La mayoría de las guías sobre VPN están escritas para gente que quiere ver Netflix desde otro país o evitar que su ISP venda sus datos de navegación. Este artículo no es eso. Es para personas cuya seguridad digital tiene consecuencias reales: periodistas que trabajan con fuentes sensibles, activistas en países con gobiernos represivos, denunciantes, abogados que manejan casos confidenciales y trabajadores de derechos humanos en entornos hostiles.
El modelo de amenaza es distinto. Las herramientas son distintas. Y “suficientemente bueno para la mayoría” no es el estándar aquí.
El modelo de amenaza para usuarios de alto riesgo
Los usuarios casuales se preocupan por su ISP, los anunciantes y algún hacker ocasional en la wifi de una cafetería. Los usuarios de alto riesgo pueden enfrentar:
- Adversarios a nivel de Estado, con acceso legal a los datos del ISP y capacidad de obligar a los proveedores de VPN a revelar información
- Vigilancia dirigida en lugar de vigilancia masiva (la primera es mucho más difícil de evitar)
- Confiscación física del dispositivo
- Ingeniería social y phishing dirigidos específicamente a su identidad
- Análisis de tráfico incluso cuando el contenido está cifrado
Una VPN aborda algunas de estas amenazas. No aborda todas. Entender esa diferencia es tan importante como entender la protección que sí ofrece.
Lo que una VPN sí hace por usuarios de alto riesgo
Impide que tu ISP vea tu tráfico: en muchos países, los ISP están obligados por ley a conservar metadatos de conexión. Una VPN vuelve inútiles esos metadatos: tu ISP ve una conexión a un servidor VPN, no lo que estás visitando.
Oculta tu IP a los sitios que visitas: si estás investigando un tema sensible, no quieres que el operador del sitio web (o sus socios gubernamentales) vea tu IP real y tu ubicación.
Cifra el tráfico en redes no confiables: esencial cuando trabajas desde hoteles, aeropuertos o cualquier red que no controlas.
Lo que una VPN NO hace por usuarios de alto riesgo
No protege contra un dispositivo comprometido: si tu dispositivo tiene malware o está sujeto a monitorización remota, una VPN no ayuda. La amenaza está en la capa del dispositivo, no en la capa de red.
No te hace anónimo: tu proveedor de VPN conoce tu IP real. Una orden judicial, una filtración de datos o una amenaza interna en la empresa de VPN pueden exponerte. Por eso la elección del proveedor y su jurisdicción importan más para usuarios de alto riesgo que para usuarios casuales.
No protege contra el análisis de metadatos: los ataques de correlación temporal, donde un adversario cruza el momento en que te conectas a una VPN con el momento en que aparece actividad en un destino, pueden desanonimizar parcialmente el uso de una VPN. Esto requiere una capacidad considerable (nivel Estado) y es raro en la práctica.
No protege tus cuentas: si inicias sesión en cuentas identificables mientras usas una VPN, esas cuentas saben quién eres, con o sin VPN.
Las VPN adecuadas para usuarios de alto riesgo
Mullvad: el estándar de oro del anonimato
No requiere correo electrónico para crear una cuenta. Números de cuenta generados aleatoriamente. Pago en efectivo aceptado por correo postal. Acepta Monero y Bitcoin. No recopila datos personales en el registro ni después.
La jurisdicción sueca está técnicamente dentro del grupo de los 14 Ojos, pero el historial de Mullvad puesto a prueba en tribunales (una redada policial en 2023 que no encontró nada) es más convincente que cualquier auditoría. La ley sueca no obliga a Mullvad a conservar datos de usuarios.
Para periodistas y activistas: Mullvad es la opción correcta si minimizar la cadena de datos entre tu identidad y tu uso de la VPN es la prioridad.
ProtonVPN: jurisdicción suiza con transparencia máxima
Jurisdicción suiza, aplicaciones de código abierto, política de no registros auditada por KPMG, arquitectura Secure Core (enruta a través de dos servidores de ProtonVPN antes de salir). Operada por Proton AG, con un historial documentado de resistencia a las solicitudes de datos gubernamentales.
La cuenta requiere un correo electrónico, lo que representa un punto de partida de anonimato más débil que Mullvad. Usa una dirección ProtonMail (también suiza, misma empresa) para minimizar la exposición.
Tor frente a VPN para usuarios de alto riesgo
Tor ofrece un anonimato más fuerte que cualquier VPN porque ninguna parte ve al mismo tiempo tu identidad y tu destino. Para acceder a recursos sensibles, comunicarte con fuentes, o cualquier actividad donde vincular el destino contigo suponga un riesgo real, Tor es la herramienta adecuada.
La contrapartida: Tor es considerablemente más lento y poco práctico para el uso general de internet.
El navegador Tor debe usarse (no solo la red Tor en un navegador normal) para también protegerte contra el fingerprinting del navegador.
VPN sobre Tor o Tor sobre VPN son ambas opciones, según la amenaza. Tor sobre VPN (VPN primero, luego Tor) oculta el uso de Tor a tu ISP e impide que el nodo de entrada conozca tu IP real. La mayoría de las organizaciones de periodismo recomiendan el navegador Tor para investigaciones sensibles y comunicación con fuentes.
Más allá de la VPN: el kit completo para alto riesgo
Una VPN es una capa. Una postura de seguridad completa para usuarios de alto riesgo también incluye:
Seguridad del dispositivo: cifrado completo del disco (activado por defecto en iOS y Android modernos, requiere configuración en Windows y macOS). Código de acceso robusto. Bloqueo automático tras inactividad.
Tails OS: un sistema operativo portátil que se ejecuta desde una memoria USB, enruta todo el tráfico a través de Tor por defecto y no deja rastro en el ordenador. Recomendado para trabajo extremadamente sensible donde la confiscación del dispositivo es un riesgo real.
Signal: mensajería cifrada de extremo a extremo con mensajes que se autodestruyen. Verifica los números de seguridad con tus contactos.
Compartimentación: usa dispositivos o perfiles separados para el trabajo sensible y la actividad personal. No mezcles identidades.
Protección de fuentes: los periodistas en particular deberían usar SecureDrop para recibir documentos de fuentes anónimas. Una VPN no ofrece la protección que SecureDrop da para este caso de uso.
Recomendaciones prácticas por nivel de riesgo
Riesgo moderado (periodista en un país democrático, abogado que maneja casos confidenciales): ProtonVPN o Mullvad. Navegador Tor para investigaciones sensibles. Signal para comunicación.
Riesgo alto (activista en un país represivo, periodista que cubre crimen organizado o corrupción gubernamental): Mullvad o Tor exclusivamente. Tails OS para el trabajo. Ninguna cuenta con sesión iniciada durante sesiones sensibles. Pago en efectivo para la VPN.
Riesgo extremo: una VPN por sí sola es insuficiente. Consulta con la Línea de Ayuda de Seguridad Digital de Access Now, la guía Surveillance Self-Defense de la EFF, o un formador dedicado en seguridad digital de una organización como el Committee to Protect Journalists (CPJ) o Reporteros Sin Fronteras (RSF).
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Para usuarios de alto riesgo, Mullvad y ProtonVPN son las únicas VPN que vale la pena considerar. Mullvad ofrece un anonimato más fuerte desde el registro. ProtonVPN ofrece jurisdicción suiza con máxima transparencia técnica. Una VPN es una capa de protección, no una solución completa. Para trabajo que involucra fuentes sensibles o entornos gubernamentales hostiles, Tor y Tails son complementos imprescindibles.
La disciplina que ninguna herramienta reemplaza
La verdad incómoda que esta guía debe a sus lectores: todas las herramientas anteriores fallan ante una práctica descuidada, y la mayoría de los compromisos documentados de periodistas y activistas llegaron a través de teléfonos, cuentas y personas, no de cifrado roto. El conjunto de herramientas solo funciona dentro de un conjunto de disciplina: dispositivos separados o perfiles reforzados por identidad, ninguna contaminación cruzada de cuentas o estilo de escritura, actualizaciones aplicadas el día en que se publican, y la asunción de que cualquier capa puede fallar. Entrena la rutina antes de la misión que la necesite; la crisis es el aula equivocada.
Las organizaciones también importan: los equipos de seguridad de las redacciones, las organizaciones de libertad de prensa y las líneas de ayuda de seguridad digital existen precisamente para revisar modelos de amenaza de forma individual, y una consulta de una hora vale más que cualquier artículo, incluido este.
(Esta página se detiene deliberadamente antes de entrar en detalles operativos que varían según la región y el adversario; las organizaciones mencionadas arriba ofrecen orientación individualizada, y contactarlas por un canal limpio es en sí misma la primera lección.)
Sigue leyendo: Mejor VPN en 2026 y Mejor VPN de privacidad auditada.