Il bug di Android 16 che aggira la VPN anche in modalità lockdown

Per anni, la VPN sullo smartphone è stata considerata una specie di scudo: la attivi, e tutto ciò che esce dal telefono passa attraverso un canale cifrato, nascondendo la tua identità in rete. Android ha persino aggiunto due opzioni pensate per chi vuole garanzie più solide: Always-on VPN (VPN sempre attiva) e Block connections without VPN (blocca le connessioni senza VPN), che funziona come un interruttore d'emergenza — se la VPN cade, nessun dato esce. Un bug scoperto in questi giorni su Android 16 mette in discussione esattamente questa promessa, e sta facendo discutere ben oltre la comunità degli appassionati di tecnologia.

Un canale nascosto aggira il tunnel cifrato

La vulnerabilità, individuata da un ingegnere della sicurezza e confermata pubblicamente da Mullvad, consente a un'app malevola di inviare dati fuori dal tunnel VPN, rivelando l'indirizzo IP reale dell'utente anche quando la VPN è attiva e anche quando sono abilitate le opzioni più restrittive di Android. Un dettaglio cruciale: non si tratta di un difetto legato a un singolo provider VPN, né di una configurazione sbagliata da parte dell'utente, né di una crittografia insufficiente. Il problema riguarda l'architettura di rete del sistema operativo Android 16 nella sua versione ufficiale.

Per capire il meccanismo senza addentrarsi troppo nei tecnicismi: il canale coinvolto passa attraverso un servizio centrale di Android, il ConnectivityManager, e sfrutta QUIC, un protocollo di trasporto moderno che alimenta una fetta crescente del traffico web — in particolare HTTP/3, la versione più recente del protocollo alla base di internet. In sostanza, esiste un percorso "speciale" che permette di inviare un piccolo pacchetto di dati al termine di una connessione QUIC. Quel percorso, in determinate condizioni, riesce a uscire dal perimetro della VPN anche quando Android è impostato per bloccare tutto il traffico non protetto.

L'indirizzo IP che non dovrebbe comparire

La conseguenza pratica per l'utente è diretta: basta che un'app ostile contatti un server controllato dall'aggressore per rivelare l'indirizzo IP reale del dispositivo. Non serve rubare password, non serve intercettare messaggi cifrati. È sufficiente far emergere un metadato molto potente — l'IP — che è spesso la prima informazione che una VPN dovrebbe nascondere. Quando l'IP torna visibile, con esso diventano deducibili anche la rete da cui ci si sta collegando, l'operatore telefonico, una geolocalizzazione approssimativa e, in certi casi, la possibilità di mettere in relazione sessioni e comportamenti diversi.

Google sostiene che la falla sia sfruttabile solo tramite applicazioni malevole. È una precisazione plausibile, ma non del tutto rassicurante. Il modello di Android permette a moltissime app di richiedere — e ottenere — permessi considerati ordinari, come l'accesso a internet e allo stato della rete. Il sistema di protezione integrato, Play Protect, riduce il rischio ma non lo elimina, soprattutto con minacce nuove o con app che rimangono in una zona grigia prima di essere classificate come dannose. In altre parole, il requisito dell'app malevola non è un filtro assoluto: chi attiva una VPN per aumentare la propria sicurezza non dovrebbe ritrovarsi esposto per via di un singolo anello debole nella catena.

Chi usa la VPN per proteggersi non dovrebbe dipendere da un singolo anello debole nel sistema

Google dice: non lo correggiamo

La parte più delicata della vicenda riguarda la risposta di Google: la segnalazione è stata chiusa come "won't fix" — letteralmente, "non verrà corretto" — classificando il problema come non trattabile con una normale patch di sicurezza. Il messaggio che arriva alla comunità di chi si occupa di privacy è inequivocabile: il comportamento esiste, è riproducibile, ma non sarà corretto nel breve periodo nella versione principale di Android 16. Questo trasforma il bug da incidente tecnico a questione di fiducia: cosa promette davvero Android quando offre un'impostazione chiamata Block connections without VPN? Quanto sono affidabili le garanzie di isolamento di rete su un dispositivo mobile moderno, in cui prestazioni e compatibilità spingono continuamente a introdurre eccezioni e ottimizzazioni?

La risposta di GrapheneOS rende la domanda ancora più scomoda. GrapheneOS è una versione modificata di Android orientata alla sicurezza, che applica protezioni aggiuntive rispetto alla versione standard di Google. Questo progetto ha già distribuito una mitigazione nella build di maggio 2026 (2026050400). Il fatto che un derivato riesca a intervenire rapidamente suggerisce che la correzione non sia impossibile in assoluto: può avere dei compromessi tecnici, richiedere test, ma un percorso esiste. GrapheneOS tratta l'isolamento della VPN come una proprietà di sicurezza non negoziabile, ed è disposta a disabilitare un'ottimizzazione di rete se quella ottimizzazione crea un canale laterale non controllato.

Performance contro sicurezza, un conflitto antico

Questa storia tocca una tensione strutturale del mondo mobile: la rete è diventata un campo di battaglia tra velocità e regole di sicurezza. QUIC nasce proprio per migliorare latenza e affidabilità rispetto ai protocolli tradizionali, e l'intero ecosistema — browser, app, reti di distribuzione dei contenuti — lo sta adottando sempre più. Una piattaforma come Android deve gestire contemporaneamente roaming tra reti diverse, portali di accesso al Wi-Fi, risparmio energetico, riconnessioni rapide e la compatibilità con milioni di app. Quando un meccanismo introduce un'eccezione, non è raro che quell'eccezione finisca per scavalcare una policy che l'utente credeva assoluta.

Non è la prima volta che la promessa del blocco totale tramite VPN mostra crepe. Nel mondo delle versioni modificate di Android esistono da anni discussioni su scenari in cui l'opzione di blocco non è un muro monolitico, ma un insieme di componenti che possono avere regressioni o comportamenti imprevisti. La differenza, oggi, è che Android 16 è una versione di riferimento per centinaia di milioni di dispositivi: quando un comportamento simile compare nel ramo principale, l'impatto si allarga immediatamente a tutti i provider VPN e ai loro utenti.

I provider VPN rischiano di pagare per un bug che non dipende da loro e che non possono correggere

Chi rischia di più in Italia

I provider VPN si trovano in una posizione scomoda: Mullvad lo dice chiaramente, il problema è a livello di sistema operativo e non riguarda un singolo servizio. Un utente può percepire che «la VPN non funziona» e attribuire la colpa al provider, quando invece è la piattaforma a offrire un percorso di rete che aggira il tunnel. È un cortocircuito comunicativo pericoloso, soprattutto perché le VPN vengono spesso scelte per fiducia e reputazione, non per differenze tecniche comprensibili al grande pubblico.

Per l'Italia il tema è particolarmente attuale. Nel 2025 il dibattito sull'age verification per alcuni contenuti online ha riacceso l'uso delle VPN anche tra persone che non si definirebbero appassionate di privacy digitale, spingendo parte del pubblico verso soluzioni gratuite o app meno trasparenti. In parallelo, il mercato mobile italiano conta circa 79,3 milioni di SIM attive legate a utenze personali. Anche una quota minoritaria di utenti su Android 16 che usa la VPN in modalità always-on rappresenta una superficie di esposizione non trascurabile.

Cosa può fare chi ha Android 16

La prima cosa da chiarire è il perimetro reale del problema: questa vulnerabilità non significa che la VPN sia inutile. Significa che su Android 16 la VPN può non costituire un confine totale in presenza di app malevole e di questo specifico canale legato a QUIC. Per la maggior parte degli utenti, la VPN resta efficace nel ridurre il tracciamento su reti Wi-Fi pubbliche e nel proteggere la sessione da attacchi comuni. Il problema riguarda chi ha attivato le modalità più restrittive aspettandosi una garanzia assoluta.

Nelle discussioni tecniche è emersa una mitigazione temporanea tramite ADB, che consiste nel disabilitare un parametro di sistema legato alla gestione delle connessioni QUIC. È però un approccio da utenti esperti: richiede un PC, l'abilitazione delle opzioni sviluppatore e non è garantita la stabilità nel tempo se Google modifica i parametri in aggiornamenti futuri.

La strada più praticabile per la maggior parte degli utenti è quella dell'igiene applicativa. Se la minaccia richiede un'app malevola, diventa centrale evitare installazioni fuori dal Play Store, diffidare da VPN gratuite poco note, controllare i permessi e la reputazione degli sviluppatori, e stare alla larga dai cloni di app popolari. Non è una soluzione elegante, ma è coerente con la premessa che il rischio passi da un'app installata sul dispositivo.

Resta poi l'opzione più radicale: passare a GrapheneOS, che ha già risolto il problema. È però un percorso che richiede dispositivi compatibili (principalmente i Google Pixel), procedure di sblocco e reinstallazione, e un livello di competenza tecnica fuori dalla portata della maggior parte degli utenti. Quando la piattaforma principale definisce «non correggibile» un problema che per alcuni è centrale, chi può si sposta su soluzioni alternative, mentre il grosso del pubblico resta in una zona di rischio difficile da comunicare in modo chiaro.

Una promessa che dovrebbe essere esplicita

C'è un ultimo aspetto che questa vicenda mette in luce: le VPN stesse stanno cambiando. Negli ultimi anni molti provider hanno adottato tecniche di camuffamento del traffico — tra cui proprio QUIC e protocolli come MASQUE — per sopravvivere in reti che filtrano o degradano le connessioni VPN tradizionali. Più la VPN diventa simile al normale traffico web per non essere bloccata, più dipende dai dettagli del networking moderno e dalle scelte dei sistemi operativi. Il paradosso è che la stessa direzione tecnologica che rende le VPN più resistenti alla censura aumenta l'importanza di bug di piattaforma che coinvolgono QUIC.

La domanda centrale non è solo se e quando arriverà una correzione. È quale livello di garanzia un sistema operativo mobile sia disposto a offrire quando espone impostazioni che suonano come assolute. Se Always-on VPN e Block connections without VPN diventano promesse condizionali, la piattaforma dovrebbe dirlo esplicitamente. Altrimenti il rischio più concreto non è un attacco di massa: è l'abitudine a sentirsi protetti mentre una parte del traffico trova un'uscita laterale.