VPN grátis no computador da empresa: o que ela leva

O caso aparece em quase toda revisão de inventário. Um analista de vendas volta de férias querendo terminar a série que via no hotel, procura na loja de aplicativos, acha uma VPN grátis com milhões de downloads e instala no notebook da empresa. O ícone promete "ilimitado" e "navegação segura".

Outro colega instala a mesma coisa por outro motivo: leu que VPN protege em Wi-Fi de aeroporto e quis fazer a coisa certa.

Nenhum dos dois pediu autorização, e nenhum dos dois acha que fez algo errado. A partir daquele clique, tudo o que o notebook acessa passa pelo servidor de uma empresa que ninguém do seu time conhece.

Uma VPN grátis instalada em equipamento corporativo tira o tráfego do alcance do firewall e do DNS da empresa e o entrega a um terceiro sem contrato, cujo modelo de negócio depende de lucrar com esse tráfego ou com a conexão do próprio usuário.

O que muda quando a VPN liga

Sem VPN, o notebook corporativo consulta o DNS da empresa, sai pelo firewall da empresa e, em muitos casos, passa por um proxy ou filtro web. Cada um desses pontos registra o destino e bloqueia o que a política proíbe. Quando o funcionário trabalha de casa, o agente de segurança instalado na máquina cumpre parte desse papel.

Com a VPN de consumidor ligada, o notebook abre um túnel cifrado até o servidor do fornecedor. O firewall da empresa passa a ver uma única conexão longa para um endereço externo, e só. As consultas de DNS, os sites visitados e os sistemas acessados ficam dentro do túnel. Quem enxerga tudo isso agora é o operador do servidor do outro lado.

O artigo sobre como funciona uma VPN descreve essa troca de observador em detalhe. Para a empresa, a consequência é direta: o controle que ela pagou para ter deixa de valer naquele equipamento.

Como uma VPN grátis se paga

Operar servidor em dezenas de países custa dinheiro, com banda, hardware e equipe. Se o usuário não paga, o dinheiro vem de outro lugar. Os modelos conhecidos são três, e eles aparecem combinados.

O primeiro é vender dado de navegação. O fornecedor registra destinos, horários e identificadores do aparelho e repassa isso a parceiros de publicidade ou de análise de mercado. O segundo é anúncio dentro do aplicativo, às vezes injetado nas páginas visitadas. O terceiro, e o mais grave para uma empresa, é revender a conexão do próprio usuário como proxy residencial: outras pessoas passam a navegar pela internet usando o endereço de IP da sua máquina.

Esse terceiro modelo já saiu do campo da hipótese. Em maio de 2024, o Departamento de Justiça dos Estados Unidos anunciou o desmonte da botnet 911 S5. Segundo o comunicado, o administrador distribuía o malware por meio de programas de VPN gratuitos, como MaskVPN e DewVPN, e vendia a criminosos o acesso aos IPs das máquinas infectadas. A rede reuniu mais de 19 milhões de endereços de IP únicos em quase 200 países, e os compradores usaram esses endereços para fraude e outros crimes.

Imagine o endereço de saída da sua filial aparecendo no log de uma fraude bancária. A investigação começa pela empresa dona do IP.

O que os estudos encontraram nos aplicativos

O problema vai além do modelo de negócio. Em 2016, pesquisadores da CSIRO, do ICSI e de universidades parceiras analisaram 283 aplicativos Android que usam a permissão de VPN. O artigo, apresentado na conferência IMC 2016, registrou que 18% deles montavam o túnel sem criptografia nenhuma. Cerca de 84% não passavam o tráfego IPv6 pelo túnel e 66% deixavam o DNS vazar por fora.

O mesmo trabalho achou biblioteca de rastreamento de terceiros em 67% dos aplicativos, e 82% pediam permissão para acessar recursos sensíveis, como contas do usuário e mensagens de texto. O estudo é de 2016 e olhou para Android, mas o mecanismo que ele descreve continua o mesmo: o usuário instala algo para se proteger e entrega permissão ampla a um código que ninguém revisou.

VPN grátis e VPN corporativa: o que o time de segurança precisa separar

O nome igual confunde o usuário e, às vezes, o próprio suporte. Os dois produtos têm finalidades opostas.

A regra de bolso para o suporte: se a TI não instalou, não configurou e não sabe onde fica o servidor, trata-se de VPN de consumidor, grátis ou paga. Uma VPN paga de marca conhecida reduz o risco de revenda de conexão, mas mantém o tráfego fora da vista da empresa.

Empresas que seguem o modelo Zero Trust sentem isso com mais força, porque a verificação contínua do dispositivo depende de o tráfego passar pelos pontos de inspeção. Um túnel desconhecido deixa essa verificação sem os dados de que ela precisa.

O que o time de segurança deve mapear

Antes de escrever política, vale saber o tamanho do problema. O levantamento tem quatro frentes.

A primeira é o inventário de software. O EDR e a ferramenta de MDM listam os aplicativos instalados em cada máquina, e a maioria dos clientes de VPN cria um adaptador de rede virtual que também aparece nesse inventário. Uma busca por nomes de VPN de consumidor e por adaptadores TAP ou WireGuard fora do padrão da empresa já traz os primeiros casos.

A segunda é a rede. Uma conexão longa e com muito volume para um único IP externo, sem consulta ao DNS corporativo no mesmo período, tem a assinatura de um túnel. Os provedores de VPN de consumidor publicam faixas de IP e domínios que muitos firewalls já classificam numa categoria própria.

A terceira é a extensão de navegador. Muitos serviços de VPN grátis são distribuídos como extensão, que não aparece na lista de programas instalados. A política de extensões do navegador corporativo resolve essa parte.

A quarta é a identidade. Se um notebook passou semanas saindo por um servidor desconhecido, as senhas digitadas nele e os tokens de sessão abertos nesse período merecem revisão, com troca de credencial e revogação de sessão nos sistemas mais sensíveis.

Política de VPN grátis que funciona sem virar guerra com o usuário

Proibir sem explicar costuma falhar. O analista que queria ver a série troca o notebook pelo celular pessoal conectado à mesma rede, e o colega que queria se proteger acha que a TI está atrapalhando. A política precisa de controle técnico e de conversa.

1. Publique uma lista de software permitido. Deixe claro que cliente de VPN, proxy e "acelerador de internet" só entram com aprovação da TI. A regra vale para qualquer VPN grátis e para as pagas também.
2. Bloqueie na máquina. Use o EDR ou o MDM para impedir a instalação e a execução dos clientes de VPN de consumidor mais comuns, e retire direito de administrador local de quem não precisa dele.
3. Bloqueie na rede. Ative no firewall a categoria de VPN e proxy anônimo e barre os protocolos de túnel que a empresa não usa. O post sobre firewall, antivírus e DNS seguro explica como essas camadas se complementam.
4. Controle extensões de navegador. Permita só as extensões aprovadas no navegador corporativo, porque boa parte das VPNs de consumidor chega por esse caminho.
5. Ofereça a alternativa certa. Para quem trabalha fora, a VPN corporativa ou o acesso por ZTNA resolve a preocupação com Wi-Fi público. Para streaming de outro país, a resposta é que o equipamento da empresa não serve para isso.
6. Explique o porquê. Um e-mail curto, com o caso da botnet 911 S5 e a frase "o seu IP pode ser vendido para outra pessoa", convence mais do que um parágrafo de norma.
7. Trate os casos já encontrados. Remova o aplicativo, troque as senhas usadas naquele período e registre o incidente, sem transformar a conversa em punição na primeira ocorrência.

Onde entra a LGPD

Se o notebook trata dado pessoal de cliente, e quase todo notebook de vendas, atendimento ou financeiro trata, o tráfego que passou pelo servidor da VPN grátis pode ter levado esse dado junto. A empresa continua responsável por ele, e o fornecedor da VPN não tem contrato, cláusula de proteção de dados nem obrigação de avisar sobre vazamento.

Nem toda instalação vira incidente a comunicar, mas a empresa precisa avaliar o que trafegou pelo túnel e registrar essa avaliação. O guia de LGPD para PMEs mostra como montar esse registro sem burocracia excessiva.

O ponto que fica

A pessoa que instala uma VPN grátis no computador da empresa quer ver uma série ou quer se sentir mais segura. Ela não quer abrir um buraco no controle de rede, e a política precisa partir disso.

O restante é inventário, bloqueio e uma conversa curta. O caso que justifica o esforço tem data e número: em maio de 2024, o governo americano desmontou uma rede de mais de 19 milhões de IPs montada, em parte, com aplicativos de VPN gratuitos.