VPN Não É Anonimato: O Que Sua Identidade Entrega Mesmo com VPN (e Como Ter Privacidade de Verdade)

O que você vai aprender neste aulão

Usar VPN para privacidade é o último passo, não o primeiro. Nesse aulão eu chamei o Diego Andretta, que trabalha dentro de telecom, e a gente passou quase duas horas ao vivo mostrando por que uma VPN sozinha não esconde quem você é. Você vai ver, com teste na tela, o que seu browser entrega antes de qualquer IP, como sites e sistemas antifraude reconhecem blocos de VPN comercial, o que a operadora enxerga (e o que ela não guarda), e qual VPN eu recomendo quando chega a hora de trocar o IP.

Depois de ler, você consegue montar o mesmo kit que eu uso: um Firefox separado e configurado para não vazar dados, containers isolados por atividade, uma máquina virtual como persona e uma VPN que não pede seu nome nem seu cartão. E consegue explicar para qualquer pessoa por que "instalei a VPN, estou anônimo" é a frase mais perigosa da privacidade digital.

Tudo aqui foi demonstrado ao vivo: abri o Fingerprint.com sem VPN, criei uma conta no Mullvad na frente de todo mundo e deixei o pessoal do chat testar uma página do HI SPY que captura dados antes de você clicar em enviar. Não é teoria. É o que eu faço no dia a dia de investigação e o que eu vejo nas quebras de sigilo que chegam para o Diego.

O que é sombra digital e por que a VPN não apaga sua identidade

Sombra digital (digital shadow, no termo original) é o conjunto de rastros que suas contas logadas deixam em todo site que você acessa. Enquanto o Google, o Facebook, o Mercado Pago ou a OLX estão logados no browser, cada site que carrega um pixel dessas empresas conecta a visita à sua identidade, com VPN ou sem VPN.

Eu abri o código-fonte do G1 ao vivo e filtrei por GTM: lá estava o Google Tag Manager. Filtrei por Facebook: pixel carregado. Filtrei por Twitter: mais um rastreador. Todo site com botão de curtir do Facebook está carregando código do Facebook. Todo site com Google Analytics está contando para o Google que você passou por ali.

E tem mais: se você entra no Gmail com o IP da VPN e, em outra aba anônima, acessa outro Gmail com o mesmo IP, o Google sabe que as duas contas estavam no mesmo IP, no mesmo instante, no mesmo dispositivo. Ele fecha a conta. Você trocou de carro, mas continua mostrando o RG na portaria.

Essa analogia foi do Diego e eu melhorei na hora. O IP é a placa do carro alugado. Mas para entrar em cada condomínio (cada site) você abre o vidro, fala seu RG e tira uma selfie. Muda de carro quantas vezes quiser. O porteiro só vai anotar que a mesma pessoa chegou com carros diferentes.

Como eu identifico quem está atrás da VPN pela conta logada

Na prática, eu identifico perfis falsos há anos sem olhar para IP. Mando um link de Google Docs. Quem abre o documento aparece lá em cima com nome e foto da conta Google que está logada no browser, com VPN ou sem. A pessoa acha que está escondida atrás de um IP da Noruega e o documento mostra "Fulano entrou".

Outra técnica que mostrei no aulão usa um vídeo não listado do YouTube. Desconfio que o dono de um WhatsApp é o Diego e sei o e-mail dele? Subo um vídeo privado no YouTube Studio, dou permissão só para aquele e-mail, embuto o vídeo numa página minha e mando o link. Se o vídeo carregar, a conta do YouTube logada era a dele. Se der erro de permissão, não era. Isso é engenharia social aplicada, o mesmo raciocínio que eu detalhei no aulão sobre engenharia social em investigações.

Funciona sempre? Não. O teste "Your Social Media Fingerprint" que abri no começo, por exemplo, está quebrado e só serve para ilustrar o conceito. Mas o princípio se mantém: conta logada anula qualquer VPN.

O que o browser entrega além do IP: fingerprint na prática

Seu browser entrega, em cada requisição, entre 15 e 20 sinais que identificam você sem precisar do IP: user agent, sistema operacional, versão, fuso horário, idioma, layout do teclado, resolução de tela, canvas, WebGL, plugins, aceleração de hardware, framerate de mídia e o referer (o site de onde você veio). Eu abri o Fingerprint.com ao vivo e a página mostrou tudo isso antes de eu clicar em qualquer coisa.

O Fingerprint vende esse serviço para antifraude e detecção de bot. Só de abrir o site apareceu meu IP, cidade, país, continente, timestamp, a URL de onde eu vim e o meu ID do Google Analytics. Eles calculam quão único você é entre todos os visitantes. Troca o IP à vontade: o hardware continua sendo você.

E é aqui que a VPN começa a trabalhar contra você. IP da Noruega com fuso horário de Brasília? Teclado ABNT2? Framerate de mídia em 60 Hz enquanto a Europa usa 50? Modelo de Samsung vendido só no Brasil? Cada inconsistência dessas diz "esta pessoa está no Brasil usando VPN", e sistemas de risco tratam isso como sinal de fraude. É por isso que sites pedem captcha o tempo todo quando você liga a VPN.

Tem um detalhe pior que quase ninguém considera: quedas de conexão. Wi-Fi longe do roteador, perda de pacote, a VPN reconecta e você nem percebe. Naqueles segundos entre cair e voltar, seu IP real saiu. Com Tor é ainda mais frequente porque a rede cai o tempo todo. O Diego contou que praticamente toda quebra de sigilo com VPN no meio que passa por ele tem esse padrão: usou VPN, caiu, apareceu o IP da operadora, voltou para a VPN, usou Tor. Basta uma queda em seis meses.

IPs de VPN comercial são mapeados: o caso da quadrilha na NordVPN

Toda VPN comercial opera com blocos de IP registrados num ASN próprio, e esses blocos são conhecidos por qualquer sistema antifraude, firewall corporativo ou equipe de contrainteligência. Usar VPN não te esconde no meio da multidão. Te coloca numa lista.

Eu contei no aulão um caso real: uma quadrilha fraudava compras numa grande loja e usava sempre NordVPN. A equipe bloqueou todo o bloco de IPs da Nord e reduziu a velocidade dos endereços restantes. O criminoso, com a compra travando, desligou a VPN para conseguir concluir a transação. Pegamos o IP real. O Diego faz o mesmo com os nós de saída do Tor: reduz a velocidade até o cara desistir do Tor.

Mas o dado que mais surpreende o público é outro. O Diego mostrou um mapa ligando as marcas de VPN aos grupos empresariais que as controlam. São pouquíssimos donos. Você discute na internet se a VPN X é melhor que a Y, e as duas têm o mesmo dono, às vezes o mesmo servidor compartilhado. A briga é só de nome. E Nord, Surfshark ou qualquer outra marca entram na mesma regra de bloqueio por bloco.

Toda VPN guarda log: o que "no logs" significa de verdade

"Não guardamos log" é uma frase de marketing, não uma propriedade técnica. Um serviço precisa registrar pelo menos que sua conta usou o serviço, por quanto tempo e quando, senão não consegue cobrar, cancelar nem responder uma reclamação. Todo sistema gera log. Um clique gera log.

A pergunta certa não é "essa VPN guarda log?". É "essa VPN sabe quem eu sou?". O modelo de negócio de VPN e de DNS público (o 8.8.8.8 do Google, o OpenDNS, o Cloudflare) é big data: saber o que as pessoas consomem. Ninguém investe milhões num DNS gratuito por bondade.

E os exemplos de promessa quebrada não faltam. O Brave era o browser mais elogiado de privacidade até o vazamento mostrar o que ele fazia com os dados. A Avast foi pega vendendo o histórico de acesso dos usuários do antivírus. Quando alguém no chat sugeriu Avast VPN, a resposta foi direta: você tem noção do nível da Avast. Se você quer entender como esses vazamentos viram munição para investigador, eu detalhei isso no aulão sobre vazamentos de senhas.

Provedor de internet versus provedor de conteúdo: quem entrega você na quebra de sigilo

Sua operadora sabe que você conectou num IP de VPN comercial, mas não vê nem guarda o que aconteceu dentro do túnel. Quem entrega sua identidade na quebra de sigilo é o provedor de conteúdo: o Facebook, o Twitter, o Google. Essa foi a parte do Diego, que vive isso por dentro, e ele já tinha aprofundado o assunto no aulão sobre o que seu provedor de internet esconde de você.

O fluxo real funciona assim. Alguém faz algo no Facebook. A Justiça pede ao Facebook, que responde: "esta conta estava com este IP e esta porta de origem neste horário". O IP é de uma telecom. A telecom recebe o ofício e responde: "este IP, neste horário, estava com este cliente". Ela não sabe o que o cliente fez. Ela não guarda para onde o IP foi. Quem falou que você usou o Twitter foi o próprio Twitter.

Poderia a telecom quebrar o túnel? Financeiramente, não. Poderia sequestrar seu DNS para te rastrear? Poderia, mas é ilegal e trocar o DNS não resolveria nada (se ela quisesse, faria sequestro de DNS de qualquer jeito). O que muda o jogo é ordem judicial dentro da telecom: o Diego já viu a Polícia Federal trabalhando lá dentro e, a partir daquele momento, a conexão daquele alvo passa a ser logada por completo.

Agora pense no que uma quebra de sigilo de conta Google devolve: seis meses de histórico de conexão. Todos os IPs. Todas as VPNs que você usou, o Tor, e o IP real daquela vez que a conexão caiu. O IP pouco importa. O login é o que te entrega.

O caso mais didático que o Diego trouxe foi o do cliente de telecom que teve o Wi-Fi usado por outra pessoa para injúrias políticas. A quebra de sigilo veio com o nome do dono do Wi-Fi. Mas os logins do Google eram do autor real, que se incriminou sozinho. O IP apontava para um inocente; a conta apontava para o culpado.

E Harvard? O caso clássico: um aluno mandou ameaça de bomba usando Tor de dentro da faculdade. Ninguém quebrou o Tor. Eles olharam a rede local, viram qual máquina conectou nos IPs de entrada do Tor no horário do e-mail, e foram até o computador dele.

Como configurar o Firefox para privacidade máxima

O primeiro passo para privacidade não é a VPN, é um browser separado que não vaza dados. Eu mostrei a diferença ao vivo com o teste de vazamento do Mullvad: no meu Chrome padrão, sem VPN, ele expôs IP, servidor DNS da minha operadora e WebRTC. No meu Firefox configurado, também sem VPN, o WebRTC estava bloqueado e o DNS apontava para a Inglaterra. Sobrou só o IP de conexão, e esse é o único problema que a VPN resolve.

Esse Firefox vem da aula do Protocolo Sherlock sobre browser configurado para privacidade, e eu liberei o arquivo de presente para quem marcou a gente no Instagram. É um user.js que aplica dezenas de ajustes de uma vez. Os que mais importam:

• Desativa telemetria, experimentos, estudos e envio de relatórios para a Mozilla.
• Desativa preenchimento automático de formulários e de cartões de crédito (você vai entender por quê daqui a pouco).
• Desativa WebRTC, que vaza seu IP real mesmo atrás de VPN.
• Força HTTPS em todas as conexões e define o DuckDuckGo como buscador.
• Apaga todos os cookies quando você fecha o browser, para não carregar sessão nem fingerprint de um dia para o outro.
• Ativa o letterboxing: a janela fica num quadrado fixo que não muda quando você redimensiona, porque o site não deve saber sua resolução real. É um conceito do Tor Browser.

Por que não usar o Chrome com perfis? Porque o Chrome compartilha dados entre perfis e o Google já foi pego rastreando até a aba anônima. E porque seu browser do dia a dia carrega anos de cookies, sessões, logins e comportamento. Tenha um browser só para privacidade. Se o seu principal já é o Firefox, use outro para isso.

Duas extensões que completam o kit

A primeira é a Multi-Account Containers, da própria Mozilla. Cada aba vive num container com cor diferente: pessoal em laranja, trabalho em azul, compras, estudo, o que você quiser. Cookies e sessões não atravessam containers. Logar no Google num container não identifica você nos outros. Você clica com o botão direito num link e escolhe em qual container abrir.

A segunda é o Privacy Badger, da EFF, que bloqueia scripts de rastreamento com agressividade. Eu abri o meu próprio site com ele ligado e a lista de bloqueados foi: Facebook, Google Analytics, Google Tag Manager, PostHog, Segment e o Analytics do TikTok. Sem a extensão, toda vez que alguém abre o brunofraga.com, seis empresas ficam sabendo.

O que uma página captura antes de você clicar em enviar

Digitar já é enviar. Eu criei uma trigger page no HI SPY (imitando o Discord) e mandei o link no chat. Quem digitou qualquer caractere no formulário viu os dados aparecerem no meu painel em tempo real, sem apertar continuar, sem aceitar nada. A tecnologia é WebSocket: cada tecla vai para o servidor no momento em que é pressionada.

E o autopreencher piora tudo. O formulário que aparece na tela tem nome e e-mail, mas por baixo existem campos ocultos: telefone, empresa, endereço, cartão. Quando o browser preenche automaticamente, ele preenche todos, inclusive os que você não vê. Tudo que estava salvo vai junto. Alguém do chat rodou o link no VirusTotal e não deu phishing. Claro que não deu: não há invasão nenhuma, é o comportamento padrão do browser.

Dá para ir além. Com JavaScript e renderização ponta a ponta é possível gravar a sessão inteira: movimento do mouse, scroll, troca de aba, tempo em cada campo. Sem um bit de autorização. Eu expliquei a mecânica completa da ferramenta no aulão sobre a nova versão do HI SPY. Para o tema de hoje, a lição é uma só: o vazamento acontece na camada de aplicação, e nenhuma VPN passa perto dela.

Máquina virtual: uma persona por sistema

Uma máquina virtual isolada é o nível acima do browser configurado: um computador dentro do seu computador, sem nenhuma conta sua, que herda a VPN do sistema principal. O Diego mostrou a dele: um Linux rodando no VMware sobre o Mac, com o Mac conectado na VPN. Para qualquer site, é uma máquina Linux, em inglês, com o fuso horário que ele escolheu para bater com o IP da VPN.

O ponto forte é o isolamento. Nessa máquina não existe Google logado, não existe cookie antigo, não existe autopreencher com seu endereço. O Diego tem uma VM com Windows, uma com Kali (a mesma lógica que eu comparei no aulão sobre TraceLabs e Kali Linux), uma num HD externo. Cada uma é uma pessoa. Um jornalista que precisa de um codinome monta a VM "Antônio", cria as redes sociais dela em cima de IP de VPN, com e-mails sem vínculo, e só liga essa máquina quando é o Antônio que precisa trabalhar.

É como ter um celular Android zerado para cada personalidade. Ninguém vai fazer isso para uso normal (e o Diego admitiu isso ao vivo). Mas se o seu objetivo é não ser identificado de jeito nenhum, é o caminho. E não é VPS na Amazon, como perguntaram no chat: é virtualizador local, instalado na sua máquina.

Quando a VPN finalmente entra: o critério de VPN sem identificação

A VPN entra depois que você fechou formulário, sessão, cookies, resolução, fingerprint, teclado, DNS e camada de aplicação. Aí sobra um identificador: o IP. Agora sim, se preocupe com ele.

Antes de escolher, dois princípios. Primeiro: se o site usa HTTPS, o conteúdo já vai criptografado entre você e o destino, com ou sem VPN. A telecom vê tráfego cifrado nas duas situações. Segundo: a VPN vê todas as suas conexões. Todas. Você está confiando nela quase mais do que no Google. Se ela guarda seu e-mail, seu cartão e seu CPF junto com o histórico do que você acessou, ela virou um ponto único de falha.

Por isso meu critério é um só: VPN que não quer saber quem você é. Ela vai continuar registrando por onde você passou, porque é o negócio dela. Mas ela não tem seu nome para colar nesse registro. Toda VPN que exige cadastro com cartão de crédito já está fora da conversa. Você nem começa por ela.

E se você prefere não confiar em ninguém, existe o caminho de montar a sua: eu ensinei passo a passo no aulão sobre criar sua própria VPN numa VPS. É mais técnico, mas o servidor é seu.

Mullvad VPN: conta por número, Monero e kill switch

A Mullvad é a VPN que eu recomendo porque a única coisa que ela sabe sobre você é um número. Eu criei uma conta ao vivo: cliquei em começar, o site gerou um ID numérico, e pronto. Sem e-mail, sem senha, sem nome. Esse número é seu login. Perdeu o número, perdeu a conta.

O pagamento segue a mesma lógica. Você pode pagar com Monero, a criptomoeda mais usada para anonimato (com desconto). E Monero não é a única saída: dá para colocar dinheiro num envelope com um código e mandar pelo correio para a Suécia. Quando o envelope chega, eles creditam o saldo. Conta sem identificação e pagamento sem identificação. A política de não registro deles é pública, e quando a polícia sueca apareceu com mandado, saiu sem nada porque não havia dado de usuário para entregar.

Mas o recurso que mais importa está nas configurações: o Kill Switch, ou Lockdown Mode. Se a VPN cair, trocar de servidor ou ter qualquer instabilidade, ele bloqueia toda conexão externa do computador. Nada sai pelo IP real. Lembra dos segundos de reconexão que entregam todo mundo? É isso que o kill switch mata. Tem VPN de 20 reais por mês sem esse recurso, e sem ele você está apostando que sua conexão nunca vai oscilar.

Tem custo? Tem. O Diego contou que um computador que ele acessava por TeamViewer estava na VPN com kill switch, a conexão caiu, não reconectou, e ele teve que ir fisicamente na empresa. Por padrão, com a VPN ligada, seu dispositivo fica incomunicável até na rede local. Saiba o que está ativando.

Proton VPN e a jurisdição suíça

A Proton VPN é a segunda opção que vale discussão, e o motivo é geográfico: a empresa fica na Suíça. Quebrar sigilo lá exige carta rogatória, trâmite na legislação local e um processo que não é administrativo. É a mesma razão pela qual tanto dinheiro mora em banco suíço.

Mas eu não ignoro o outro lado. A Proton virou um grupo grande, com compliance, e colabora com investigações, inclusive com casos no Brasil. Num caso que me relataram, o conteúdo do e-mail não existia para entregar. E Proton para Proton é cifrado ponta a ponta: nem eles têm o conteúdo. A política no-logs deles é auditada todo ano e eles afirmam ter recebido 458 ordens judiciais sem conseguir identificar ninguém. Confio? Confio mais na jurisdição do que na promessa.

Um detalhe que vale para as duas: se a VPN quebrar o sigilo e você conectou de casa, o IP da sua casa aparece. Conectou do shopping, aparece o IP do shopping. A VPN sem identificação protege quem você é, não de onde você veio.

Tor, Tails e VPN em Wi-Fi público: o que não fazer

VPN em Wi-Fi público não te protege se o atacante controla a rede. Ele cria rotas específicas para os sites que quer interceptar e seu tráfego sai por elas, fora do túnel. A técnica é antiga e ganhou um CVE recente, o TunnelVision, que o Diego jogou no chat. O melhor uso de VPN é no seu 4G ou no Wi-Fi da sua casa. E se você quer entender o quanto uma rede Wi-Fi já revela sobre você, veja o aulão sobre WiGLE e rastreamento de redes.

Sobre o Tor: é uma ferramenta incrível, mas não é imune. Os nós são operados por qualquer pessoa, inclusive universidades, e o FBI já se passou por um deles. Não confie totalmente no Tor para privacidade contra Estado. Somando isso à instabilidade da rede, que vaza IP a cada queda, eu prefiro VM mais VPN sem identificação para a maioria dos casos.

E o Tails? Ótimo sistema. Mas uma máquina virtual limpa ou um computador zerado sem identificação faz o mesmo trabalho. Quando o pessoal do chat cobrou que eu deveria ter comprado o Monero pelo Tails, a resposta foi simples: ninguém sabe em qual máquina eu fiz isso.

O erro final, que anula tudo: montar o Firefox blindado, a VM, a Mullvad paga em Monero com kill switch ligado, e logar no seu Facebook pessoal sem querer. Pronto. O Facebook sabe que você usou aquele IP, aquela VPN, aquela máquina. Voltamos ao começo do aulão.

Ferramentas Utilizadas Neste Aulão

Ferramenta	Finalidade	Link
Fingerprint	Mostra tudo que seu browser entrega e calcula quão único você é	fingerprint.com
Mullvad Browser Check	Testa vazamento de IP, DNS e WebRTC	mullvad.net/check
HI SPY	Cria páginas que capturam dados digitados, IP e dispositivo em tempo real	hispy.io
Firefox	Browser separado, configurado via user.js	mozilla.org
Multi-Account Containers	Isola cookies e sessões por container	addons.mozilla.org
Privacy Badger	Bloqueia rastreadores (EFF)	privacybadger.org
VMware	Máquinas virtuais isoladas, uma por persona	vmware.com
Mullvad VPN	VPN com conta numérica, Monero e kill switch	mullvad.net
Proton VPN	VPN com jurisdição suíça e auditoria anual	protonvpn.com
Monero	Pagamento anônimo da VPN	getmonero.org
Tor Browser	Referência de letterboxing e anonimato de rede	torproject.org
Tails	Sistema operacional amnésico	tails.net
Privacy Guides	Recomendações auditadas de ferramentas de privacidade	privacyguides.org
PrivacyTools	Fork mais flexível do Privacy Guides	privacytools.io

Perguntas Frequentes

VPN deixa você anônimo?

Não. A VPN troca seu IP, e só. Contas logadas, cookies, fingerprint do browser e autopreencher continuam identificando você. Anonimato começa no browser e na máquina, e a VPN é o último passo.

O que uma VPN não esconde?

Ela não esconde o que você faz dentro de contas logadas, o fingerprint do seu hardware, seu fuso horário e teclado, nem o fato de que você está num bloco de IP de VPN comercial. Também não protege contra páginas que capturam o que você digita.

Meu provedor de internet sabe que eu uso VPN?

Sabe que você conectou num IP de VPN comercial, porque esses blocos são conhecidos. Mas ele não vê o conteúdo do túnel e não guarda para onde seu IP foi. Quem entrega você na quebra de sigilo é o site onde você estava logado.

Qual VPN não guarda log?

Nenhuma. Todo sistema registra que a conta usou o serviço. A diferença está em saber quem é o dono da conta: a Mullvad só tem um número, sem e-mail nem cartão. A Proton VPN tem auditoria anual da política e jurisdição suíça.

O que é kill switch em VPN?

É o recurso que bloqueia toda conexão do computador quando a VPN cai ou troca de servidor, para o IP real não vazar nos segundos de reconexão. Na Mullvad chama Lockdown Mode. Sem isso, uma única queda em seis meses aparece na quebra de sigilo.

VPN em Wi-Fi público é segura?

Não contra quem controla a rede. Um atacante no Wi-Fi pode forçar rotas fora do túnel (técnica TunnelVision). Use VPN no seu 4G ou no Wi-Fi de casa.

Firefox ou Chrome é melhor para privacidade?

Firefox, num perfil separado do seu uso diário e configurado com user.js, Multi-Account Containers e Privacy Badger. O Chrome compartilha dados entre perfis e o Google já foi pego rastreando a aba anônima.

Tor é seguro para privacidade?

Contra rastreamento comum, sim. Contra Estado, não totalmente: nós do Tor já foram operados pelo FBI e a rede cai com frequência, vazando o IP real. Para a maioria dos casos eu prefiro máquina virtual mais VPN sem identificação.

Veja também: Como Se Proteger de Phishing e Engenharia Social — Aulão #058

Veja também: Como Proteger sua Rede Wi-Fi do Ataque de Deauth — Aulão #060

Veja também: Câmeras Escondidas na Sua Rede: Como Achar e Se Proteger — Aulão #068

Veja também: Conta em Dólar: Como Blindar Seu Patrimônio Antes do DREX — Aulão #066

Veja também: E-mail anônimo de verdade: alias, Proton e domínio sem rastr — Aulão #076

Veja também: Domínio Anônimo: Até Onde Vai a Sua Privacidade — Aulão #077

Referências e Recursos

• Privacy Guides: o que uma VPN faz e não faz
• Privacy Guides: VPNs recomendadas com auditorias
• PrivacyTools: lista de apps e serviços
• Mullvad: política de não registro de atividade
• Proton VPN: política no-logs e auditorias
• TunnelVision (CVE-2024-3661): rotas fora do túnel da VPN
• Privacy Badger (EFF)
• Firefox Multi-Account Containers
• Fingerprint: demo de identificação de dispositivo
• Tor Project