VPN安全嗎？會不會被盜資料

重點摘要

• 可信的付費VPN 是安全的，特別在公共 WiFi 上；但你是把信任由網絡供應商轉給VPN 公司，不是憑空得到安全。
• 最大的風險是「選錯VPN」：免費 App、假冒 App 和沒有審計的服務。2016 年 CSIRO 的研究已發現大量 Android VPN App 有追蹤程式庫或惡意程式。
• VPN 不等於匿名，也不等於防毒。 它不能擋釣魚網站，也不能阻止你登入的網站識別你。
• 三分鐘檢查：官方來源下載、有獨立審計、公司資料公開。詳見 最安全的VPN推薦。

VPN 到底保護什麼？

VPN 做的是兩件事：把你的流量加密後送到VPN 伺服器，以及讓網站看到VPN 伺服器的 IP，而不是你自己的。

公共 WiFi 的實際防護方法，見 公共WiFi安全嗎。

會盜資料的三類VPN

第一類：免費又沒有審計的 App

營運VPN 要付伺服器和頻寬的錢。免費服務若不靠付費升級，錢就要從別處來：廣告、出售使用資料，或把你的裝置變成別人的出口。

2016 年，CSIRO 聯同 UNSW、ICSI、IMDEA Networks 和 UC Berkeley 的研究人員分析了 Google Play 上 283 款 Android VPN App，結果是：75% 使用第三方追蹤程式庫，82% 要求存取聯絡人、短訊等敏感資料，超過 38% 含有某種惡意程式（CSIRO 研究，2016）。其中兩款向用戶流量注入 JavaScript 以投放廣告和追蹤，另外四款進行 TLS 攔截。這份研究已是十年前的，商店規管此後有改進，但它顯示「VPN」這個標籤並不代表可靠。

第二類：假冒正牌VPN 的 App 和擴充功能

2026 年 8 月 12 日，安全公司 Socket 發現 737 個 Chrome 網上商店擴充功能冒充 Proton VPN、NordVPN、Surfshark、ExpressVPN 和 Cloudflare 的 1.1.1.1，全部把瀏覽器流量經由同一個營運者的 SOCKS5 代理轉發，營運者因此可看到目的地、來源 IP 和 HTTP 明文內容；下載量接近 75,000 次（BleepingComputer，2026）。辨認方法見 VPN下載：點分辨官方同假App。

第三類：破解版

破解版把原版重新包裝再發佈，你無從得知多加了什麼。這類 App 的風險見 VPN破解版安全嗎？風險一次講清，本站不會提供也不會指出任何破解版的來源。

付費、有名的VPN 就一定沒事嗎？

也不是。有名氣的VPN 有另外三個風險。

1. 日誌政策可能說一套做一套。 這就是獨立審計存在的原因，見 無日誌VPN推薦：哪些經過審計。2023 年瑞典警方搜查 Mullvad 辦公室空手而回，是少數可公開核對的實例（Mullvad 官方博客，2023）。
2. 連線外洩。 VPN 連線中斷的一刻，流量可能以你的真實 IP 發出。開啟 Kill Switch 就是解決辦法，見 BT下載用VPN：安全與法律須知 內的說明。
3. DNS 洩漏。 設定不當時，DNS 請求繞過VPN，網絡供應商仍看到你去了哪些網站。見 DNS洩漏是什麼？點樣測試。

VPN 和 HTTPS 是什麼關係？

大部分網站已用 HTTPS，內容本身已加密。VPN 多加的一層，是把「你連到哪個網站」也藏起來，使同一個 WiFi 的人、網絡供應商只看到你連著VPN。

不過這並不代表VPN 公司「看不到」。流量離開VPN 伺服器之後，若網站只用 HTTP，內容對VPN 公司是明文；就算是 HTTPS，它仍看得到你連向哪個網站的網域。這正是要揀可信VPN 的原因：你把原本由網絡供應商看到的資料，交給了另一家公司。

常見情境速查

三分鐘檢查清單

1. 來源：從VPN 官方網站的下載頁進入，或在官方 App Store 和 Google Play 上核對開發者名稱。
2. 審計：到對方的 Trust Center 或審計頁，看有沒有第三方機構、有沒有年份。
3. 公司：私隱政策開頭有沒有公司名稱和地址。
4. 付款：有沒有退款保證，讓你可以先試。
5. 設定：開啟 Kill Switch，連線後測一次 DNS 洩漏。

香港的公司環境另有要求：個人資料私隱專員公署提醒機構，VPN 的安全程度取決於設定是否正確，應要求多重驗證、保持平台更新（個人資料私隱專員公署，2021）。公司VPN 和個人VPN 是兩回事，見 公司VPN同個人VPN有咩分別。

這些情況VPN 幫不到你

• 你想完全匿名。 請看 Tor同VPN有咩分別。
• 你擔心銀行帳戶被盜。 網上銀行本身已用 HTTPS 加密，額外用VPN 是否有需要，見 用VPN登入網上銀行安全嗎。
• 你以為裝了VPN 就可以忽略更新和密碼。 那是另一層防護。
• 你在考慮香港用VPN 的法律問題。 見 在香港用VPN違法嗎。

結論

VPN 安全與否，看的是誰營運，而不是「VPN」這個名字。揀一款有審計、有公開公司資料、從官方來源下載的，比不用更安全；揀一款免費、匿名又沒有任何說明的，則可能比不用更危險。想直接看建議名單，回到 最安全的VPN推薦。

要記住的是，安全不是一個「有」或「沒有」的狀態，而是一連串選擇：下載來源、審計紀錄、設定、日常習慣。每一項都做得不差，風險就會大幅下降；其中一項出問題，VPN 的加密再強也救不了你。如果你只想先做一件事，就是先確認手上的VPN 是從官方來源下載的。