar por buenas las conexiones que ese certificado firme, de modo que quien lo emitió puede descifrar el tráfico HTTPS y volver a cifrarlo: leer contraseñas, mensajes y los datos que envías a tu banca online en tiempo real. Ningún túnel VPN necesita ese permiso para funcionar. Lo piden las apps que hacen filtrado de anuncios —un uso legítimo, pero invasivo y que exige explicarse— y también las que quieren mirar dentro de tus conexiones sin decírtelo. Ya pasó: en 2020 se documentó que una veintena de aplicaciones de VPN y bloqueo de publicidad, con más de 35 millones de descargas (Luna VPN, Free and Unlimited VPN, Adblock Focus, Mobile Data), pedían instalar un certificado raíz desde una web externa para esquivar el veto de Google y Apple y alimentar con esos datos a una plataforma de analítica que ocultaba ser su dueña. Si el paso llega después de salir de la tienda oficial, la señal es aún peor.
El otro patrón es el del instalador que no se conforma con su función: pide permiso para instalar aplicaciones de origen desconocido y descarga un segundo paquete. Es lo que hacía el dropper «Mobdro Pro IP TV + VPN», puerta de entrada de Klopatra, un troyano bancario y de acceso remoto detectado por Cleafy en agosto de 2025 que infectó más de 3.000 dispositivos, la mayoría en España e Italia, con dos campañas activas desde marzo y más de 40 versiones del malware. Tras obtener el permiso, extraía el payload de un paquete JSON incrustado, se concedía accesos de accesibilidad y operaba con una [VNC oculta](https://thehackernews.com/2025/10/new-android-banking-trojan-klopatra.html): pantalla en negro mientras el operador abría la app del banco y ordenaba transferencias con el móvil cargando y la víctima dormida. Google advirtió en noviembre de 2025 de que estas VPN falsas sirven para colar ladrones de información, troyanos de acceso remoto y troyanos bancarios. Si una app gratuita pide SMS, contactos o accesibilidad y te empuja a bajar algo más, desinstálala, retira el certificado en los ajustes de credenciales y cambia las claves del banco.
