免费 VPN 的 10 个危险信号

大多数"免费 VPN 警告"列表，说来说去都是那几句：会卖你的数据、速度慢、广告多。这些总体上没错，但当你站在应用商店里，面对五个长得差不多的应用，只有几分钟来做决定时，帮助并不大。本文做一件更实用的事：列出十个具体的免费 VPN 危险信号，按你能发现它们的阶段分组（商店页面、安装、使用、付款），并给每一个配上 30 秒的自查办法和合理的下一步。

文中不点名任何产品，也不对任何具体服务下结论。如果想了解免费服务为什么会这样运作的大背景，免费 VPN 安全吗 已经讲了商业模式。这里我们要做的，是一份几分钟就能走完的检查清单。

如何使用这份清单

危险信号不等于证明对方居心不良，而是让你放慢脚步的理由。有些信号是停止标志：正确的做法是卸载并离开。另一些是问号：你可以去问服务商、等待明确的答复，或者换一个服务。经验法则是：出现一个停止标志就结束评估，出现三个问号也一样。

下面的每个信号都标注了类别，方便你区分。请按顺序检查，因为前四项在安装任何东西之前就能查。

在商店页面就能发现的信号

1. 应用背后没有可识别的公司（问号，常常是停止标志）

查看商店页面上的开发者名称，然后打开开发者的网站。应该有合法的公司名称、邮寄地址或注册地址、联系客服的方式，以及专门的隐私和条款页面。如果开发者名称是一串毫无意义的字符，网站只有一个带下载按钮的页面，或者联系方式只有一个免费邮箱，那你就没法知道该由谁负责。

30 秒自查： 搜索开发者名称加上"公司"和"地址"。如果找不到任何连贯的信息，就把它当作停止标志。

2. 任何 VPN 都无法兑现的大话（停止标志）

"完全无法追踪""在网上隐形""挡住所有黑客""到哪都能用"这类说法，讲的是魔法，不是网络。VPN 加密的是你的设备到它的服务器之间的路径，并改变网站看到的地址。它不能阻止钓鱼、你自己安装的恶意软件，或者你登录的账户对你的追踪。VPN 无法保护你的哪些方面 直白地列出了这些局限。把局限藏起来的服务商，卖的是一种感觉。

30 秒自查： 读商店描述的前三行，数一数"所有""绝不""完全""保证"这类绝对化的词。超过两个就是信号。

3. 官方商店之外的下载链接（手机上是停止标志）

网页、论坛、社交帖子或弹窗里提供的安装文件，与通过商店审核的应用不是一回事。尤其在 Android 上，手动安装的安装包是传播不良软件的常见途径。在 Windows 和 macOS 上，对应的是从仿冒网站下载。如果获得应用的唯一办法是"允许安装未知来源的应用"，这本身就是危险信号。

30 秒自查： 链接指向的是官方商店页面，还是你自己输入名称到达的厂商域名，而不是点击广告过去的？如果分不清，就不要安装。如何检查 Android 上的免费 VPN 应用 说明了该先核实什么。

4. 抄袭其他应用的商店页面（问号）

仿冒应用会模仿更知名应用的名称、图标和截图。警示迹象包括：名称里硬塞了额外的词，截图与应用真实界面不符，描述里堆满"最佳 VPN"之类的关键词，以及几十条用相似措辞写成的五星好评。

30 秒自查： 把评价按最新排序，读一星和二星的。针对广告、扣费或数据的具体投诉，比铺天盖地的泛泛夸奖更有信息量。

安装时发现的信号

5. 权限与应用功能不匹配（严重时是停止标志）

VPN 应用必须建立网络连接，所以系统会请求你允许添加 VPN 配置，这个提示是正常的。但它不应该需要你的通讯录、麦克风、精确位置、所有文件的访问权限，或者在其他应用上层显示内容的能力。每多一项权限，都应该能用你真正用到的功能来解释。

30 秒自查： 把商店页面里的权限列表与你的预期对照。除了网络访问和通知之外的任何内容，都需要理由。在 iPhone 上，商店页面里的"App 隐私"摘要会显示开发者声称收集的数据类型，参见 如何检查 iPhone 上的免费 VPN 应用。

6. 要求你安装证书、描述文件或附加软件（停止标志）

有些免费 VPN 要求安装根证书、超出 VPN 本身范围的配置描述文件、浏览器扩展，或者"辅助"程序。受信任的证书可能让持有者读取或篡改本应加密的网页流量，这与 VPN 应有的作用恰好相反。捆绑的程序则是广告软件的另一条常见途径。

30 秒自查： 如果某个设置步骤写着"安装此证书以继续"或"允许检查所有网页流量"，就停下来。正常的 VPN 只需要添加自己隧道的权限。

使用过程中出现的信号

7. 广告、跳转以及被改动的设置（问号；如果改了你的浏览器就是停止标志）

应用内的横幅广告是一种资金来源，你可以接受，也可以不接受。但占满屏幕的广告、打开你没有请求的页面的链接、被更改的搜索引擎或主页、应用关闭后仍然轰炸的通知，就是另一回事了。它们说明这个应用在做远超隧道范围的事。

30 秒自查： 使用一天后，检查浏览器默认搜索引擎、主页、已安装的扩展，以及手机的通知设置。凡是你没有主动选择的，都是信号。

8. 连接表现异常（问号）

正常工作的 VPN 会改变网站看到的公网地址，并把你的 DNS 请求留在隧道内。可疑的表现包括：地址完全没有变化，泄漏检测里出现了你的真实地址，连接每隔几分钟就掉线而且没有提示，或者应用不用登录就能用，也没有解释谁在为此付费。什么是 IP 泄漏 解释了泄漏与正常结果的区别。

30 秒自查： 开着 VPN 时，在信誉良好的测试网站上检查地址和 DNS，再与关闭时的结果比较。如果两者一致，说明 VPN 没有履行它最基本的职责。

9. 假警报和施压（停止标志）

弹出"你的设备已感染""你的连接不安全"或"立即更新你的 VPN"之类的窗口，是为了逼你升级或安装别的东西。真正的安全工具不需要倒计时。美国网络安全与基础设施安全局（CISA）关于识别钓鱼的指南描述了同样利用紧迫感和恐惧的手法，不论出现在应用里还是邮件里，迹象都一样。另见 如何识别钓鱼网站。

30 秒自查： 关掉提示，去手机自带的安全设置里看有没有同样的警告。真正的问题会在那里显示。

付款时的信号

10. 要求绑卡的"免费"试用、隐藏续费或锁死取消（停止标志）

免费试用很常见，有些也是诚实的。危险信号是：在你知道价格之前就要求付款信息，悄悄续费成订阅，隐藏取消按钮，或者取消比注册还难。相关的另一个迹象是：免费应用在你花时间设置完之后，才冒出一笔很高的"一次性"费用。

30 秒自查： 在输入任何付款信息之前，找到确切的价格、计费周期、试用结束时会发生什么，以及如何取消，并写下来。四项中缺任何一项就停下。天数固定、不自动续费的预付通行证，从设计上就避开了这个陷阱，XPASS 价格页面 就是这样展示的，但对任何服务商，你都应当核对同样的四点。

快速评分表

打印出来，或者抄进你的笔记。把每个信号标记为无、问号或停止标志。

#	危险信号	通常类别
1	没有可识别的公司	问号或停止
2	不可能兑现的承诺	停止
3	官方商店之外的安装包	停止
4	抄袭的商店页面	问号
5	不匹配的权限	严重时停止
6	证书、描述文件或捆绑软件	停止
7	侵扰性广告或被改动的设置	问号或停止
8	连接行为异常	问号
9	假警报和施压	停止
10	试用和付款花招	停止

任何一个停止标志就结束测试，三个问号也是。如果一路都干净，也只是说明它没有在基本功上出错，并不证明它很好，你仍应沿用 如何比较 VPN 服务商 里的检验习惯。

如果已经装了怎么办

如果你在已经使用的应用里认出了好几个信号，冷静、按顺序处理，比慌乱更有效。

1. 断开连接并卸载应用。
2. 删除它添加的任何 VPN 描述文件、证书、扩展或辅助程序。在手机上，到系统设置里的 VPN、设备管理或描述文件处查看。
3. 检查浏览器的搜索引擎、主页和扩展。
4. 更换应用运行期间用过的账户密码，先从邮箱和银行开始。能的话在另一台设备上操作。
5. 在尚未开启的地方打开双重验证。
6. 运行操作系统自带的安全扫描。
7. 接下来几周留意账户和银行卡账单。

小结

安装免费 VPN 前后，有十个信号值得关注：没有可识别的公司、不可能兑现的承诺、官方商店之外的安装包、抄袭的商店页面、不匹配的权限、要求安装证书或捆绑软件、侵扰性广告或被改动的设置、异常的连接行为、假警报，以及付款花招。出现一个停止标志就足以离开，几个问号凑在一起也是。这些并不能证明某个服务很好，但能很快筛掉最糟糕的，而且检查所花的时间，远少于事后清理的代价。