VPN e anonimato: il caso Urban VPN e la raccolta nascosta di dati IA

Il caso Urban VPN mostra come un’estensione browser possa intercettare conversazioni con strumenti di intelligenza artificiale e raccogliere dati.

Negli ultimi anni le VPN sono diventate uno strumento di uso comune. Non più soltanto per tecnici o aziende, ma anche per utenti ordinari che vogliono proteggere il traffico dati, aggirare blocchi geografici o semplicemente navigare con un livello di riservatezza maggiore. Il problema è che, insieme alla diffusione dello strumento, si è diffusa anche la falsa convinzioneche una VPN garantisca anonimato totale.

1. Cosa fa e cosa non fa una VPN
2. Il caso Urban VPN Proxy
3. Chi c’è dietro Urban VPN

In realtà una rete privata virtuale cifra il traffico e lo instrada attraverso un server intermedio, ma non rende invisibili né cancella ogni traccia. Molto dipende da chi gestisce il servizio, dalle politiche di logging e dall’infrastruttura sottostante.

Un’indagine condotta da TechTarget nel maggio 2025 ha confermato che circa un terzo degli utenti intervistati è convinto che l’uso di una VPN equivalga a essere anonimi online. È su questa ambiguità che si innestano casi controversi come quello di Urban VPN Proxy, dove il confine tra protezione della privacy e intermediazione opaca del traffico diventa tutt’altro che teorico.

Cosa fa e cosa non fa una VPN

Una VPN nasce per proteggere il traffico di rete e non per rendere una persona invisibile su Internet. Quando viene attivata, cifra i dati in uscita dal dispositivo e li instrada attraverso un server intermedio, nascondendo l’indirizzo IP reale. Questo è particolarmente utile su reti Wi-Fi pubbliche o poco sicure, dove intercettare il traffico è più semplice.

La VPN riduce la visibilità delle attività online per il provider di connettività e per chi si trova sulla stessa rete. Può anche aggirare restrizioni geografiche, facendo risultare la connessione proveniente da un altro Paese. Ma qui si ferma la sua funzione. Non elimina le tracce lasciate quando si accede a un account con nome e password. Non impedisce ai siti di identificare un utente tramite cookie, impronte del browser o altri sistemi di tracciamento, ma soprattutto non garantisce anonimato assoluto. Molto dipende da chi gestisce il servizio e da quali dati decide di conservare.

Quando poi il traffico passa attraverso reti di proxy o infrastrutture poco trasparenti, il rischio aumenta. È proprio qui che si inserisce il caso Urban VPN Proxy, in cui la promessa di anonimato si scontra con dinamiche molto meno lineari.

Il caso Urban VPN Proxy

All’inizio di dicembre 2025, il team di ricerca di Koi Security ha pubblicato l’analisi di una popolare estensione per browser, Urban VPN Proxy. L’estensione era disponibile sia sul Chrome Web Store sia tra gli add-on di Microsoft Edge e contava milioni di installazioni. Si presentava come uno strumento per navigare in modo più sicuro e anonimo.

Tuttavia, secondo i recercatori, un aggiornamento rilasciato nel corso dell’anno avrebbe introdotto funzionalità non dichiarate. L’estensione era in grado di intercettare le conversazioni degli utenti con diverse piattaforme di intelligenza artificiale generativa, tra cui ChatGPT e altri servizi simili. In pratica, mentre l’utente dialogava con il modello, l’estensione poteva copiare prompt e risposte senza che ciò fosse chiaramente esplicitato.

Una volta installata, Urban VPN Proxy poteva osservare il traffico web e accedere ai contenuti delle pagine visitate. Questo le consentiva di raccogliere intere conversazioni, insieme a informazioni come identificatori di sessione e orari di utilizzo. I dati venivano poi inviati a server remoti collegati all’operatore dell’estensione. Il processo avveniva in background, senza notifiche evidenti e senza che l’utente dovesse compiere azioni particolari.

Il caso solleva una questione ben precisa. Anche se un’estensione è distribuita tramite canali ufficiali, questo non garantisce automaticamente che il suo comportamento sia coerente con le promesse fatte in fase di installazione. Se poi entrano in gioco conversazioni con strumenti di intelligenza artificiale, il valore dei dati raccolti diventa tutt’altro che marginale.

Chi c’è dietro Urban VPN

Urban VPN è gestita da Urban Cyber Security Inc., una società affiliata a BiScience e già nota nel settore della raccolta e commercializzazione dei dati di navigazione. Negli anni passati, ricercatori indipendenti hanno analizzato le attività dell’ecosistema BiScience, evidenziando pratiche di raccolta su larga scala del traffico web. Lo stesso gruppo fornisce anche SDK a sviluppatori terzi e commercializza informazioni tramite prodotti di analytics e market intelligence.

Nel caso di Urban VPN Proxy il modello sembra fare un passo ulteriore. Non si parla più solo di click e siti visitati, ma di conversazioni complete con strumenti di intelligenza artificiale. Prompt, risposte e metadati diventano materia prima. La stessa privacy policy dell’estensione prevede la condivisione dei dati di navigazione con la società affiliata, che può utilizzarli per analisi e finalità commerciali.

Perché è un problema per le aziende

Il punto più delicato riguarda gli ambienti professionali. Sempre più aziende utilizzano strumenti di IA generativa per scrivere codice, analizzare documenti, redigere contratti, studiare architetture di sistema o preparare materiali strategici. Se un’estensione installata sul browser intercetta queste conversazioni, il rischio non è teorico. Si parla di possibile esposizione di codice proprietario, informazioni finanziarie, dati interni o elementi strategici. Anche senza un attacco diretto, la semplice raccolta non autorizzata di questi contenuti può generare un problema di riservatezza e di conformità normativa.

Le estensioni VPN sono particolarmente sensibili, perché operano già in un punto centrale del traffico di rete e godono di un alto livello di fiducia da parte dell’utente. Un numero levato di installazioni e presenza nei marketplace ufficiali non sono garanzie di trasparenza. In ambito aziendale, questo significa una cosa sola: l’uso di strumenti di AI su browser non controllati o arricchiti da estensioni di terze parti può trasformarsi in un vettore di perdita dati silenzioso.