App VPN đứng giữa thiết bị của bạn và Internet. Khi app đang bật, lưu lượng của bạn đi qua máy chủ do công ty đứng sau app vận hành. Điều đó khiến VPN khác với phần lớn ứng dụng: bạn không chỉ giao cho nó vài quyền truy cập, mà giao cả kết nối của mình.

Vì vậy, câu hỏi quen thuộc "miễn phí hay trả phí?" mới chỉ là một nửa câu chuyện. Câu hỏi hữu ích hơn là: ai vận hành dịch vụ này, họ kiếm tiền bằng cách nào và họ đã cam kết những gì? Bài viết này giải thích vì sao điều đó quan trọng, một cuộc điều tra về app VPN miễn phí đã phát hiện gì, và đưa ra danh sách kiểm tra bạn có thể áp dụng cho bất kỳ app VPN nào, kể cả app của chúng tôi.

Vì sao chủ sở hữu quan trọng

VPN che lưu lượng của bạn trước mạng nội bộ và nhà mạng, nhưng chính nhà cung cấp VPN lại ở vị trí có thể thấy rất nhiều: bạn kết nối lúc nào, từ địa chỉ IP nào, và tuỳ giao thức cũng như trang bạn truy cập, cả điểm đến của lưu lượng. HTTPS vẫn bảo vệ nội dung của hầu hết trang web, nhưng chỉ riêng siêu dữ liệu (metadata) cũng có thể tiết lộ nhiều điều. (Để nắm điều cơ bản, xem VPN là gì.)

Đó là lý do danh tính công ty, quốc gia nơi công ty đặt trụ sở và luật pháp mà họ phải tuân theo là một phần quyền riêng tư của bạn, chứ không phải chi tiết vụn vặt trong phần chữ nhỏ.

Cuộc điều tra về app VPN miễn phí đã phát hiện gì

Ngày 1/4/2025, nhóm nghiên cứu Tech Transparency Project (TTP) công bố cuộc điều tra về các app VPN miễn phí trên App Store Mỹ của Apple. Kết quả cho thấy năm 2024, 20 trong số 100 app VPN miễn phí hàng đầu, tức khoảng một phần năm, thuộc sở hữu của công ty hoặc cá nhân ở Trung Quốc đại lục hoặc Hồng Kông. Theo ước tính của công ty phân tích AppMagic mà báo cáo dẫn lại, 20 app này đã được tải hơn 70 triệu lượt tại Mỹ.

TTP cho biết không app nào trong số 20 app đó công bố rõ việc thuộc sở hữu Trung Quốc, và một số app còn giấu cơ cấu sở hữu sau các công ty vỏ bọc ở nước ngoài. Một số app có nguồn gốc từ một công ty an ninh mạng Trung Quốc mà Bộ Quốc phòng Mỹ đã xếp vào danh sách "công ty quân sự Trung Quốc" và Bộ Thương mại Mỹ đã trừng phạt vào tháng 6/2020. Báo cáo viện dẫn Luật Tình báo Quốc gia năm 2017 của Trung Quốc, vốn buộc các tổ chức hợp tác với công tác tình báo nhà nước, để giải thích vì sao quyền sở hữu quan trọng với một dịch vụ xử lý lưu lượng của bạn.

Bài học rộng hơn không nằm ở một quốc gia cụ thể. Điều đáng rút ra là cái tên hiển thị trên trang app trong kho ứng dụng có thể cho bạn biết rất ít về ai thực sự kiểm soát app, và mức giá miễn phí dễ khiến người dùng lơ là việc kiểm tra.

VPN miễn phí lấy tiền từ đâu

Máy chủ và băng thông đều tốn tiền, nên VPN miễn phí nào cũng phải có nguồn tài trợ. Các mô hình phổ biến gồm:

  • Freemium: gói miễn phí ít tính năng hơn, chi phí được bù bằng những người dùng nâng cấp.
  • Quảng cáo: hiển thị quảng cáo ngay trong app.
  • Dữ liệu: thu thập và bán thông tin về người dùng. Đây là mô hình cần tránh, và quy định của các kho ứng dụng cấm VPN làm việc này (xem bên dưới).
  • Ngân sách của một công ty lớn hơn: VPN phục vụ cho một sản phẩm hoặc mảng kinh doanh khác.

Gói trả phí không tự động khiến dịch vụ đáng tin, và gói miễn phí cũng không tự động khiến dịch vụ nguy hiểm. Điều quan trọng là mô hình kinh doanh có rõ ràng không và cam kết của công ty có đáng tin không.

Kho ứng dụng yêu cầu những gì

Cả hai kho ứng dụng lớn đều có quy định riêng cho app VPN.

Apple. Mục 5.4 trong Hướng dẫn xét duyệt ứng dụng (App Review Guidelines) của Apple quy định app VPN phải dùng framework NEVPNManager của Apple, và chỉ nhà phát triển đăng ký dưới tư cách tổ chức mới được phát hành. Các app này phải công bố rõ dữ liệu người dùng nào sẽ được thu thập và dùng vào việc gì trước khi bạn mua hoặc sử dụng dịch vụ, và "không được bán, sử dụng hay tiết lộ cho bên thứ ba bất kỳ dữ liệu nào vì bất kỳ mục đích gì"; cam kết này cũng phải có trong chính sách quyền riêng tư.

Google. Trong bài đăng ngày 28/1/2025, Google công bố huy hiệu "Verified" (Đã xác minh) cho app VPN trên Google Play. Để có huy hiệu này, app phải vượt qua bài đánh giá Mobile Application Security Assessment (MASA) cấp 2, đến từ tài khoản nhà phát triển dạng tổ chức, đáp ứng yêu cầu về cấp API mục tiêu của Google Play, có ít nhất 10.000 lượt cài và 250 lượt đánh giá, đã có mặt trên Google Play ít nhất 90 ngày, và đăng ký đánh giá bảo mật độc lập cũng như mã hoá dữ liệu khi truyền trong mục An toàn dữ liệu. Huy hiệu hiển thị trên trang của app và trong kết quả tìm kiếm.

Những quy định này nâng mức sàn, nhưng không thay được sự tỉnh táo của chính bạn. Phát hiện của TTP xuất phát ngay từ bên trong một kho ứng dụng chính thức.

Danh sách kiểm tra để đánh giá bất kỳ app VPN nào

Trước khi cài, hãy dành năm phút cho những câu hỏi sau:

  1. Ai là chủ sở hữu? Tìm tên công ty thật, quốc gia và địa chỉ cụ thể trên trang web và trang app trong kho ứng dụng. Hãy dè chừng nếu bạn không tìm ra ai đứng sau app.
  2. App kiếm tiền bằng cách nào? Nếu có gói miễn phí, bạn có thấy nó được tài trợ ra sao không? Một gói trả phí rõ ràng là dấu hiệu tốt. Hoàn toàn không có lời giải thích nào thì không.
  3. Đọc chính sách quyền riêng tư. Xem họ thu thập gì (địa chỉ IP, thời gian kết nối, mã định danh thiết bị), lưu trong bao lâu và có chia sẻ hay không. Những câu chữ mơ hồ kiểu "chúng tôi có thể chia sẻ dữ liệu với đối tác" là lý do để bạn dè chừng.
  4. Kiểm tra phần công bố trên kho ứng dụng. So nhãn an toàn dữ liệu hoặc nhãn quyền riêng tư trên kho với chính sách quyền riêng tư. Trên Google Play, hãy tìm huy hiệu Verified ở các app VPN.
  5. Tìm kết quả kiểm tra độc lập. App đã qua một bài đánh giá bảo mật hay công bố một cuộc kiểm toán độc lập chưa? Xem ngày thực hiện và đơn vị thực hiện.
  6. Rà soát quyền truy cập. VPN cần quyền thiết lập kết nối VPN. Nó hiếm khi cần danh bạ, tin nhắn SMS, vị trí chính xác hay micro của bạn.
  7. Cài từ nguồn chính thức. Dùng kho ứng dụng chính thức hoặc trang web của chính nhà phát triển, tránh các bản sửa đổi hoặc bản "đã mở khoá premium".
  8. Để ý hành vi của app. Quảng cáo dồn dập, ép cài thêm app khác, hoặc hao pin và dữ liệu bất thường mà không rõ lý do đều là dấu hiệu cảnh báo.

VPNRice ở đâu trong chuyện này

Chúng tôi nghĩ bạn nên áp dụng chính danh sách kiểm tra này cho chúng tôi. Xin nói rõ: VPNRice có gói Miễn phí cùng gói Premium tuỳ chọn mua trong app, và bạn không cần tài khoản để dùng gói Miễn phí; chính sách quyền riêng tư của chúng tôi mô tả những gì app thu thập. Bạn có thể tìm app trên trang tải về cho Android và iPhone, iPad, và đọc chính sách quyền riêng tư trước khi quyết định.

Những điểm chính

  • Khi dùng VPN, bạn giao kết nối của mình cho nhà cung cấp, nên ai vận hành dịch vụ quan trọng hơn giá tiền.
  • Một cuộc điều tra năm 2025 phát hiện khoảng một phần năm số app VPN miễn phí hàng đầu trên App Store Mỹ thuộc sở hữu Trung Quốc mà không công bố.
  • Apple và Google có quy định riêng cho VPN: Apple cấm bán hoặc chia sẻ dữ liệu, còn Google có huy hiệu Verified.
  • Hãy kiểm tra chủ sở hữu, mô hình kinh doanh, chính sách quyền riêng tư, phần công bố trên kho ứng dụng, kết quả kiểm toán và quyền truy cập trước khi cài bất kỳ VPN nào.