Apple и Google массово удаляют VPN по требованию Роскомнадзора. Как? Что делать разработчикам? Разбор #23

За четыре года число удалений выросло в 173,2 раза: от единичных случаев до более тысячи в год. Это уже не «точечные зачистки», это конвейер.

Перевод с юридического на человеческий

Механика простая и неприятная. РКН шлёт Apple запрос со ссылкой на пункт 7 статьи 15.1 закона «Об информации». Apple сверяет это со своими App Store Review Guidelines и снимает приложение с публикации в российском регионе — без суда, без публичного разбирательства, без шума. Разработчик получает письмо — через несколько дней приложения в нашем App Store нет.

Показательный случай — VPN-клиент Happ. 24 июня 2026-го его сняли, 29-го он вернулся под именем «Happ — Proxy Utility+» от того же разработчика Flyfrog LLC. Схема рабочая, но не вечная: смена названия не отменяет удаление, а лишь откладывает его до следующего запроса РКН, где будет фигурировать новое имя.

Красивый аргумент «мы не VPN, а прокси-клиент» при этом не работает. На iOS любое туннелирование трафика требует один из классов фреймворка Network Extension — NEPacketTunnelProvider для полноценного VPN-туннеля либо NETransparentProxyProvider/NEAppProxyProvider для прозрачного прокси. Entitlement (разрешение в профиле приложения, запрашивающее доступ к системному фреймворку) остаётся в пакете, и с точки зрения РКН это всё тот же инструмент обхода блокировок.

Важная деталь: триггер удаления — не автоматическое сканирование пакета на этот entitlement, а точечный запрос РКН с конкретным названием. В марте 2026-го «Happ — Proxy Utility» убрали, а «Happ — Proxy Utility Plus» от того же разработчика с той же функциональностью оставили — потому что в требовании она не упоминалась. Если бы Apple детектировала VPN-функциональность технически, снесли бы обе. Не снесли.

Пока Apple зачищает VPN, в оставшихся — дыры

Как будто массовых удалений мало, аудит, на который ссылается Techora, нашёл в VPN-приложениях в App Store и Google Play незащищённые HTTP-ссылки. В Android-версиях таких 5,3% (339 штук), в iOS-версиях — 6,8% (188 штук). То есть примерно каждая пятнадцатая ссылка из «безопасного VPN» ведёт по открытому протоколу — где трафик между вами и сайтом можно перехватить, подменить или дополнить вредоносным содержимым.

В списке проблемных — Oryx VPN (более миллиона загрузок) и Stealth Shield VPN. Аудиторы наткнулись на ссылки, которые ведут на scareware-сайты (поддельные страницы с фейковыми «вирусами», вымогающие установку реального вредоносного софта), поддельные антивирусные предупреждения и неконтролируемые сторонние платформы. Хуже того: некоторые разработчики забросили приложения, их домены истекли — и злоумышленники целенаправленно скупают эти просроченные домены, чтобы собирать трафик из магазинов.

Apple на запрос издания отказалась от комментариев. Google сообщил, что «проверяет данные». Прекрасно, то есть магазин с миллиардной выручкой не готов ручаться за то, что продаёт.

Что делать обычному человеку

Я прошёлся по списку проблем и вот короткая инструкция, чтобы не нарваться:

— Не кликайте по ссылкам внутри приложения, не убедившись, что адрес начинается с а не с голого

— Остерегайтесь скрытых форматов — сырых IP-адресов и сокращателей ссылок, за которыми прячется реальный домен.

— Если ссылка из «Политики конфиденциальности» внезапно начинает скачивать PDF — закрывайте вкладку немедленно.

— Страница с кричащим «ВИРУС НА ВАШЕМ УСТРОЙСТВЕ! СКАНИРОВАТЬ!» — это scareware. Не нажимайте ничего, кроме крестика.

— Если официальный домен VPN-приложения выглядит заброшенным или перенаправляет куда-то не туда — это красный флаг.

В июле 2024-го РКН рапортовал об удалении 25 VPN-приложений. К 18 сентября того же года независимое исследование GreatFire насчитало 98 недоступных VPN-сервисов в нашем App Store. Разница в четыре раза — и это только то, что можно отследить снаружи. А сколько ушло «тихо», без публичных списков — можно только гадать.