Europol y fuerzas de seguridad de 18 países desmantelaron First VPN el 19 y 20 de mayo de 2026. El servicio llevaba en funcionamiento desde 2014 y daba cobertura a al menos 25 grupos de ransomware. Se detuvo a un administrador ucraniano. Se incautaron 33 servidores repartidos en 27 países, además de una base de datos completa con más de 5.000 cuentas criminales.
Este caso pesa más que la típica noticia de cierre de un servicio.
Qué era realmente First VPN
First VPN no era un producto de consumo. Era un proveedor de hosting a prueba de balas. Este tipo de servicios existen para ignorar las peticiones de las fuerzas del orden, aceptar pagos en criptomonedas y no guardar ningún registro que pueda identificar a los clientes.
El servicio funcionó durante 12 años antes de que Europol le diera alcance. En ese tiempo, dio a bandas de ransomware como Avaddon la infraestructura para lanzar ataques, cobrar rescates y desaparecer. Los grupos enrutaban su tráfico a través de los servidores de First VPN, lo que hacía casi imposible la atribución para los investigadores.
Bitdefender participó en la operación junto al Centro Europeo de Ciberdelincuencia de Europol (EC3), que coordinó la acción entre Canadá, Dinamarca, Estonia, Francia, Alemania, Letonia, Lituania, Luxemburgo, Países Bajos, Polonia, Portugal, Rumanía, España, Suecia, Suiza, Ucrania, el Reino Unido y Estados Unidos.
La base de datos de usuarios incautada es el verdadero premio de la operación. Más de 5.000 cuentas vinculadas a actividad criminal, con historiales de transacciones y registros de conexión completos. Los investigadores tienen ahora un vínculo directo con cada grupo que usó el servicio.
Por qué esta operación es distinta
Históricamente, las fuerzas del orden han ido tras operadores individuales de ransomware. Se detiene a uno, se acusa a los líderes, el grupo se fragmenta y a menudo reaparece con otro nombre. Es lento, caro y con resultados desiguales.
La Operación Saffron tomó otro camino: apuntar a la infraestructura compartida. Los proveedores de hosting a prueba de balas, los mezcladores de criptomonedas y los servicios VPN criminales son la tubería que hace posible el ransomware a gran escala. Cortar esa tubería deja sin cobertura operativa a todos los grupos que la usaban, de golpe.
Veinticinco bandas de ransomware perdieron su capa de anonimato en un solo fin de semana. Ahora tienen que reconstruir desde cero, sabiendo que al menos uno de sus proveedores clave guardaba mejores registros de lo que anunciaba.
Es la misma lógica que desmanteló varios mercados de la darknet en los últimos años: ir contra la logística, no solo contra los delincuentes.
Qué significa esto para el usuario común de VPN
Aquí es donde la historia suele malinterpretarse. Cada vez que las fuerzas del orden desmantelan una “VPN”, los comentaristas tecnológicos escriben artículos sobre cómo no se puede confiar en las VPN. Ese enfoque se equivoca de objetivo.
First VPN no era una VPN de consumo. Usaba la etiqueta “VPN” como descripción técnica, no como categoría de producto. No tenía aplicación pública, ni política de privacidad, ni auditoría independiente, ni ningún interés en proteger los datos de sus usuarios frente a las fuerzas del orden. Todo su valor para los clientes era operar fuera de cualquier marco legal.
Las VPN de consumo como NordVPN o ProtonVPN son empresas registradas en jurisdicciones concretas, sujetas a auditorías, obligadas por sus propios términos de servicio y revisadas regularmente por firmas de seguridad externas. NordVPN tiene sede en Panamá y ha pasado varias auditorías de no guardar registros realizadas por firmas externas. ProtonVPN tiene sede en Suiza, bajo algunas de las leyes de protección de datos más estrictas del mundo, y publica informes de transparencia sobre cada petición gubernamental que recibe.
La pregunta para cualquier usuario legítimo de VPN no es “¿podrían incautar esta VPN?”. Es “¿guarda esta VPN registros que serían útiles si la incautaran?”.
Una VPN sin registros gestionada correctamente, incautada mañana mismo, no entrega nada. Sin registros de conexión, sin datos de actividad, sin mapeo de identidad de usuarios.
Qué protege en realidad una política de no guardar registros
La caída de First VPN se debió a su base de datos. Europol se llevó 5.000 registros de cuentas criminales porque el servicio los guardaba. Eso es exactamente lo contrario de cómo funciona una verdadera política de no guardar registros.
Cuando una VPN dice que no guarda registros, no puede entregar registros que nunca creó. Esto se ha comprobado en procesos legales reales. Varios proveedores han recibido citaciones judiciales en distintas jurisdicciones y no han podido entregar datos de usuarios porque no existían.
Por eso la jurisdicción importa junto con la promesa de no guardar registros. Una VPN con sede en Estados Unidos, Australia o el Reino Unido se sitúa dentro de acuerdos de intercambio de inteligencia (Five Eyes, Nine Eyes, Fourteen Eyes) que pueden presionar a las empresas para retener datos o cooperar con programas de vigilancia. Una VPN con sede en Suiza o Panamá se enfrenta a un marco legal distinto. Las peticiones gubernamentales siguen ocurriendo, pero el umbral legal es más alto y, por lo general, se obliga a las empresas a avisar a los usuarios cuando es posible.
Nada de esto significa que las VPN con sede en Europa o Estados Unidos estén automáticamente comprometidas. Significa que el marco legal determina cuánta presión puede soportar un proveedor. La jurisdicción es un factor entre varios.
La distancia entre servicios a prueba de balas y VPN de consumo
Los servicios tipo First VPN no son una zona gris. Se anuncian directamente a delincuentes, fijan sus precios en consecuencia y tienen políticas explícitas de ignorar peticiones legales de cualquier gobierno. Ese es su modelo de negocio.
Las VPN de consumo intentan justo lo contrario: construir un negocio legítimo sobre la confianza del usuario. Su incentivo comercial es proteger a los usuarios, porque cualquier escándalo destruye su reputación y sus ingresos. First VPN no tenía reputación que proteger.
Las bandas de ransomware usaban First VPN porque sabían que las VPN normales acabarían cumpliendo con las peticiones legales. Por eso pagaban un sobreprecio por un servicio que operaba al margen de la ley.
Cómo evaluar una VPN después de una noticia así
Noticias como la Operación Saffron tienden a generar una paranoia general hacia las VPN. Esa reacción no tiene sentido. Pero sí es un buen momento para comprobar si tu VPN actual tiene realmente las protecciones que promete.
Algunas cosas que vale la pena verificar:
La promesa de no guardar registros debe estar respaldada por una auditoría. No una autodeclaración, no un comunicado de prensa, una auditoría real de un tercero por una firma de seguridad con nombre. NordVPN usa Deloitte y KPMG. ProtonVPN encarga sus auditorías a Securitum. Si un proveedor no nombra al auditor, probablemente la auditoría no existe.
La jurisdicción importa, pero no lo es todo. Suiza y Panamá son buenas opciones. Islandia también. Pero un proveedor con sede en un país Five Eyes puede tener una privacidad sólida si opera con una arquitectura real de no guardar registros y lo ha demostrado bajo presión legal.
La propiedad debe ser transparente. Algunas marcas de VPN pertenecen a sociedades holding con estructuras poco claras. Eso no las convierte automáticamente en poco fiables, pero deberías saber quién está detrás del producto. First VPN no tenía propiedad pública. Eso debería haber sido una señal de alarma para cualquiera que prestara atención.
Por último, el precio debe ser realista. First VPN cobraba, según los informes, alrededor de 1,80 dólares al mes. Eso está por debajo de lo que cuesta una infraestructura legítima. Cuando una VPN tiene un precio muy inferior al del mercado y busca compradores que “no hacen preguntas”, no es un producto de consumo.
Qué viene ahora
Las 5.000 cuentas incautadas generarán investigaciones durante años. Algunas se remontarán a grupos de ransomware aún no identificados públicamente. Otras aportarán pruebas a procesos judiciales en curso.
La estrategia de atacar la infraestructura probablemente continúe. Europol y las agencias asociadas han demostrado que funciona. Otros proveedores de hosting a prueba de balas están observando cómo los servidores de sus competidores acaban en almacenes de pruebas.
Para las bandas de ransomware, reconstruir la infraestructura operativa tras una incautación como esta lleva meses. Durante ese tiempo, quedan expuestas. Algunas se quedarán calladas. Unas pocas cometerán errores al moverse demasiado rápido.
Para el usuario normal de VPN, la Operación Saffron no cambia nada sobre cómo evaluar una VPN. La lista de comprobación sigue siendo la misma: política de no guardar registros verificada, auditoría independiente, jurisdicción clara, propiedad transparente. First VPN no tenía nada de eso. Ese era precisamente el problema.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
La Operación Saffron es una victoria real de las fuerzas del orden y una prueba de que la estrategia de atacar la infraestructura funciona mejor que perseguir a operadores individuales de ransomware. First VPN era un servicio criminal, no un producto de consumo. Este cierre no dice nada sobre si tu suscripción a NordVPN o ProtonVPN es segura. Sí recuerda por qué importan las políticas de no guardar registros auditadas y la jurisdicción. Una VPN que no guarda registros no puede entregarlos.
Fuentes: TechCrunch, The Hacker News, Tom’s Hardware
Sigue leyendo: Cómo verificar que una VPN no guarda registros y Análisis de NordVPN 2026.