Любое приложение на Android может выдать ваш настоящий IP в обход постоянного VPN — предупреждение Mullvad

10 сентября 2026 года Mullvad предупредил, что в самой строгой настройке VPN на Android есть дыра. Даже когда системе велено блокировать все соединения без VPN, приложение может отправить трафик в обход туннеля и раскрыть настоящий IP-адрес телефона. Словами Mullvad: «Вредоносному приложению для этой атаки не нужно никаких особых разрешений».

Как это работает

Android позволяет приложению попросить систему поддерживать соединение, время от времени отправляя небольшие пакеты. Чтобы беречь батарею, эту работу отдают чипу Wi-Fi или сотовой связи. Пакеты, которые шлёт сам чип, через VPN не проходят. Поэтому приложение может запросить такое поддержание связи с любым сервером, на UDP-порт 4500, — и сервер увидит, откуда пакеты идут на самом деле.

Вложить в эти пакеты произвольные данные приложение не может. Утекают IP-адрес и время, то есть ровно то, что VPN обычно и призван скрывать.

Кто нашёл и что сделал Google

Исследователь Армин Шупук сообщил о проблеме в программу уязвимостей Android 15 мая 2026 года. По его словам, через четыре дня отчёт пометили как дубликат более раннего. Mullvad пишет, что отчёт «закрыт без каких-либо действий». Шупук проверил Pixel 8 Pro, телефоны Samsung и Nothing — все на Android 16 — и считает, что затронуты версии начиная с Android 12. Публичных заявлений Google не делал.

Кто исправил

GrapheneOS — вариант Android с упором на безопасность — завела задачу 27 августа и закрыла её 28 сентября. В описании сборки 2026100200 сказано: «отключены непривилегированные аппаратные keepalive, поскольку они создают утечку из VPN». На устройствах Pixel, по данным GrapheneOS, утечка работала только через Wi-Fi.

Mullvad говорит, что обходное решение в своё приложение встраивать не будет: единственное доступное само отправляло бы пакеты мимо туннеля.

Что делать

Для атаки нужно враждебное приложение на телефоне, так что первая защита — скучная: меньше приложений и только из источников, которым вы доверяете. Совет Mullvad — «ставить только доверенные приложения и, если возможно, пользоваться форком Android с упором на безопасность и приватность, таким как GrapheneOS».

Если вы держите на телефоне кошелёк или приложение биржи и рассчитываете, что VPN скроет от него ваш домашний IP, исходите из того, что приложение может узнать этот IP, если захочет. Кошелёк, который пускает собственный трафик через Tor, для остальных приложений на том же телефоне ничего не меняет.

VPN-провайдеры, которые принимают криптовалюту и не спрашивают личных данных, собраны в категории VPN.

Источники: Mullvad, 10 Sept 2026, Armin Šupuk — write-up, GrapheneOS — releases