7 min di lettura
Turbo VPN, VPN Proxy Master, Super VPN, Jump Jump VPN e «Hero VPN» sono tra le VPN gratuite più scaricate su Google Play. Alcune sono state studiate da ricercatori indipendenti, e le conclusioni non sono piacevoli. Nell'agosto 2025 Citizen Lab e l'Arizona State University hanno scoperto che Turbo VPN e VPN Proxy Master appartengono allo stesso gruppo di aziende, usano una cifratura obsoleta e inseriscono nell'app una password comune a tutti gli utenti. Chi la conosce può decifrare il traffico. Su Jump Jump e Hero non abbiamo trovato verifiche indipendenti, ed è anche questa un'informazione utile.
Questi nomi sono molto cercati: «super vpn», «turbo vpn», «jump jump vpn», «hero vpn» e «vpn master», insieme alle varianti con «scaricare», fanno circa 280 mila impressioni al mese nella ricerca russa (Yandex Wordstat, agosto–settembre 2026). Qui non ci saranno link per il download. Vediamo cosa si sa di ciascuna.
Lo sviluppatore di Turbo VPN su Google Play è Innovative Connecting Pte. Ltd., un'azienda di Singapore. Nell'aprile 2025 il Tech Transparency Project ha ricostruito la catena di proprietà: l'azionista di Innovative Connecting è Lemon Seed Technology, delle Isole Cayman, e nel 2019 Lemon Seed è stata acquistata dalla cinese Qihoo 360, che ha reso nota l'operazione nel suo bilancio annuale. Nel giugno 2020 il Dipartimento del Commercio degli Stati Uniti ha inserito Qihoo 360 nella lista delle sanzioni. In seguito Qihoo ha comunicato la vendita di questi asset, ma nei documenti del 2025 risulta ancora come amministratore una persona che la stampa cinese indicava come manager di Qihoo 360.
Lo stesso gruppo pubblica VPN Proxy Master, Thunder VPN, Snap VPN e altre app. Per l'utente significa che VPN «diverse» nello store possono essere lo stesso servizio con icone diverse.
Lo studio di Citizen Lab «Hidden Links» (FOCI 2025) ha analizzato 21 app VPN popolari con oltre 970 milioni di download complessivi. Per la famiglia che comprende Turbo VPN, Turbo VPN Lite, VPN Proxy Master e VPN Monster, le conclusioni sono:
| Cosa è stato verificato | Risultato |
|---|---|
| Password dei server Shadowsocks | Inserita nell'app, la stessa per tutti gli utenti di Turbo VPN, Turbo VPN Lite e VPN Monster. Chi la conosce può decifrare il traffico intercettato |
| Cifratura | rc4-md5, un cifrario obsoleto della lista dei deprecati |
| Dati di posizione | L'app ricava il tuo CAP dall'IP e lo invia all'analitica, anche se l'informativa sulla privacy dice che gli indirizzi non vengono raccolti |
| Attacchi alla connessione | Tutte e otto le app della famiglia sono vulnerabili ad attacchi blind in/on-path, con cui un estraneo può interferire con le connessioni attive |
| OpenVPN | Nelle impostazioni c'è un interruttore, ma al momento del test non era selezionabile |
Un paragone: una password comune a tutti è come se tutti gli inquilini di un palazzo avessero la stessa chiave della cassetta delle lettere, stampata nel manuale della serratura.
«Super VPN» di solito indica «VPN - Super Unlimited Proxy» di Super VPN Inc (oltre 100 milioni di download su Google Play). Citizen Lab ha esaminato anche questa app: gli autori non hanno trovato legami con le famiglie di Turbo VPN, e l'app supporta OpenVPN e IPsec (IKEv2). È meglio di una password comune inserita nel codice, ma non è un audit di sicurezza completo: i ricercatori non ne hanno analizzato in dettaglio la crittografia.
Va ricordato anche che ci sono decine di app con «Super» nel nome. Super Z VPN, per esempio, appartiene a un'altra famiglia dello stesso studio, e anche lì sono state trovate password inserite nel codice.
Non abbiamo trovato verifiche tecniche indipendenti su Jump Jump VPN né sulle app chiamate Hero VPN. Non significa che siano pericolose, ma nemmeno che siano sicure. Dietro nomi identici su Google Play e altrove ci sono spesso app diverse di sviluppatori diversi, e un APK «dal sito di Jump Jump» potrebbe non avere nulla a che fare con l'app dello store.
Se ne usi già una, controlla la sua scheda nello store:
Altri segnali di cloni e falsi nell'articolo sulle app VPN false.
Anche lasciando da parte la privacy, queste app hanno un problema pratico. Turbo VPN e la sua famiglia usano IPsec e Shadowsocks con un cifrario vecchio; Super VPN usa OpenVPN e IPsec. In Russia i filtri del traffico riconoscono questi protocolli, quindi queste VPN ora si collegano, ora no. Da qui le ricerche frequenti «turbo vpn non funziona» e «super vpn non si connette».
I protocolli che si mascherano da normale HTTPS reggono molto meglio. Come funziona: Reality e VLESS in parole semplici. Quali altri protocolli funzionano oggi: VLESS, OpenVPN o WireGuard.
Le opzioni sono tre, e ognuna ha un prezzo.
Come confrontare i servizi lo abbiamo spiegato in VPN gratuita o a pagamento e quale VPN scegliere. Sulle app «popolari» russe come Tok e Tik c'è un articolo a parte: cosa sono le VPN popolari.
Abbiamo un interesse diretto in questo tema: BessyConnect è un servizio a pagamento con periodo di prova. Quindi, solo fatti verificabili. Il protocollo è VLESS con mascheramento Reality, uno schema moderno senza cifrari obsoleti come rc4-md5. I server sono più di cento, non si conservano log, la registrazione non è obbligatoria e non ci sono limiti di dispositivi. Lo sviluppatore è l'imprenditore individuale Pavel Alekseevich Onuchin, e l'informativa sulla privacy è pubblicata: https://bessy.my/docs/privacy.
Maggiori dettagli nella recensione di BessyConnect.
Turbo VPN è sicura? Secondo Citizen Lab (2025), Turbo VPN contiene una password Shadowsocks comune a tutti gli utenti e usa il cifrario obsoleto rc4-md5, quindi il traffico intercettato può essere decifrato. Inoltre l'app invia il CAP dell'utente all'analitica.
Turbo VPN è cinese? Lo sviluppatore è registrato a Singapore, ma secondo il Tech Transparency Project la sua società madre è stata acquistata nel 2019 dalla cinese Qihoo 360, sotto sanzioni statunitensi dal 2020.
Super VPN e Turbo VPN sono la stessa cosa? No. I ricercatori di Citizen Lab non hanno collegato «VPN - Super Unlimited Proxy» di Super VPN Inc alla famiglia di Turbo VPN. Ma ci sono molte app con «Super» nel nome, e alcune appartengono ad altre famiglie con problemi simili.
Perché Turbo VPN non funziona in Russia? Usa IPsec e Shadowsocks con cifratura vecchia, che i filtri del traffico riconoscono. I protocolli mascherati da HTTPS reggono meglio.
Jump Jump VPN è sicura? Non abbiamo trovato verifiche tecniche indipendenti su Jump Jump VPN. Valutala in base allo sviluppatore, ai permessi e al protocollo dichiarato, e non installare APK da fonti esterne.
Due VPN insieme e cascate: perché due client non funzionano contemporaneamente, dove si monta la cascata, cosa dà davvero e quanto costa. Altro
Happ VPN, Incy e Batya sono client senza server propri; Sota è a pagamento. In cosa differisce BessyConnect: app propria su VLESS+Reality, senza registri. Altro
Reality vs Shadowsocks e Trojan nel 2026: quale protocollo aggira blocchi e DPI. Confronto onesto di resistenza, velocità e dove entra BessyConnect. Altro
