原文來源: https://protonvpn.com/blog/vpn-privacy

重點摘要

Proton 對全球 7,000 多個行動 VPN 應用程式進行數月調查，發現美國下載的 VPN 中，有 85% 內建追蹤器，約四分之一更會主動追蹤用戶的實際地理位置。 更嚴重的是，390 個從 Apple App Store 和 Google Play 下載的 VPN 中，有 64 個由中國公司擁有，這些公司依法必須向政府提供資料。 儘管 Google 和 Apple 承諾保護用戶，但這些可疑 VPN 在 2026 年 6 月單月就被下載超過 1,320 萬次。

VPN 應該如何運作

當你使用 VPN，你期望的是隱私保護：一個可信的 VPN 應該阻止網站看到你真實的 IP 位址，同時防止你的網路服務供應商（以及政府）知道你瀏覽了什麼。 美國多達 1 億人日常使用 VPN，YouTube 上也經常見到 VPN 廣告，宣傳它們是保護隱私、安全和繞過審查的重要工具。 對一些信譽良好的服務來說，這個說法大致成立，但也令許多用戶誤以為免費 VPN 都安全可靠，忽略了許多可疑 VPN 其實正在做相反的事。

如何看穿 VPN 的真正擁有者

透明度是選擇 VPN 的關鍵。 你應該清楚知道將隱私交給哪間公司。 Proton 的分析發現，美國有數十個 VPN 由位於侵犯隱私法規地區的公司擁有，而且許多刻意隱藏這個事實。 在被研究的 VPN 中，64 個由中國公司擁有，而中國法律要求公司在政府要求時提供用戶資料。 更差的是，31 個這些中國擁有的 VPN 透過在新加坡、香港、英國等地註冊的空殼公司隱藏真正擁有者。 美國用戶單一個月就下載了這些可疑中國應用程式超過 300 萬次。

你的資料去了哪裡？

即使不是直接由大規模監控國家的公司擁有，VPN 也可能危害用戶隱私。 分析發現，美國可用的 VPN 中 85% 內建追蹤器，用來收集和分享高度個人化的用戶資料，例如獨一無二的裝置 ID（GAID）、裝置型號、網路類型、行動網路供應商名稱等。 許多美國擁有的應用程式和外國公司簽了商業協議，嵌入它們的追蹤軟體。 它們通常將 VPN 應用程式（許多時是買回來的白標產品）視為可以透過廣告變現的另一類熱門應用程式，就像遊戲一樣。

在行動應用程式產業，這種做法很普遍。 考慮到 App Store 通常拿走約 30% 收入，不難理解有開發者會選擇透過侵犯隱私的廣告變現，而不是靠訂閱收費。 但 VPN 不是遊戲，幾百萬美國人使用它們是為了保護隱私，不是為了將隱私賣給廣告科技公司——許多還位於對隱私甚至美國利益不友善的國家。

雖然很難完全知道資料如何被使用，但有一些令人擔憂的跡象。 研究中有三個 VPN 服務其實由市場研究公司擁有：Phone Guardian Safe WiFi（Sensor Tower）、My Mobile Secure VPN（Comscore）、和 Urban VPN（BiScience，後者被證實會捕捉用戶在多個服務的對話並分享給 AI 聊天平台）。

有些 VPN 會追蹤你的位置

最離譜的是，64 個 VPN 應用程式會主動用 GPS 和其他地理定位數據追蹤你的實際位置。 任何拿到這些資料的人都可以知道你是否在示威現場、和記者、律師或消息來源見面，甚至將資訊分享給執法或情報機構。 這些應用程式包括一些美國最流行的 VPN，例如 VPN Proxy Master、VPN-Fast VPN Super、和 X-VPN，它們在 6 月合計被下載超過 300 萬次。 也就是說，研究數據集中約 20% 的 VPN 下載 來自會追蹤你位置的應用程式——而你安裝 VPN 可能就是為了防止這件事。 而這些追蹤資料往往會被一些難以信任的政府拿到。

App Store 靠監控賺錢

Apple 和 Google 公開強調它們重視隱私，但這些可以追蹤你所有網路活動、將個人資料送給廣告科技公司的應用程式，卻可以毫無警告地在它們的 App Store 下載。 雖然 App Store 要求 VPN 開發者提交身份和隱私政策，但主要靠開發者自報，幾乎不會核實。 Apple 和 Google 只檢查文件有沒有，但不會獨立審計 VPN 是否真的像隱私政策所說那樣運作。

儘管宣稱重視隱私，Apple 和 Google 將利潤擺在用戶利益之前。 它們通常在應用程式內購買和訂閱收入中拿走約 30% 佣金。 Apple 尤其想合理化這筆佣金，說是為了覆蓋審查和策劃應用程式的成本，但可信證據顯示它將高達 78% 這些費用拿作純利。 這個以利潤為本的模式也體現在 Apple 願意配合中國政府的專制命令，導致全球 100 個最流行應用程式中有 66 個在中國的 iOS 用戶無法使用。 許多是新聞應用程式（例如《紐約時報》、BBC News、Reuters），顯示 Apple 為了進入利潤豐厚的中國市場，樂意協助中國政府的審查制度。 它甚至曾經威脅要移除 Proton VPN，因為 App Store 描述說這個應用程式可以用來「解鎖被審查的網站」。

結果就是：和專制政權有關聯、可以存取你所有流量（包括網頁瀏覽、應用程式使用、個人資訊）的 VPN，正在追蹤你的網路行為用來做廣告。

可以怎麼做？

允許這些可疑應用程式在平台存在，是對消費者和開發者的失責，絕對不可以接受。 Proton 呼籲 Apple 和 Google：

• 對 VPN 應用程式進行更嚴格的法證安全和擁有權檢查（不要只靠自報）
• 將未能通過檢查的應用程式從 App Store 移除
• 提高所有 VPN 應用程式的透明度，讓人可以做出知情決定，包括提供公司真正所在地和資料用途資訊

要讓透明度有效，Apple 和 Google 必須用它們龐大資源的一小部分去調查服務，確認它們是它們宣稱的樣子。

你怎樣才安全？

要安全地使用 VPN 保護隱私：

• 使用擁有權透明、位於有真正隱私法規國家的服務
• 只信任經過獨立審計的 VPN
• 自行建立VPN (如用 Oracle免費vps)

沒有藉口

因為你所有網路活動都經過 VPN 伺服器，任何 VPN 都有機會存取大量高度個人化的資訊，包括你的生活、政治傾向、購物喜好、興趣愛好等。 即使隱私不是你選擇 VPN 的首要考慮，你都應該擔心和中國、俄羅斯等地有關聯的隱蔽、無問責公司——在那裡政府可以無限制存取所有資料。

總括來說，研究中 85% 的應用程式行為和它們的市場宣傳及用戶合理期望相反，這種情況不可原諒。 許多應用程式可能說資料收集只是為了優化性能，但它們可以收集這些資料、而且大量資料被送往俄羅斯和中國等地，已經是令人極度擔憂的原因。

項目	iTaiwan（台灣）	Japan Wi‑Fi auto‑connect（日本）
服務主體	台灣政府推動的公共 Wi‑Fi 服務	日本 NTT-BP 推出的自動連線 Wi‑Fi 服務
主要定位	提供全民與旅客免費上網，重點在普及與便利	提供旅客與通勤者自動連線，重點在無縫漫遊體驗
登入方式	連上 iTaiwan 後，瀏覽器導向登入頁，依現行流程同意使用條款後即可上網；部分情境仍會搭配帳號/認證管理	先在 App 完成設定，之後進入支援熱點可自動認證與連線
是否需要 App	一般不需要	通常需要先安裝官方 App
連線體驗	可在多個熱點使用，但仍偏向「手動進入、瀏覽器確認」	走到相容熱點時可自動連接，幾乎不需手動操作
Wi‑Fi 傳輸加密	前端屬開放式網路，使用者流量在無線層不以 WPA2/WPA3 做保護	以 App 與認證流程為主，實際熱點可依場域採用不同的 Wi‑Fi 保護機制
安全考量	有使用條款、紀錄留存與管理機制，但官方也明示傳輸本身不加密；適合一般瀏覽，不適合敏感資料操作	強調認證與自動化連線，適合頻繁移動與多熱點切換，但仍建議搭配 HTTPS/VPN
適合使用者	一般民眾、旅客、公務與日常查詢用途	旅遊、商務、跨場域移動頻繁的使用者
場景特性	政府機關、圖書館、車站、醫院、博物館等公共場域	機場、車站、飯店、商店、景點等旅遊與交通場域
可改進方向	若未來導入 Passpoint / OpenRoaming，可提升自動連線與安全性	持續擴大覆蓋與跨平台支援

整體來看，Japan Wi‑Fi Auto Connect 在安全性、連接方便度、管理度與使用體驗上，都比 iTaiwan 更成熟；而且 JWAC 直接支援 WBA（Wireless Broadband Alliance）的 OpenRoaming，因此全球 OpenRoaming 使用者都能自動連接到其服務。作為喜歡旅行的人，也真心希望 iTaiwan 未來能提供同等級的體驗，尤其是在機場與酒店等場所，能夠自動連上安全、穩定的網路，那就最理想了。

Passpoint 是 Wi‑Fi Alliance 推動的 Wi‑Fi 自動認證標準，目的是讓裝置能像使用流動網路一樣，自動發現、驗證並連上可信任的 Wi‑Fi 熱點，而不必每次重新輸入帳號密碼。 在實際應用上，Passpoint 常作為 OpenRoaming 的技術基礎，因此兩者經常一起出現，但層次並不相同。

Passpoint 的作用

Passpoint 的核心，是讓裝置預先知道哪些 Wi‑Fi 網路可信、如何認證，以及是否符合自身的漫遊或身份設定，從而實現自動連線與加密傳輸。 它通常配合 WPA2‑Enterprise 或 WPA3‑Enterprise，以及 802.1X/EAP 等機制使用，比傳統開放式 Wi‑Fi 或共享密碼模式更安全。

Passpoint 的常見實例

最常見的例子，是電信營運商或大型場館利用 Passpoint 讓用戶在機場、商場、車站、校園或企業大樓內自動連上 Wi‑Fi，無需每到一個地點都重新登入。 這種模式也常被用於流量卸載，讓原本走 4G/5G 的流量，自動切換到受保護的 Wi‑Fi 網路，改善使用體驗並減輕行動網路負荷。

在裝置層面，Android 與 Windows 都已支援 Passpoint，表示現代手機、平板與筆電可以直接透過系統設定檔，連接支援 Passpoint 的熱點，而不一定要依靠傳統 Captive Portal 登入頁。

OpenRoaming 與 Passpoint 的關係

OpenRoaming 可以理解為建基於 Passpoint 之上的全球互通機制。Passpoint 解決的是「如何安全地自動登入 Wi‑Fi」，而 OpenRoaming 進一步解決「如何讓不同機構、不同地點的 Wi‑Fi 可以互通漫遊」的問題。

換句話說，Passpoint 偏向技術標準，OpenRoaming 則偏向跨機構的聯盟與生態系。沒有 Passpoint，OpenRoaming 很難做到真正安全與自動化；而有了 Passpoint，也不代表一定已加入 OpenRoaming。

OpenRoaming 的實際例子

日本已經出現相當具代表性的 OpenRoaming 應用，例如 NTT 旗下的 Japan Wi‑Fi auto-connect，在更新後已支援 OpenRoaming，使用者只需在 App 內完成一次設定，之後在支援的熱點範圍內便可自動連線。 這類熱點可出現在車站、景點、商場、機場及其他公共空間，讓旅客不必每到一處都重新註冊或輸入密碼。

另一類例子是 OpenRoaming 官方 App 與 OpenRoaming Connect by Wefi。這些應用程式可將用戶身份寫入裝置，讓手機在世界各地支援 OpenRoaming 的熱點之間自動漫遊連線，使用方式接近「Wi‑Fi 版的國際漫遊」。

為何這類技術重要

相比一般免費 Wi‑Fi 每次都要輸入密碼、點選登入頁，Passpoint 與 OpenRoaming 讓 Wi‑Fi 變得更接近流動網路：自動、加密、可管理，也較難被假冒熱點或明文傳輸攻擊利用。 對使用者而言，這提升了便利性與安全性；對場地方而言，則有助於集中管理、提升體驗並減少前線人員處理 Wi‑Fi 問題的壓力。

保護自己：在開放式 Wi‑Fi 下的使用者防護策略

開放式 Wi‑Fi 的風險，最終很大一部分需由使用者自身去防範。在無法完全控制網路環境的前提下，只要養成幾個基本習慣，就能大幅降低被攔截、竊取資料或帳號遭盜用的機會。

1. 只用安全加密的網路，避免「來路不明」的開放 Wi‑Fi

在連線前，先確認該 Wi‑Fi 是否有加密，並採用 WPA2‑AES 或 WPA3 等較新標準，而不是完全無密碼或使用 WEP 等舊式加密。 若現場同時有「免費開放」與「需要密碼」兩種熱點，優先選擇需要密碼且可信來源的那一個，並主動向場地人員確認正確 SSID，避免誤連假冒熱點。

有些國家或場所會透過自家APP向用公眾提供資訊及下載免費Wi-Fi的認證，用戶到達覆蓋地點就會自動連接不用輸入用戶及密碼，為了安全考慮用戶在需要時才開啟Wi-Fi及必須使用VPN。

下一篇將詳細介紹這頖APP及相關技術及安全風險。

2. 全程使用 HTTPS，必要時使用 VPN

在開放式 Wi‑Fi 上瀏覽網頁時，務必確認網址欄顯示 https:// 與鎖頭圖示，避免在 HTTP 網頁上輸入帳號、密碼或任何個人資料。 若你必須在公共 Wi‑Fi 上處理敏感資料（例如遠端工作、企業系統、銀行或支付平台），建議全程啟用 VPN，讓所有流量在離開裝置前就已加密，駭客即使在同網路中監聽，也難以解讀內容。

3. 關閉自動連線與檔案分享，減少被攻擊面向

許多裝置會預設「自動連接已知 Wi‑Fi」，這在公共場所反而是風險，因為一旦遇到名稱相同但實為惡意的假冒熱點，裝置就會自動連上。 建議停用自動連線功能，並在不使用 Wi‑Fi 時關閉無線，同時將網路狀態設定為「公用」，讓系統自動關閉檔案與印表機分享、遠端桌面等高風險功能。

4. 保持系統與 App 更新，並避免不明下載

公共 Wi‑Fi 常被用來作為惡意網站與釣魚連結的入口，若裝置系統、瀏覽器或防毒軟體沒有及時更新，就可能被利用已知漏洞植入惡意程式。 建議啟用自動更新，並在公共網路環境中，不隨意點開短連結、開啟郵件附件或下載來源不明的程式與檔案，避免裝置被長期監控或用作攻擊跳板。

5. 以強密碼＋雙重驗證（2FA）保護帳號

即使在不安全的網路中，只要帳號本身有足夠防護，駭客即便攔截到部分憑證，也不容易直接登入。 建議所有重要帳號（如信箱、銀行、社交平台、企業系統）都使用難以猜測的獨立密碼，最好搭配密碼管理器統一生成與儲存，並啟用 2FA 或一次性驗證碼，進一步提高防護門檻。 連線結束後，記得登出帳號，而不是讓會話長期保持在「登入」狀態，及使用 VPN！！！

6. 在開放式 Wi‑Fi 上「節制」敏感操作

最簡單也最有效的防護，就是「把最敏感的業務留在安全環境執行」。在餐廳、咖啡廳、酒店或會展中心的開放 Wi‑Fi 上，建議只用於查資料、收發一般郵件或瀏覽網頁，盡量避免進行銀行轉帳、支付扣款、登入企業內部系統或傳輸機密文件。 若真的必須完成高風險操作，可改用行動數據或回到家中再進行，讓自己的個人與商業資產暴露在最少風險之下

1. 資料攔截與中間人攻擊（MitM）

Wi‑Fi 應改用最新的加密傳輸標準，最低也應採用 WPA2‑AES；雖然 WPA3 更安全，但目前並非所有設備都支援，因此實務上仍需兼顧相容性。密碼可透過 QR Code 張貼或發放，讓使用者方便連線之餘，也能減少明文傳遞密碼所帶來的風險。

2. 偽造 Wi‑Fi 熱點（Rogue AP）

場地應部署無線入侵偵測與防護系統，持續監控是否出現與官方網路名稱相似、但未經授權的惡意 AP。這類機制能及早發現假冒熱點，降低使用者誤連的機會。

3. 窺探與封包監聽

Wi-Fi 每個使用者的資料都會經由無線訊號傳送，因此若未加密，封包很容易被攔截。只要採用 WPA2‑AES 等加密方式，即使資料在空中傳輸，駭客也難以透過監聽直接讀取內容。另外用戶數據在後台網路設備的資料鏈路層也要完全獨立，這點最易被悉忽略。

4. 裝置與帳號後續風險

前述第 1 點與第 3 點的措施，已能有效降低裝置被竊聽、帳號被盜用及會話遭攔截等後續風險。換言之，只要基礎加密與傳輸保護做好，大部分延伸性的帳號安全問題都能大幅減少。

5. 網路層攻擊與服務阻斷

提供給公眾或顧客使用的網路，應一律視為不可信任環境，因此除了無線層加密外，網路內部也必須具備足夠的政策與硬件資源，以防範掃描、濫用、阻斷服務等攻擊。也就是說，安全不能只停留在「可連線」，而要延伸到整體架構與流量管控。

6. 無法信任的網路管理員與合規風險

與其把網路設計成完全開放、缺乏管控，不如由具經驗的管理人員統一維護與監督，才能兼顧安全、穩定與使用體驗。這樣不但能減輕前線工作人員的負擔，也能讓使用者獲得更安心、順暢的上網體驗，形成較理想的營運模式。

開放式 Wi‑Fi 之所以風險高，主要在於「任何人可自由連線」與「傳輸加密程度不足」兩大特性，使得攻擊者能輕易介入使用者與網路之間。以下集中說明幾類典型風險，不綁定特定行業。

---

1. 資料攔截與中間人攻擊（MitM）

在開放式 Wi‑Fi 上，若未啟用加密（如 WPA3‑AES）或服務本身未使用 HTTPS，資料會以明文或半加密方式傳輸，攻擊者可透過封包監聽工具攔截內容。 風險包括：

• 帳號與密碼竊取：在未加密網站或弱加密服務上登入，登入請求與 Cookie 可被直接讀出，導致帳號被劫持。
• 金融與支付資料外洩：若在 Wi‑Fi 上進行電子銀行、購物付款或輸入信用卡資訊，明文或未完整加密的交易資料可能被完整擷取。

---

2. 偽造 Wi‑Fi 熱點（Rogue AP）

攻擊者可在附近架設一個與官方名稱（SSID）極度相似的開放式熱點，例如「Cafe_Free_WiFi」「Hotel_Guest」等，誘使用戶連線。 一旦連線成功，所有流量都會經過攻擊者設備，造成：

• 流量轉向釣魚頁面：惡意 AP 可將用戶導向外觀如同官方登入頁、銀行或社交平台的釣魚網站，誘導輸入帳號密碼。
• 惡意軟體注入：在 HTTP 資源未加密的情況下，對方可篡改下載內容，將惡意程式或惡意腳本插入到正常網頁或更新檔中。

---

3. 窺探與封包監聽

開放式 Wi‑Fi 屬於共享媒介，攻擊者只要在同一頻道內，即可使用封包分析工具（如 Wireshark、專用監聽設備）監聽無線流量。 即使部分網站改用 HTTPS，仍可能：

• 推斷使用者行為：從網域、IP 與 DNS 請求推斷使用者瀏覽哪些網站、使用哪些服務。
• 捕捉弱加密或未加密服務：某些 App、IoT 裝置或內部系統仍未完整加密 API 傳輸，可能暴露帳號、裝置資訊甚至內部架構。

---

4. 裝置與帳號後續風險

使用者在開放式 Wi‑Fi 上的行為，會對「裝置本身」與「已綁定帳號」帶來長期風險：

• 裝置被植入惡意程式：若連線到惡意 AP 或被導向惡意網站，可能觸發自動下載或誘導安裝偽裝成「更新」的惡意軟體，日後持續監控或竊取資料。
• 會話與 Cookie 竊取：諸如 Cookie、API Token 等未加密或未正確保護的憑證可能被竊取，攻擊者可在後續直接使用這些會話，不需要知道密碼即可登入帳號。

---

5. 網路層攻擊與服務阻斷

攻擊者在成功連上同一開放 Wi‑Fi 後，還可發動更底層的網路攻擊：

• ARP 欺騙／中間人架橋：讓其他裝置誤認攻擊者為「路由器」，將所有封包經其轉發，從而達到監聽甚至篡改內容的目的。
• 服務阻斷（DoS）或頻寬耗盡：透過大量垃圾封包或耗用頻寬的工具，使整體 Wi‑Fi 網路遲滯或無法使用，影響所有使用者體驗。

---

6. 無法信任的網路管理員與合規風險

在開放式 Wi‑Fi 上，使用者通常無法知道「誰是管理者」以及「他們如何處理資料」。 這會帶來：

• 日誌與資料外洩：若管理員本身不具備安全意識，可能未妥善保護登入日誌、用戶 Email、手機號碼等，一旦伺服器被入侵，大量個人資料外洩。
• 法律與個資合規壓力：若使用者在該網路進行金融交易或處理敏感資料，而網路未提供足夠安全環境，經營者可能在事後被視為未盡合理防護責任，面臨投訴或監管審查。

現時不少 Wi‑Fi 網路仍然依賴一組共用密碼，這種做法雖然方便，但長遠來看會同時帶來安全和管理上的混亂。當同一個密碼被多人共用後，一旦有人外洩、離職，或把密碼轉傳出去，整個網路的保安就會受影響，而且管理者很難追查問題來源。

相比之下，用 RADIUS 建立 Wi‑Fi 網路，可以把驗證方式改為「一人一帳號」或配合憑證登入。這樣不但能避免多人共用同一組密碼，也能清楚記錄每個人的登入情況，方便審計與追蹤。當某位員工離職時，只要停用該帳號即可，無需更改全公司的 Wi‑Fi 密碼，操作上更簡單，也更不容易出錯。

對 IT 管理者來說，單一密碼最大的問題不是記憶困難，而是缺乏控管。密碼常常被寫在紙上、貼在牆上、透過訊息轉發，甚至長期不更換，令風險不斷累積。RADIUS 透過集中式管理，把權限、身份和記錄都統一起來，令網路安全制度更清晰。

因此，若要建立一個既安全又方便管理的 Wi‑Fi 網路，RADIUS 是比單一密碼更成熟的方案。它能減少密碼混亂、提升可追蹤性，並讓企業、學校或共享空間的網路管理更有秩序。如果環境已經使用 AD，便可以直接結合 AD 的 RADIUS 服務，將使用者帳號、群組權限與 Wi‑Fi 驗證統一管理；若沒有 AD，也可以改用獨立的 RADIUS 伺服器，配合本機帳號、資料庫或憑證系統來建立同樣安全的驗證架構。