1. Όταν το VPN γίνεται μέρος του προβλήματος
Υπάρχει κάτι βαθιά προβληματικό στην ιδέα ότι εγκαθιστούμε ένα εργαλείο για να προστατεύσουμε την ιδιωτικότητά μας και τελικά ανακαλύπτουμε ότι το ίδιο εργαλείο μπορεί να συλλέγει πληροφορίες που θεωρούμε προσωπικές.
Αυτό ακριβώς ανέδειξε η υπόθεση του Urban VPN.
Τον Δεκέμβριο του 2025, η εταιρεία κυβερνοασφάλειας Koi Security δημοσίευσε έρευνα σύμφωνα με την οποία το Urban VPN Proxy περιλάμβανε μηχανισμό συλλογής συνομιλιών από δημοφιλείς υπηρεσίες τεχνητής νοημοσύνης, όπως το ChatGPT, το Claude, το Gemini και άλλες πλατφόρμες.
Δεν μιλάμε απλώς για τη δημόσια IP μας, το ιστορικό επισκέψεων ή κάποια ανώνυμα στατιστικά χρήσης.
Μιλάμε για το περιεχόμενο των συνομιλιών μας.
Τα μηνύματα που γράφουμε. Τις ερωτήσεις που κάνουμε. Τις απαντήσεις που λαμβάνουμε. Πληροφορίες που μπορεί να αφορούν την υγεία μας, τα οικονομικά μας, την προσωπική μας ζωή, τη δουλειά μας ή τον κώδικα που αναπτύσσουμε.
Και όλα αυτά μέσα από μια επέκταση browser που διαφημιζόταν ως εργαλείο προστασίας και ιδιωτικότητας.
Αν ένα εργαλείο που εγκαθιστάς για να περιορίσεις την έκθεση των δεδομένων σου καταλήγει να αποτελεί το ίδιο σημείο συλλογής αυτών των δεδομένων, τότε το πρόβλημα δεν είναι απλώς τεχνικό. Είναι πρόβλημα εμπιστοσύνης.
2. Τι ακριβώς έκανε το Urban VPN;
Σύμφωνα με την τεχνική ανάλυση της Koi Security, η έκδοση 5.5.0 του Urban VPN Proxy, που κυκλοφόρησε στις 9 Ιουλίου 2025, περιλάμβανε κώδικα σχεδιασμένο να παρεμβάλλεται στην επικοινωνία του browser με υπηρεσίες AI.
Ο μηχανισμός χρησιμοποιούσε ειδικά scripts για να παρεμβαίνει στη διαχείριση δικτυακών αιτημάτων και αποκρίσεων, αποκτώντας αντίγραφα του περιεχομένου των συνομιλιών.
Η έρευνα ανέφερε ότι μπορούσαν να συλλέγονται:
- Τα prompts που πληκτρολογούσε ο χρήστης.
- Οι απαντήσεις που επέστρεφε η υπηρεσία AI.
- Αναγνωριστικά συνομιλιών και χρονικές σημάνσεις.
- Μεταδεδομένα συνεδριών.
- Πληροφορίες σχετικά με την πλατφόρμα και το μοντέλο που χρησιμοποιούνταν.
Οι πλατφόρμες που αναφέρονταν στην έρευνα περιλάμβαναν το ChatGPT, το Claude, το Google Gemini, το Microsoft Copilot, το Perplexity, το DeepSeek, το Grok και το Meta AI.
Το σημαντικότερο είναι ότι ο μηχανισμός δεν περιοριζόταν στην παρατήρηση του γεγονότος ότι επισκεπτόμαστε μια υπηρεσία AI. Σύμφωνα με τους ερευνητές, μπορούσε να συλλέγει το περιεχόμενο και των δύο πλευρών της συνομιλίας.
Αυτό αλλάζει εντελώς τη σοβαρότητα του ζητήματος.
Άλλο να γνωρίζει κάποιος ότι επισκεφθήκαμε το ChatGPT και άλλο να αποκτά πρόσβαση σε όσα γράψαμε και σε όσα μας απάντησε.
Η πρώτη περίπτωση αφορά πληροφορίες δραστηριότητας. Η δεύτερη μπορεί να αφορά εξαιρετικά ευαίσθητο περιεχόμενο.
3. Το VPN ήταν κλειστό. Η συλλογή συνέχιζε.
Ένα από τα πιο ανησυχητικά ευρήματα της έρευνας ήταν ότι η συλλογή συνομιλιών λειτουργούσε ανεξάρτητα από την κύρια λειτουργία VPN.
Με άλλα λόγια, σύμφωνα με την Koi Security, η απενεργοποίηση της σύνδεσης VPN δεν σταματούσε από μόνη της τον μηχανισμό συλλογής.
Και εδώ βρίσκεται ένα σημείο που πολλοί χρήστες αγνοούν.
Μια επέκταση browser δεν είναι μόνο αυτό που βλέπουμε στο εικονίδιό της. Είναι κώδικας που εκτελείται στο παρασκήνιο, διαθέτει συγκεκριμένα δικαιώματα και μπορεί να εκτελεί διαφορετικές λειτουργίες ταυτόχρονα.
Η σύνδεση VPN, η παρακολούθηση περιεχομένου ιστοσελίδων και η αποστολή δεδομένων σε απομακρυσμένους διακομιστές δεν είναι η ίδια λειτουργία.
Επομένως, το να κλείσουμε τον διακόπτη του VPN δεν σημαίνει ότι σταματήσαμε και οτιδήποτε άλλο εκτελεί η επέκταση.
Και αυτό είναι ακριβώς το είδος συμπεριφοράς που πρέπει να εξετάζουμε όταν αξιολογούμε ένα εργαλείο ασφαλείας.
Το εικονίδιο γράφει VPN. Δεν σημαίνει ότι όλος ο κώδικας που εκτελείται πίσω από αυτό λειτουργεί αποκλειστικά για την προστασία μας.
4. Η ειρωνεία της προστασίας από διαρροή προσωπικών δεδομένων
Το Urban VPN προωθούσε λειτουργίες AI Protection που παρουσιάζονταν ως τρόποι εντοπισμού ευαίσθητων πληροφοριών στα prompts και προειδοποίησης για πιθανούς κινδύνους.
Η ειρωνεία είναι δύσκολο να αγνοηθεί.
Ένας χρήστης μπορεί να γράψει κάτι προσωπικό σε ένα chatbot και να λάβει προειδοποίηση ότι δεν πρέπει να κοινοποιεί ευαίσθητα δεδομένα.
Την ίδια στιγμή, σύμφωνα με την έρευνα της Koi Security, η επέκταση μπορούσε να αντιγράφει το περιεχόμενο της συνομιλίας και να το διαβιβάζει στην υποδομή του παρόχου.
Σκέψου το για ένα λεπτό.
Γράφεις ένα προσωπικό μήνυμα. Το εργαλείο που υποτίθεται ότι σε βοηθά να προστατεύσεις τις πληροφορίες σου έχει τη δυνατότητα να αποκτήσει πρόσβαση στο ίδιο το μήνυμα. Η προειδοποίηση που βλέπεις στην οθόνη δεν σε προστατεύει από τη συλλογή που πραγματοποιεί ο ίδιος ο μηχανισμός.
Αυτό δεν είναι απλώς ειρωνικό. Είναι ένα εξαιρετικά σοβαρό πρόβλημα σχεδιασμού και εμπιστοσύνης, όπως περιγράφεται στην έρευνα.
Η δυνατότητα εντοπισμού ευαίσθητων δεδομένων δεν δικαιολογεί από μόνη της την ευρεία συλλογή ολόκληρων συνομιλιών.
Και η ονομασία «AI Protection» δεν μετατρέπει αυτομάτως κάθε σχετική επεξεργασία σε μέτρο προστασίας του χρήστη.
5. Τα δεδομένα δεν είναι απλώς μερικές γραμμές κειμένου
Το πρόβλημα γίνεται ακόμη μεγαλύτερο όταν εξετάσουμε τι μπορεί να περιέχει μια συνομιλία με ένα σύγχρονο chatbot.
Ένας χρήστης μπορεί να ζητήσει βοήθεια για ένα προσωπικό πρόβλημα, να περιγράψει μια ιατρική κατάσταση, να αναλύσει οικονομικά στοιχεία ή να επικολλήσει εσωτερικό επαγγελματικό κώδικα.
Μπορεί να συμπεριλάβει ονόματα, διευθύνσεις ηλεκτρονικού ταχυδρομείου, στοιχεία πελατών, αποσπάσματα εγγράφων ή άλλες πληροφορίες που δεν προορίζονταν για κανέναν τρίτο.
Ακόμη και όταν δεν υπάρχει άμεσο αναγνωριστικό, το περιεχόμενο μιας συνομιλίας μπορεί να αποκαλύπτει πολλά για ένα άτομο ή έναν οργανισμό.
Η έρευνα της Koi Security συνέδεσε τη συλλογή με εμπορική αξιοποίηση δεδομένων και ανέφερε ότι η πολιτική απορρήτου προέβλεπε γνωστοποίηση AI prompts για σκοπούς marketing analytics, καθώς και διαμοιρασμό δεδομένων περιήγησης με συνδεδεμένη εταιρεία, τη BiScience.
Αυτό είναι το κρίσιμο σημείο: τα δεδομένα που παράγουμε όταν χρησιμοποιούμε AI δεν είναι απαραίτητα αθώα ή ασήμαντα.
Μπορούν να αποτελέσουν λεπτομερή καταγραφή σκέψεων, αναγκών, προβλημάτων, ενδιαφερόντων και επαγγελματικών δραστηριοτήτων.
Όταν ένα τέτοιο σύνολο δεδομένων συλλέγεται και αξιοποιείται πέρα από αυτό που ο χρήστης περιμένει από το εργαλείο που εγκατέστησε, η ιδιωτικότητα παύει να είναι μια αφηρημένη έννοια.
Γίνεται κάτι απολύτως συγκεκριμένο: ποιος έχει πρόσβαση σε όσα γράφουμε και τι μπορεί να κάνει με αυτά.
6. Το πρόβλημα δεν είναι μόνο το Urban VPN
Η συγκεκριμένη υπόθεση δεν αφορούσε αποκλειστικά μία επέκταση.
Σύμφωνα με την Koi Security, παρόμοια λειτουργικότητα εντοπίστηκε και σε άλλες επεκτάσεις που συνδέονταν με τον ίδιο εκδότη, μεταξύ των οποίων τα 1ClickVPN Proxy, Urban Browser Guard και Urban Ad Blocker.
Οι ερευνητές ανέφεραν συνολικά περισσότερες από οκτώ εκατομμύρια εγκαταστάσεις στις εκδόσεις των επεκτάσεων για Chrome και Edge.
Αυτό δείχνει πόσο σημαντικό είναι να εξετάζουμε ολόκληρο το οικοσύστημα μιας εταιρείας και όχι μόνο μία εφαρμογή μεμονωμένα.
Ένας χρήστης μπορεί να μην εμπιστεύεται ένα VPN, αλλά να εγκαταστήσει μια άλλη επέκταση του ίδιου εκδότη επειδή υπόσχεται αποκλεισμό διαφημίσεων ή προστασία του browser.
Αντίστοιχα, μπορεί να θεωρεί ότι η παρουσία μιας επέκτασης σε επίσημο κατάστημα εφαρμογών αποτελεί επαρκή απόδειξη ασφάλειας.
Δεν αποτελεί.
Οι έλεγχοι των καταστημάτων εφαρμογών είναι σημαντικοί, αλλά δεν υποκαθιστούν την ανεξάρτητη τεχνική αξιολόγηση, ούτε εγγυώνται ότι κάθε μεταγενέστερη ενημέρωση θα διατηρεί την ίδια συμπεριφορά.
Η εμπιστοσύνη δεν μπορεί να βασίζεται μόνο στην εμπορική παρουσία, στις αξιολογήσεις ή στα σήματα προβολής μιας πλατφόρμας.
7. Τι απάντησε η εταιρεία;
Στις 18 Δεκεμβρίου 2025, το Urban VPN δημοσίευσε απάντηση στην κριτική που δέχθηκε.
Η εταιρεία υποστήριξε ότι η AI Protection ήταν προαιρετική, απαιτούσε ρητή συγκατάθεση και μπορούσε να απενεργοποιηθεί από τις ρυθμίσεις. Υποστήριξε επίσης ότι η σχετική επεξεργασία αφορούσε μόνο χρήστες που είχαν επιλέξει να ενεργοποιήσουν τη λειτουργία και ότι τα δεδομένα φιλτράρονταν για την αφαίρεση ευαίσθητων πληροφοριών.
Οι ισχυρισμοί αυτοί έρχονται σε αντίθεση με την περιγραφή της τεχνικής συμπεριφοράς που δημοσίευσε η Koi Security, ιδίως ως προς το αν η συλλογή ήταν ενεργή από προεπιλογή και αν σταματούσε με την απενεργοποίηση της λειτουργίας.
Αυτή η διαφωνία είναι ουσιώδης και πρέπει να αξιολογείται με βάση τα τεχνικά στοιχεία, τον κώδικα και την πραγματική συμπεριφορά της επέκτασης.
Το γεγονός, όμως, παραμένει ότι η υπόθεση ανέδειξε ένα τεράστιο πρόβλημα εμπιστοσύνης γύρω από ένα εργαλείο που διαφημιζόταν για την προστασία της ιδιωτικότητας.
Όταν οι ερευνητές κυβερνοασφάλειας αναφέρουν ότι μια επέκταση μπορεί να αντιγράφει συνομιλίες AI και να τις διαβιβάζει σε απομακρυσμένους διακομιστές, δεν αρκεί να κοιτάξουμε το όνομα μιας ρύθμισης και να θεωρήσουμε ότι όλα είναι εντάξει.
Χρειάζονται επαληθεύσιμες απαντήσεις για το τι συλλέγεται, πότε συλλέγεται, πού αποστέλλεται και ποιος έχει πρόσβαση στα δεδομένα.
Αυτό είναι το ελάχιστο που πρέπει να απαιτούμε από ένα εργαλείο που ζητά να του εμπιστευτούμε την ιδιωτικότητά μας.
8. Τι μας διδάσκει η υπόθεση
Το Urban VPN είναι μια υπενθύμιση ότι η ασφάλεια ενός εργαλείου δεν κρίνεται από την περιγραφή του στο κατάστημα εφαρμογών.
Κρίνεται από τον κώδικά του, τα δικαιώματά του, τις δικτυακές επικοινωνίες του και τις πραγματικές πρακτικές διαχείρισης δεδομένων.
Ένα VPN μπορεί να κρυπτογραφεί τη σύνδεσή μας προς τον VPN server και ταυτόχρονα μια επέκταση στον browser να έχει πρόσβαση σε περιεχόμενο που εμφανίζεται σε ιστοσελίδες.
Το HTTPS μπορεί να προστατεύει τη σύνδεση με το chatbot, αλλά δεν εμποδίζει αυτομάτως μια επέκταση με κατάλληλα δικαιώματα να διαβάζει ή να αντιγράφει τα δεδομένα μέσα στον browser.
Και η αλλαγή της δημόσιας IP δεν έχει καμία σχέση με το αν μια εφαρμογή συλλέγει τις συνομιλίες μας.
Αυτές είναι διαφορετικές τεχνικές λειτουργίες και πρέπει να τις αξιολογούμε ξεχωριστά.
Για αυτόν τον λόγο, πριν εγκαταστήσουμε μια επέκταση ασφαλείας, πρέπει να εξετάζουμε:
- Ποιος την αναπτύσσει και ποια άλλα προϊόντα διαθέτει.
- Ποια δικαιώματα ζητά στον browser.
- Ποια δεδομένα συλλέγει και σε ποιους τα διαβιβάζει.
- Αν η πολιτική απορρήτου εξηγεί συγκεκριμένα τις πρακτικές της.
- Αν υπάρχουν ανεξάρτητοι τεχνικοί έλεγχοι.
- Τι αλλάζει όταν η εφαρμογή ενημερώνεται.
Και πάνω απ’ όλα, πρέπει να σταματήσουμε να συγχέουμε την υπόσχεση ασφάλειας με την πραγματική ασφάλεια.
9. Συμπέρασμα
Η υπόθεση Urban VPN αναδεικνύει ένα από τα πιο σοβαρά προβλήματα της σύγχρονης ψηφιακής ιδιωτικότητας: την απόσταση ανάμεσα σε αυτό που πιστεύει ο χρήστης ότι κάνει ένα εργαλείο και σε αυτό που μπορεί πραγματικά να κάνει το λογισμικό του.
Ο χρήστης εγκαθιστά ένα VPN για να περιορίσει την έκθεση της δικτυακής του δραστηριότητας. Δεν περιμένει ότι μια επέκταση αυτού του τύπου θα μπορεί να αντιγράφει τις συνομιλίες του με υπηρεσίες τεχνητής νοημοσύνης και να τις διαβιβάζει σε διακομιστές του παρόχου.
Η έρευνα της Koi Security έφερε στο προσκήνιο ακριβώς αυτό το πρόβλημα, ενώ η απάντηση της εταιρείας ανέδειξε μια ουσιαστική διαφωνία σχετικά με τη λειτουργία και τη συγκατάθεση των χρηστών.
Το μάθημα είναι ξεκάθαρο.
Η ιδιωτικότητα δεν προστατεύεται με ένα εικονίδιο VPN, ούτε με ένα διαφημιστικό σύνθημα. Προστατεύεται με διαφάνεια, περιορισμό δικαιωμάτων, τεχνικούς ελέγχους και πραγματική λογοδοσία.
Όταν εμπιστευόμαστε ένα εργαλείο ασφαλείας, του δίνουμε πρόσβαση σε ένα κομμάτι της ψηφιακής μας ζωής. Αυτή η εμπιστοσύνη δεν είναι λευκή επιταγή.
Και αν μια εφαρμογή που υπόσχεται προστασία βρίσκεται στο επίκεντρο μιας τόσο σοβαρής υπόθεσης συλλογής δεδομένων, η σωστή αντίδραση δεν είναι να αρκεστούμε στην υπόσχεσή της.
Είναι να εξετάσουμε τι κάνει πραγματικά.
Γιατί στο Internet, το μεγαλύτερο πρόβλημα δεν είναι πάντα αυτό από το οποίο προσπαθούμε να κρυφτούμε.
Μερικές φορές, είναι το εργαλείο στο οποίο επιλέξαμε να εμπιστευτούμε την προστασία μας.