VPN : les dangers, les arnaques et les limites de l’anonymat

Anonymat en ligne, sécurisation du trafic, contournement de la censure… les promesses des VPN sont nombreuses mais doivent être en grande partie nuancées. La protection de la vie privée est certes un idéal pour beaucoup, mais pour certains, il s’agit aussi d’une opportunité des plus lucratives. Décryptage d’un business où les consommateurs peuvent rapidement devenir les produits. 
‍

La protection de la vie privée est un business comme un autre. Des consommateurs expriment un besoin : échapper à la surveillance globale permise par Internet. Des entreprises émergent alors pour fournir une solution. Cette solution, c’est le VPN (virtual private network, ou « réseau privé virtuel »). L’idée : chiffrer la connexion du client et faire passer son trafic par un serveur intermédiaire afin de masquer son adresse IP aux sites visités et de limiter ce que peut observer le fournisseur d’accès. Le VPN peut permettre d’accéder à des contenus de manière sécurisée pour l’appareil et l’utilisateur. Dans des pays autoritaires, il peut aussi faciliter un contournement de la censure.

À lire aussi : IA générative et données d'entreprise : le nouveau risque

Si le VPN présente des avantages, il s’agit aussi d’un marché estimé à 44 milliards de dollars dans le monde en 2024 et qui pourrait atteindre les 137 milliards d’ici 2030. Comme tout marché, il fait l’objet de campagnes marketing qui ont tendance à exagérer la réalité, voire même à mentir. Il est important de rappeler que la majorité des informations sur les VPN proviennent elles-mêmes des VPN. vpnMentor et WizCase, deux des plus grands sites de comparaison de VPN au monde, appartiennent par exemple à Kape Technologies, entreprise qui possède également les VPN CyberGhost, Private Internet Access, ZenMate, Intego et ExpressVPN. Des offres alléchantes peuvent également être utilisées pour attirer des consommateurs et les faire contribuer à leur insu à des projets criminels. 
‍

Il convient de revenir sur les différentes promesses émises par les fournisseurs VPN afin de les nuancer, prévenir sur les risques qui peuvent y être associés et rappeler tout de même que certaines solutions peuvent être considérées comme relativement honnêtes.
‍

Des VPN gratuits à éviter à tout prix
‍

Une distinction doit tout d’abord être établie entre les VPN payants et les VPN gratuits. Le fonctionnement d’un VPN nécessite des ressources financières importantes afin de payer pour l’alimentation des serveurs et de la bande passante, ainsi que le salaires des équipes. Si un VPN est gratuit, cela ne signifie pas que son activité est altruiste mais qu’il génère de l’argent autrement.
‍

Le fournisseur VPN peut tout d’abord revendre des informations et accès que vous avez placés entre ses mains. Ce fut le cas de HolaVPN, un VPN gratuit et sans publicité qui a dépassé les 150 millions d’utilisateurs à son apogée. Sa particularité est qu’il fonctionne sur un modèle peer-to-peer (P2P, ou « pair-à-pair ») où l’utilisateur accepte de servir de nœud de sortie pour d’autres utilisateurs à la guise du fournisseur. Un utilisateur qui n’avait rien à se reprocher et pensait juste faire une bonne affaire peut alors se retrouver avec son adresse IP utilisée par un autre utilisateur pour des usages illégaux. HolaVPN est allé encore plus loin en revendant la bande passante de ses utilisateurs à des tiers via sa filiale Luminati, transformant les appareils en relais pour le trafic d’autres individus, notamment des criminels.

À lire aussi : Piratage de smartphone : comment les hackers s'y prennent

Un VPN gratuit peut également être utilisé comme simple façade pour un réseau criminel d’ampleur mondial. En mai 2024, le FBI a annoncé le démantèlement du réseau 911 S5 qui utilisait des VPN gratuits comme MaskVPN ou DewVPN pour détourner des appareils au service d’activités illégales. Une fois connectés au serveur, les appareils des utilisateurs était transformé en botnet par un malware, permettant à des cybercriminels d’utiliser ces adresses IP pour mener à bien leurs projets, tout en évitant que les forces de l’ordre puissent remonter jusqu’à eux. Au total, plus de 19 millions d’adresses IP auraient été concernées dans plus de 190 pays.

Les VPN gratuits, loin d’être une bonne affaire pour les consommateurs, les transforment donc en produits, les appliquant parfois dans des réseaux criminels à leur insu.
‍

Un paradis fiscal n’est pas un gage de protection
‍

Pour convaincre les utilisateurs de l’importance portée à l’anonymat et à la confidentialité, les fournisseurs VPN ont tendance à mettre en avant leurs pays d’hébergement qui présentent souvent des régimes fiscaux et juridiques avantageux. NordVPN est par exemple hébergé au Panama et ExpressVPN aux îles Vierges britanniques. Leurs réputations d’États coopérant peu dans le cadre d’enquêtes policières transnationales sont brandies par les VPN comme un gage de sécurité, le message étant : « nous sommes loin des grandes alliances de surveillance, donc vos données sont à l’abri ». Il s’agit cependant en grande partie d’un argument marketing qui exagère l’importance du pays d’hébergement et omet des éléments pourtant cruciaux : les fournisseurs peuvent disposer de serveurs dans un certain pays, mais ils peuvent aussi avoir des équipes et des bureaux dans d’autres États où la législation est plus contraignante. La maison-mère de NordVPN est, par exemple, basée aux Pays-Bas, alors qu’ExpressVPN appartient à une société israélo-britannique basée au Royaume-Uni.

À lire aussi : Fuites de données et certificats numériques : la confiance numérique des Français s’effrite

Même lorsque les serveurs, les équipes et les bureaux sont basés dans un même pays réputé comme « respectueux de la vie privée », les fournisseurs peuvent encore être contraints de coopérer avec les autorités. Proton, par exemple, VPN basé en Suisse, pays considéré comme un « coffre-fort de la vie privée », a été contraint légalement de fournir aux autorités suisses les adresses IP de militants français du mouvement écologiste Youth for Climate, connu pour ses actions de désobéissance civile.
‍

Comme le résume Yasmine Douadi, PDG et cofondatrice de Riskintel Media, « le drapeau affiché sur le site ne protège pas. Ce qui compte, c’est l’architecture technique réelle. Pas le pays. Pas le marketing ».
‍

La surveillance est morte… vive la surveillance ?
‍

Une autre fausse idée véhiculée par les fournisseurs VPN est qu’ils peuvent garantir l’anonymat en ligne de leurs utilisateurs, un propos qu’il convient de nuancer. Le VPN chiffre les connexions et fait passer le trafic par un serveur intermédiaire, créant une paroi entre les fournisseurs Internet et les historiques de navigation, ainsi qu’entre les sites visités et les utilisateurs car l’adresse IP indiquée est celle du serveur VPN. Le niveau de confidentialité et de discrétion est donc supérieur à celui d’une connexion « classique », mais l’anonymat n’est pas complet. En effet, bien que les fournisseurs Internet et les hébergeurs des sites ne peuvent plus identifier l’utilisateur, le fournisseur VPN, lui, dispose de tous ces éléments.

À lire aussi : Wayback Machine : pourquoi 241 médias bloquent l'archive du Web

Le VPN ne supprime pas la surveillance, il la déplace : ce n’est plus le fournisseur Internet qui a accès au trafic mais le fournisseur VPN. L’utilisateur pourrait penser troquer un Big Brother pour un autre, mais la réalité est plus complexe. Un fournisseur Internet et un fournisseur VPN ne sont, en effet, pas équivalents. Un fournisseur Internet classique est identifiable et soumis à une juridiction précise dont les lois sont connues de tous et s’appliquent à tous. Un fournisseur VPN, lui, est souvent basé dans un pays doté d’un régime fiscal et judiciaire particulier. L’identité de ses dirigeants et investisseurs n’est pas forcément claire et l’entreprise est rarement soumise à des audits mandatés par la loi. Yasmine Douadi explique qu’en utilisant un VPN, « on troque un intermédiaire connu contre un inconnu, et on nous a vendu ça comme un progrès ». Le VPN doit donc être considéré moins comme une cape d’invisibilité et plus comme un transfert de confiance aux termes opaques.
‍

Le no-log : mythe ou réalité ?
‍

Le point sur lequel tous les grands fournisseurs VPN insistent est leur politique no-log, affirmant qu’ils ne sauvegardent aucun journal de connexion. L’idée est simple : pas d’historique enregistré, pas de compromission possible pour l’utilisateur. Plusieurs affaires contredisent cependant cet argument. 
‍

En 2017, un rapport du FBI confirme qu’un harceleur en ligne a pu être appréhendé grâce à des informations fournies par PureVPN ayant permis d’établir un lien entre le suspect et des adresses IP. Fin juillet 2026, une enquête de l’équipe de MysteriumVPN a, quant à elle, révélé en s’appuyant sur une fuite de données que SplitVPN, un VPN russe anciennement connu sous le nom de NotVPN, conservait plus de 58 millions de journaux de connexion. La situation est particulièrement problématique étant donné qu’une grande partie des utilisateurs de SplitVPN sont basés en Russie, en Iran et en Birmanie et utilisent le VPN pour contourner les régimes de censure locaux. S’ils étaient identifiés grâce à cette fuite de données, ils pourraient encourir de lourdes peines. 

À lire aussi : Géopolitique et cybersécurité : la nouvelle menace des entreprises

L'ambiguïté autour des politiques no-log révélée par ces affaires repose sur une distinction entre les journaux d’activité qui rassemblent les historiques de navigation et les journaux de connexion qui compilent l’heure, l’adresse IP, la durée et le volume de données associés à la connexion.
‍

Les promesses d’anonymat, de sécurité des données et d’abolition de la surveillance en ligne vendues par les fournisseurs VPN sont donc en grande partie des écrans de fumée. Il faut néanmoins reconnaître que le VPN en tant que solution présente tout de même des bénéfices, permettant d’accroître le niveau de confidentialité des utilisateurs. Il s’agit de trouver des fournisseurs qui ne promettent pas forcément plus mais qui vont apporter davantage de preuves concernant leur sincérité. C’est le cas de Proton dont la politique no-log auditée chaque année par des cabinets indépendants et dont le code est disponible en sources ouvertes, donc vérifiable par tous. C’est aussi le cas de Mullvad qui ne requiert aucune adresse mail pour créer un compte et offre la possibilité de payer en espèces. Ses serveurs fonctionnant sur mémoire vive, aucune donnée d’utilisateur ne peut être saisie, comme l’a montrée la perquisition réalisée par les forces de l’ordre suédoise en avril 2023 : les enquêteurs n’ont rien pu emporter car il n’y avait tout simplement rien à emporter.