VPN: il mantello dell’invisibilità
che non ti rende invisibile
Come funziona davvero una VPN, cosa nasconde e cosa no, perché le forze dell’ordine ti trovano lo stesso — e quando usarla ha senso (e quando no).
“Con la VPN sei invisibile.” “La polizia non può tracciarti.” “Basta attivare la VPN e puoi fare quello che vuoi.” Queste frasi circolano su TikTok, nei corridoi delle scuole e nei gruppi Telegram con la stessa certezza con cui si dice che il sole sorge a est. Il problema è che sono false — o quantomeno, drammaticamente semplificate.
Una VPN è uno strumento utile e legittimo, che protegge la tua privacy in molte situazioni quotidiane. Ma non è un mantello dell’invisibilità, e pensare che lo sia può portare a conseguenze molto concrete — comprese quelle penali che abbiamo visto nell’articolo sull’accesso abusivo.
In questo articolo vediamo come funziona una VPN, cosa protegge davvero, dove fallisce, e cosa vedono le forze dell’ordine quando indagano su qualcuno che pensava di essere “coperto”.
Come funziona una VPN (spiegato semplice)
VPN sta per Virtual Private Network — Rete Privata Virtuale. In pratica, è un tunnel crittografato tra il tuo dispositivo e un server gestito dal provider VPN.
Senza VPN: il percorso normale
Quando visiti un sito web senza VPN, il percorso dei dati è diretto:
Con VPN: il tunnel
La VPN fa essenzialmente due cose: cripta il traffico tra te e il server VPN (il tuo ISP non può leggerne il contenuto) e maschera il tuo IP verso il sito di destinazione (il sito vede l’IP del server VPN, non il tuo).
Immagina di spedire una lettera. Senza VPN, il postino (il tuo ISP) vede mittente, destinatario e — se la busta è trasparente — anche il contenuto. Con la VPN, metti la lettera in una busta opaca e la spedisci a un amico fidato (il server VPN), che la apre, la rimette in una busta nuova col suo indirizzo come mittente, e la rispedisce al destinatario. Il postino vede solo che hai mandato qualcosa al tuo amico. Il destinatario vede solo che la lettera viene dal tuo amico, non da te.
I protocolli: come viene costruito il tunnel
Il tunnel VPN usa protocolli di crittografia per proteggere i dati in transito. I principali nel 2026:
| Protocollo | Velocità | Sicurezza | Note |
|---|---|---|---|
| WireGuard | ⭐⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | Moderno, veloce, codice snello (~4.000 righe). Lo standard attuale. |
| OpenVPN | ⭐⭐⭐ | ⭐⭐⭐⭐⭐ | Collaudato, open source, flessibile. Più lento di WireGuard. |
| IKEv2/IPSec | ⭐⭐⭐⭐ | ⭐⭐⭐⭐ | Buono su mobile (gestisce bene i cambi di rete Wi-Fi/4G). |
| PPTP | ⭐⭐⭐⭐ | ⭐ | Obsoleto e insicuro. Non usare mai. |
Miti vs realtà: cosa la VPN nasconde (e cosa no)
Nasconde i siti che visiti al tuo ISP
Il tuo provider Internet (Telecom, Vodafone…) non può più vedere quali siti visiti. Vede solo che sei connesso a un server VPN.
Vero. È il caso d’uso principale e funziona.Maschera il tuo IP verso i siti
Il sito web vede l’indirizzo IP del server VPN, non il tuo. Utile per la privacy di base e per accedere a contenuti geo-bloccati.
Vero. Ma non ti rende “anonimo” — continua a leggere.Protegge su Wi-Fi pubblici
Su reti Wi-Fi aperte (bar, aeroporti, hotel), la crittografia della VPN impedisce a chiunque sulla stessa rete di intercettare il tuo traffico.
Vero. Uno degli usi più sensati di una VPN.“Con la VPN sei anonimo”
Falso. Il provider VPN vede tutto il tuo traffico (ha sostituito il tuo ISP come intermediario). Se tiene log e riceve un ordine giudiziario, ti identifica.
Hai solo spostato la fiducia dall’ISP al provider VPN.“La polizia non può tracciarti”
Falso. Le forze dell’ordine hanno molti strumenti: log VPN, correlazione temporale, metadati degli account, indagini sul provider, cookie, fingerprint del browser.
PureVPN nel 2017 ha consegnato i log all’FBI, portando all’arresto di un cyberstalker.“Con la VPN posso fare quello che voglio”
Falso. La VPN non cambia la legge. Accedere abusivamente a un account (art. 615-ter) è reato con o senza VPN. E le tracce non si fermano all’IP.
Se accedi a Google con le tue credenziali, Google sa chi sei — VPN o no.Come ti trovano: la VPN dal punto di vista forense
Mettiamoci nei panni di un investigatore. Qualcuno ha commesso un reato informatico usando una VPN. Come si procede?
1️⃣ L’IP del server VPN è il punto di partenza, non la fine
L’investigatore vede l’IP del server VPN nei log del servizio attaccato. Sa che è una VPN — i blocchi IP dei principali provider sono noti. A questo punto chiede al provider VPN i dati dell’utente che usava quell’IP in quel momento preciso.
2️⃣ Il provider VPN: consegna o non consegna?
Dipende dalla log policy e dalla giurisdizione. Se il provider tiene log di connessione (timestamp, IP reale dell’utente, IP VPN assegnato), può identificarti. Se è “no-log” e verificato, non ha dati da consegnare. Ma “no-log” non è sempre vero — vedi la sezione dedicata più avanti.
3️⃣ Correlazione temporale
Anche senza i log del VPN, l’investigatore può chiedere al tuo ISP: “Chi si è connesso al server VPN X all’ora Y?” Il tuo ISP sa che a quell’ora il tuo IP era connesso a quel server VPN. Se il timing corrisponde all’attività sospetta, sei identificato.
4️⃣ Metadati e account
Se hai fatto login a Google, Facebook, o qualsiasi servizio con il tuo account reale mentre eri connesso alla VPN, quel servizio ha registrato il tuo login dal server VPN. L’investigatore correla: IP VPN + tuo account = tu. La VPN non maschera la tua identità, maschera solo il tuo indirizzo.
5️⃣ Browser fingerprint e cookie
Il tuo browser ha un'”impronta digitale” quasi unica: risoluzione schermo, font installati, versione del browser, fuso orario, lingua. Questa impronta rimane la stessa con o senza VPN. I cookie tracciano le sessioni. Le tecniche di fingerprinting identificano il dispositivo, non l’IP.
6️⃣ Pagamento della VPN
Se hai pagato la VPN con carta di credito o PayPal, c’è una traccia finanziaria diretta. L’investigatore chiede al provider VPN i dati di fatturazione, e ha il tuo nome.
Ryan Lin, un uomo del Massachusetts, utilizzò PureVPN per condurre una campagna di cyberstalking contro la sua ex coinquilina: minacce, false segnalazioni di bombe a scuole, molestie. PureVPN si pubblicizzava come “no-log”. Quando l’FBI chiese i dati, PureVPN consegnò i log di connessione che permisero di collegare l’IP reale di Lin alle attività criminali. Lin fu arrestato e condannato. L’ironia: sui suoi stessi social, Lin avvertiva gli utenti che i provider VPN tengono i log. Non seguì il proprio consiglio.
Log policy: il cuore della questione
La differenza cruciale tra i provider VPN non è la velocità o il prezzo — è la log policy: cosa registrano e cosa no.
| Tipo di log | Cosa registra | Quanto è pericoloso per te |
|---|---|---|
| Usage log (log di utilizzo) | Siti visitati, file scaricati, ricerche | Massimo: è come se l’ISP vedesse tutto |
| Connection log (log di connessione) | Timestamp, IP reale, IP VPN, durata sessione | Alto: permette la correlazione utente↔attività |
| Aggregated log | Dati anonimi e aggregati (uso banda, server più usati) | Basso: non identificano il singolo utente |
| No log | Nulla (se verificato da audit indipendente) | Minimo: niente da consegnare |
Il problema è che “no-log” è un’affermazione di marketing finché non viene verificata. Alcuni provider hanno superato la prova:
- ExpressVPN (2017): server sequestrati dalla polizia turca — nessun dato trovato. Audit indipendenti regolari.
- Private Internet Access (PIA) (2016): richiesta dell’FBI — dimostrò di non avere log da consegnare.
Altri hanno fallito:
- PureVPN (2017): consegnò i log di connessione all’FBI nonostante si dichiarasse “no-log”.
- HideMyAss: consegnò informazioni alla polizia che portarono all’identificazione di un membro di LulzSec.
- IPVanish: consegnò log alle autorità statunitensi nonostante dichiarazioni contrarie.
VPN gratuite: quando il prodotto sei tu
C’è un vecchio adagio nel mondo della tecnologia: “Se il servizio è gratuito, il prodotto sei tu.” Per le VPN gratuite, questa frase è spesso letteralmente vera.
Vendita dei tuoi dati
Molte VPN gratuite finanziano il servizio vendendo i dati di navigazione degli utenti a broker pubblicitari. Hai attivato la VPN per proteggere la privacy — e invece l’hai consegnata a qualcun altro.
Malware incluso
Studi hanno trovato che circa il 38% delle app VPN gratuite su Android contengono malware o tracker. Installi una “protezione” che in realtà installa spyware sul tuo telefono.
Prestazioni pessime
Banda limitata, server sovraffollati, crittografia debole o assente. Una VPN gratuita che non cripta il traffico è peggio di nessuna VPN — ti dà un falso senso di sicurezza.
Log estensivi
Le VPN gratuite tendono a tenere log molto dettagliati — che è esattamente ciò che una VPN non dovrebbe fare. E li consegnano senza resistenza a chiunque li chieda.
Esistono alcune VPN gratuite con piani limitati ma onesti, offerte da aziende serie come tier gratuito del loro prodotto a pagamento: ProtonVPN (piano free senza limiti di banda, pochi server), Windscribe (10 GB/mese). In questi casi il modello di business è chiaro: il piano gratuito è una vetrina per quello a pagamento, non una trappola per raccogliere dati.
Tor vs VPN: due strumenti diversi
Spesso si confondono, ma Tor e VPN sono strumenti molto diversi, progettati per scopi diversi.
| VPN | Tor | |
|---|---|---|
| Come funziona | Tunnel crittografato verso 1 server del provider | Il traffico passa attraverso 3 nodi (relay) gestiti da volontari, crittografato a strati |
| Chi devi “fidarti” | Il provider VPN (un’azienda) | Nessuna singola entità (decentralizzato) |
| Velocità | Buona (50-500 Mbps) | Lenta (1-10 Mbps tipici) |
| Anonimato | Medio: il provider conosce il tuo IP | Alto: nessun singolo nodo conosce sia la tua identità che la tua destinazione |
| Uso tipico | Privacy quotidiana, geo-unblocking, Wi-Fi pubblici | Anonimato forte, giornalismo, attivismo, accesso in paesi con censura |
| Legalità | Legale ovunque (tranne Cina, Russia, etc.) | Legale nella maggior parte dei paesi, ma l’uso può attirare attenzione |
| Limiti forensi | Il provider può collaborare con le autorità | Molto difficile da tracciare, ma non impossibile (attacchi di correlazione, nodi compromessi) |
Il nome Tor sta per The Onion Router — il router a cipolla. Il tuo traffico viene crittografato in tre strati (come una cipolla) e passa attraverso tre nodi: il nodo d’ingresso (conosce il tuo IP ma non la destinazione), il nodo intermedio (non conosce né te né la destinazione), e il nodo d’uscita (conosce la destinazione ma non te). Nessun singolo nodo ha il quadro completo.
VPN a scuola: aggirare i filtri non ti rende furbo
Uno degli usi più comuni delle VPN tra gli studenti è aggirare i filtri della rete scolastica per accedere a siti bloccati — social network, giochi, streaming. Ecco perché non è una buona idea.
- Il traffico VPN è riconoscibile. Anche se il contenuto è crittografato, il pattern del traffico VPN è diverso dal traffico normale. Un firewall moderno identifica le connessioni VPN e le logga — o le blocca.
- Il tuo dispositivo è identificato. Il MAC address del tuo dispositivo, il tuo account di rete, il DHCP log: l’amministratore sa che tu stai usando una VPN, anche se non sa cosa stai facendo.
- Google Workspace vede comunque. Se sei loggato col tuo account scolastico, tutte le attività su servizi Google (ricerche, YouTube, Drive) sono tracciate dall’audit log — VPN o no. La VPN maschera l’IP verso l’esterno, ma il login ti identifica.
In più, il regolamento d’istituto di quasi tutte le scuole vieta esplicitamente l’uso di strumenti per aggirare i filtri di rete. L’infrazione è sanzionabile a livello disciplinare — e in casi gravi (es. accesso a contenuti illegali), può avere conseguenze ben più serie.
Quando usare una VPN ha davvero senso
✅ Usi legittimi e sensati
Bar, hotel, aeroporti, treni: reti aperte dove chiunque può intercettare il traffico. La VPN cripta tutto. Questo è probabilmente l’uso più utile in assoluto.
Vedere un catalogo Netflix di un altro paese, accedere a un servizio non disponibile in Italia. Legale nella maggior parte dei casi (anche se viola i termini di servizio di alcuni provider).
Il tuo provider Internet può legalmente raccogliere e vendere dati sulla tua navigazione in molti paesi. La VPN impedisce questo tracciamento.
Le VPN aziendali permettono ai dipendenti di accedere in sicurezza alla rete interna dell’azienda da casa. Questo è l’uso originale per cui le VPN sono state inventate.
In paesi dove Internet è censurato (Cina, Iran, Russia), una VPN è uno strumento fondamentale per accedere a informazioni libere.
Quiz: VPN — vero o falso?
1. Se uso una VPN per accedere all’email di un compagno, la scuola non può scoprire che sono stato io. Vero o falso?
2. Una VPN “no-log” garantisce che non verranno mai consegnati dati alle autorità. Vero o falso?
3. Se pago la VPN con carta di credito, posso essere identificato anche se il provider è “no-log”. Vero o falso?
4. Tor è più anonimo di una VPN. Vero o falso?
5. Una VPN gratuita è sempre meglio di nessuna VPN. Vero o falso?
6. Uno studente usa la VPN a scuola per guardare TikTok. L’amministratore di rete non può vedere cosa sta facendo. Vero o falso?
Il messaggio: strumento utile, non scudo magico
Una VPN è uno strumento di privacy, non di anonimato. Protegge la tua navigazione quotidiana dall’ISP e dai curiosi sul Wi-Fi del bar. Ma non cancella la tua identità, non ti mette al di sopra della legge, e non impedisce a un investigatore determinato di risalire a te — soprattutto se hai usato account personali, pagato con carta di credito, o lasciato tracce negli audit log dei servizi che hai visitato.
Il vero “mantello dell’invisibilità” non esiste.
Nella sicurezza digitale non esistono soluzioni magiche — solo strumenti che, usati con consapevolezza, aggiungono strati di protezione. Una VPN è uno di questi strati. Ma senza buone password, senza 2FA, senza spirito critico, è come mettere una porta blindata su una casa con le finestre aperte.
Risorse
| Risorsa | Cosa trovi |
|---|---|
| ProtonVPN (protonvpn.com) | VPN con piano gratuito affidabile. Sede in Svizzera, audit indipendenti, open source. |
| Tor Project (torproject.org) | Browser Tor per anonimato forte. Gratuito e open source. |
| XKCD #1269 — “Privacy Opinions” | Vignetta sulla differenza tra privacy percepita e reale. |
| Articoli HOS correlati | Password · Accesso abusivo e Digital Forensics · Phishing · Fuffaguru |