Los riesgos reales de usar una VPN en Rusia a finales de 2026

Alrededor del 40 por ciento de las personas en Rusia ya usan una VPN, y la proporción de pago entre ellas pasó del 15 al 48 por ciento entre 2024 y 2026. Decenas de millones de personas tienen una aplicación de VPN en el teléfono, y una gran parte de ellas tiene un cargo de suscripción en algún extracto bancario. Cada una de ellas tiene motivos para preguntarse cuánto podría costar esa aplicación y ese cargo.

Usar una VPN no es un delito en Rusia en noviembre de 2026, y pagar por una tampoco lo es. Anton Gorelkin, vicepresidente del comité de tecnologías de la información de la Duma, dijo en febrero de 2026 que una multa por el uso de VPN no está prevista ni siquiera se está discutiendo. Un análisis jurídico publicado por Izvestia el 28 de octubre de 2026 llegó a la misma conclusión.

El riesgo se ha alejado del acto de conectarse. Ahora se sitúa en dos lugares. Uno es aquello a lo que se asocie el uso de la VPN, como una búsqueda en internet o una acusación penal. El otro son los registros. Un pago, una lista de clientes o un registro de conexión se conservan durante años, y pueden leerse más adelante bajo normas que no existían cuando se creó el registro. Tres de esas normas entraron en vigor en los últimos 14 meses.

¿Es ilegal usar una VPN en Rusia?

No. Lo que castiga la ley es algo más limitado, y los detalles importan.

Desde el 1 de septiembre de 2025, el artículo 13.53 del Código de Infracciones Administrativas, añadido por la Ley Federal 281-FZ, castiga la búsqueda deliberada de y el acceso a materiales de la lista federal de materiales extremistas. La multa es de 3.000 a 5.000 rublos, y el artículo se redactó para cubrir las búsquedas hechas a través de una VPN. La primera multa, de 3.000 rublos, se impuso el 10 de diciembre de 2025 a un residente de Kamensk-Uralsky. Un joven de 16 años en Myski recibió la misma multa por parte de una comisión de menores a principios de 2026, y un tribunal multó a un residente de Dmitrov el 12 de noviembre de 2026. No se ha publicado ningún recuento total de este tipo de multas.

El mismo paquete legislativo convirtió en infracción la publicidad de servicios VPN, con multas de hasta 500.000 rublos para empresas. Desde marzo de 2024, publicar información que popularice herramientas para eludir bloqueos es motivo para bloquear al editor. Los proveedores tienen su propia norma: un servicio que se niegue a conectarse a la lista de bloqueo del Estado queda bloqueado a su vez. Roskomnadzor informó de 469 servicios VPN bloqueados a finales de febrero de 2026, frente a 258 en octubre de 2025. Hasta noviembre de 2026 no se ha publicado ninguna cifra oficial del otoño.

Un rumor del verano puede quedar cerrado. El 7 de julio de 2026 el ministerio digital negó que estuviera estudiando un cargo por el tráfico extranjero, incluido el tráfico VPN.

Puestas una junto a otra, las normas que afectan a un usuario de VPN o a un pago de VPN quedan así. Nuestro registro de las normas de Rusia sobre VPN las sigue a medida que cambian.

La tercera fila es la que más fácilmente se malinterpreta, porque es la única en la que la herramienta misma aparece en el Código Penal.

¿Qué significa «la VPN como circunstancia agravante» en la práctica?

Una circunstancia agravante es un hecho que no crea un delito, pero que permite al tribunal imponer una pena más grave por uno. La Ley Federal n.º 282-FZ de 31 de julio de 2025 añadió uno de estos hechos al artículo 63, parte 1, del Código Penal. Se trata del apartado «f» en transliteración, la letra rusa «ф», y está en vigor desde el 1 de septiembre de 2025. La redacción cubre «cometer un delito utilizando medios de software y hardware de acceso a recursos de información y a redes de información y telecomunicaciones cuyo acceso está restringido». La fiscalía publicó su propia explicación el 12 de septiembre de 2025.

Dos características de este apartado definen su alcance. Se encuentra en la Parte General del código, por lo que puede aplicarse a cualquier delito. Además, necesita un delito al que adherirse. Una persona que usa una VPN y no comete ningún delito queda fuera de su ámbito. El apartado no menciona las VPN. Describe una categoría de herramientas, y una VPN utilizada para acceder a un recurso bloqueado entra dentro de esa descripción.

La ley tiene 14 meses y la práctica judicial conocida es escasa. En abril de 2026, Verstka encontró las dos primeras sentencias que la aplicaron, ambas en casos de drogas. En Novomoskovsk, en la región de Tula, un tribunal condenó en diciembre de 2025 a un hombre a 1 año y 8 meses de colonia penal tras acceder a través de una VPN al sitio de un vendedor bloqueado. En Ukhta, en Komi, una sentencia de febrero de 2026 impuso tres años de prisión con suspensión de la pena. Los reportajes de Meduza y Novaya Gazeta Europe señalan que no está claro si la herramienta era una VPN o Tor. OVD-Info dijo en su momento que no conocía ningún caso político que utilizara este apartado.

Dos desarrollos posteriores deben mencionarse junto a este apartado, aunque ninguno es ley. El 28 de octubre de 2026, Eva Merkacheva, miembro del consejo presidencial de derechos humanos, declaró a Fontanka que los investigadores citan el uso de VPN y los mensajes que desaparecen como «métodos de conspiración» cuando piden a los tribunales que ordenen la prisión preventiva. Su relato es anecdótico y no ofrece ninguna cifra de casos. Se refiere a audiencias de prisión preventiva, que son un asunto distinto del apartado «f». El 28 de julio de 2026, Alexander Bastrykin, jefe del Comité de Investigación, dijo que se había preparado un proyecto de ley que convertiría el uso de IA, VPN y proxies en una nueva circunstancia agravante cuando la tecnología de la información sea la herramienta principal del delito. No se ha publicado ningún número de proyecto de ley en la Duma a noviembre de 2026. Sigue siendo una propuesta.

Para un usuario corriente, este apartado solo importa si existe una acusación penal. El uso de una VPN por sí solo no lleva a nada. Una vez que una persona se enfrenta a una acusación de cualquier tipo, una VPN en el dispositivo o en el expediente es algo que la acusación puede utilizar.

¿Qué deja tras de sí pagar una VPN?

Una aplicación se puede borrar. Un pago no, y suele ser el rastro de mayor duración de una suscripción a una VPN.

En Rusia ese rastro es interno. Visa y Mastercard suspendieron sus operaciones en Rusia en marzo de 2022, por lo que una tarjeta emitida en Rusia no puede pagar directamente a un comerciante extranjero. Un servicio extranjero que anuncia pagos con tarjeta Mir o a través de SBP, el sistema de pagos rápidos del banco central, tiene por tanto un tramo ruso en algún punto de la cadena. La información pública describe estos tramos por categorías. Incluyen un adquirente ruso detrás de una tienda o un bot, un agente de pago que cobra rublos y liquida en el extranjero, un marketplace de reventa y una transferencia nacional a un particular. En todos los casos, el dinero circula por sistemas de pago rusos en el momento en que el cliente paga. La marca extranjera llega después.

Ese tramo es visible en tres niveles.

La capa intermedia es la novedad. La Ley 461-FZ entró en vigor el 1 de septiembre de 2026 y, desde esa fecha, el supervisor financiero ya no necesita dirigirse a cada banco por separado. El volumen que abarca es enorme. Solo SBP procesó 4.700 millones de operaciones por valor de 26,5 billones de rublos en el primer trimestre de 2026.

Los vendedores de este mercado suelen insinuar discreción mediante nombres comerciales neutros o cargos que parecen transferencias a empresas o particulares sin relación entre sí. A nivel de libro mayor, eso es cosmético. El banco y NSPK vinculan cualquier destinatario con una entidad registrada o una persona verificada, independientemente de lo que diga el nombre mostrado. En las causas penales por donaciones a la Fundación Anticorrupción de Alexéi Navalni, la FBK, los investigadores cotejaron extractos bancarios mediante un identificador de comerciante repetido. Importes mensuales idénticos al mismo destinatario configuran por sí solos un patrón de suscripción.

Que alguien consulte el libro mayor buscando suscripciones a VPN es otra cuestión. Ninguna fuente lo documenta y no hay constancia de ninguna persecución penal por un pago de VPN en ningún lugar. Con casi la mitad de los usuarios de VPN en Rusia pagando actualmente, los registros que podrían consultarse describen a decenas de millones de personas.

Una norma esperada no llegó. En la primavera de 2026, la prensa del sector anticipó una prohibición de pagar VPN con tarjetas rusas en el marco del proyecto de ley «Antifraude 2.0», y se informó de que al menos un gran adquirente ruso había dejado de dar servicio a proveedores de VPN. El proyecto de ley se convirtió en la Ley 210-FZ de 26 de junio de 2026, y el resumen publicado de la ley no contiene ninguna disposición sobre pagos de VPN. A fecha de noviembre de 2026, no se ha promulgado prohibición alguna de ese tipo.

¿Importa quién recibe tu dinero?

Un registro de pago tiene dos extremos, y el segundo puede importar más que el primero. La ley rusa trata a algunos receptores de forma muy distinta a otros, y algunas de sus normas castigan al pagador mientras otras solo afectan al receptor.

Donde más confusión hay es con los agentes extranjeros. Ninguna ley castiga pagar o comprar a un agente extranjero. Un servicio de VPN fue incluido por primera vez en el registro de agentes extranjeros en noviembre de 2023. Los abogados entrevistados entonces por Fontanka dijeron que «mantener relaciones financieras con un agente extranjero no está prohibido». Uno de ellos añadió que la aplicación de la ley en este ámbito es «absolutamente arbitraria». Las normas sobre dinero que existen obligan al agente. Desde el 1 de marzo de 2025, los ingresos de un agente extranjero procedentes de fuentes rusas como la venta de propiedades y los alquileres, los pagos por propiedad intelectual, los intereses y los dividendos van a una cuenta especial en rublos que permanece bloqueada hasta que la persona sea retirada del registro. Los salarios y los honorarios no están incluidos. A fecha de noviembre de 2026, ninguna norma sanciona a quien paga.

Otras designaciones sí alcanzan al pagador. Financiar a una organización declarada «indeseable» es un delito según el artículo 284.1, parte 2, del Código Penal. En febrero de 2026, Ksenia Belova fue condenada a año y medio en una colonia de asentamiento por enviar 150.000 rublos a la tarjeta bancaria de un activista del movimiento AllatRa. La transferencia fue a la tarjeta personal de un particular, y el tribunal la contó como financiación de la organización. Ella dijo que la habían engañado sobre el propósito del dinero. El tribunal lo consideró una «táctica de defensa».

Financiar a una organización declarada «extremista» es un delito según el artículo 282.3. Mediazona contó al menos 225 causas penales en 64 regiones por donaciones a FBK hasta el 21 de abril de 2026, que es el último recuento completo. Las cantidades pueden ser pequeñas. En octubre de 2026, un residente de Moscú apellidado Ainulin fue condenado a tres años por donar 2.100 rublos. El 12 de noviembre de 2026, los fiscales pidieron cinco años en el caso Leonovich. Entre los pagos perseguidos penalmente hubo cargos automáticos que se cobraron después de que la designación entrara en vigor, procedentes de suscripciones que, según los donantes, habían cancelado o que nunca habían configurado a sabiendas.

Un tercer mecanismo afecta al receptor y detiene el pago. Rosfinmonitoring mantiene una lista de terroristas y extremistas que en octubre de 2026 incluía unas 23.000 personas y 900 organizaciones. Las personas se añaden cuando son imputadas, antes de cualquier condena. Sus cuentas quedan restringidas y los bancos congelan sus fondos. Una transferencia a una persona de la lista no está tipificada como delito en sí misma, pero el banco la bloquea.

Ninguna de estas normas trata sobre las VPN, y ningún caso conecta la compra de una VPN con alguna de ellas. Aun así, explican por qué un vendedor bajo escrutinio estatal es una mala contraparte para el comprador. El registro de pagos del comprador queda dentro del expediente financiero de alguien a quien el Estado está investigando, y ese expediente lo leen personas que buscan otras cosas. Las designaciones pueden aplicarse más tarde, y los casos de donantes muestran que los pagos que continuaron después de una designación fueron objeto de persecución penal. Un pago a una persona de la lista lo bloquea el banco, lo que deja al comprador sin el servicio. El registro de un intermediario gris también puede cambiar de manos. Cuando el banco central revocó la licencia de QIWI Bank en 2024, sus registros fueron a parar a las fuerzas del orden.

Los vendedores individuales en mensajerías son un caso aparte. Ninguna ley es específica para comprar una VPN a ese tipo de vendedor. El riesgo descrito allí es el fraude y el chantaje, incluidas amenazas que invocan un «artículo del código penal». Las fuentes al respecto son escasas y se limitan a páginas de preguntas y respuestas de abogados.

¿Pueden unas bases de datos filtradas o copiadas vincular una VPN contigo?

Los registros bancarios son un tipo de documento. Las listas de clientes, los registros de titulares y las tablas de usuarios son otro, y llegan al Estado por dos vías. Una es una filtración. La otra, desde el 1 de abril de 2026, es una copia legal.

En cuanto a las filtraciones, la situación jurídica está clara. A fecha de noviembre de 2026, ninguna ley permite a la policía rusa usar bases de datos filtradas para identificar a personas ni como prueba. Ninguna ley publicada, decreto, sentencia del Tribunal Supremo ni proyecto de ley de la Duma lo autoriza.

La práctica es anterior a cualquier ley reciente. El 17 de agosto de 2021, la policía visitó en sus domicilios a moscovitas cuyas direcciones aparecían en bases de datos filtradas de inscritos en Voto Inteligente y de partidarios de Navalni, según OVD-Info. En febrero de 2025, en el caso de un jubilado procesado por 3.500 rublos donados a FBK, según se informó, la lista filtrada de Voto Inteligente se habría usado para localizarlo, mientras que los documentos de pago eran la prueba principal. Ese informe se basa en el relato de un único medio. En septiembre de 2025, Mediazona escribió en su cobertura del caso de Dmitri Regush que los servicios de seguridad usan estas filtraciones como prueba adicional. Esa es la interpretación de Mediazona sobre casos similares, no un pronunciamiento judicial. Todo esto son informaciones sobre la práctica. Nada de ello es un permiso legal.

La ley sobre filtraciones fue en la dirección contraria. Desde el 11 de diciembre de 2024, el artículo 272.1 del Código Penal convierte en delito usar, transferir, recopilar o almacenar datos personales obtenidos ilegalmente. La pena es de hasta cuatro años, y de hasta diez en casos agravados. El artículo se ha aplicado a traficantes de filtraciones. En julio de 2025, un tribunal de Moscú envió a siete personas a prisión preventiva o arresto domiciliario en un caso sobre tráfico de bases de datos, entre ellas presuntas empleadas del centro de datos del Ministerio del Interior. Si las notas al artículo dicen algo sobre el uso por los propios investigadores no se ha establecido.

La nueva facultad se refiere a bases de datos legítimas, y es más amplia que todo lo dicho sobre las filtraciones. Desde el 1 de abril de 2026, los órganos del FSB pueden obtener copias de las bases de datos de cualquier organización de Rusia, o de partes de ellas, de forma gratuita y sin decisión judicial. La orden debe proceder del director del FSB, sus adjuntos o el jefe de una oficina regional del FSB, y la base de datos debe contener información que el servicio necesite para sus funciones. La Duma aprobó la enmienda el 16 de diciembre de 2025 y entró en vigor el 1 de abril de 2026. Las copias deben destruirse una vez alcanzado el propósito por el que se obtuvieron. Según el medio Agentstvo, no existe ningún mecanismo para comprobar que esa eliminación se produce. Antes de esto, el acceso a las bases de datos de una organización requería en general una decisión judicial fuera de los regímenes sectoriales como SORM. Ningún informe documenta que esta facultad se haya usado para identificar usuarios de VPN.

Una base de datos copiada importa incluso cuando se han eliminado los nombres o cuando contiene solo fragmentos, y la investigación sobre reidentificación es coherente en explicar por qué. En 2008, Narayanan y Shmatikov tomaron el conjunto de datos «anonimizado» del Netflix Prize de valoraciones de películas y reidentificaron a usuarios cruzándolo con valoraciones públicas de IMDb. En 2015, un estudio en Science examinó tres meses de transacciones con tarjeta de 1,1 millones de personas y concluyó que cuatro transacciones con información únicamente aproximada de lugar y fecha reidentificaban al 90 por ciento de las personas. Conocer los importes facilitaba aún más la identificación. El hallazgo se traslada a cualquier conjunto de datos de transacciones de gran tamaño. Eliminar los nombres no hace que una tarjeta sea anónima.

El patrón es el mismo en todos los casos. Un conjunto de datos más una fuente de identidad reidentifica a las personas. La lista de clientes de un revendedor ruso, el registro de un agente de pago, la tabla de usuarios de un proveedor de nube y una lista de titulares filtrada son todos conjuntos de datos. Los registros bancarios, que vinculan a cada pagador con un pasaporte, son la fuente de identidad.

¿Por qué las VPN que pasan por la lista blanca de Rusia conllevan su propio riesgo?

El poder sobre las bases de datos se aplica a las organizaciones de Rusia. Desde 2025, algunas configuraciones de VPN han llegado a depender precisamente de tales organizaciones, y el motivo son los apagones móviles.

Los apagones masivos regionales de internet móvil comenzaron en mayo de 2025, oficialmente como medida contra los drones. El 8 de julio de 2025, usuarios de 77 regiones informaron de apagones en un solo día, y ese mes se contabilizaron al menos 2.099 apagones. El proyecto de monitorización Na Svyazi constató que, para 2026, las 83 regiones de Rusia reconocidas internacionalmente habían sufrido al menos uno. El tráfico de datos móviles cayó un 22 por ciento interanual en el primer semestre de 2026, y en las regiones más afectadas, Ivánovo entre ellas, cayó más de un 40 por ciento.

Lo que sigue siendo accesible durante un apagón es la lista blanca, un registro de servicios nacionales aprobados que el ministerio digital publicó por primera vez en septiembre de 2025 con unas pocas decenas de entradas. Superó las 500 en abril de 2026. Su núcleo declarado son los portales gubernamentales, los servicios de VK y Yandex, el sistema de pagos Mir, los grandes bancos y los marketplaces. El modo lista blanca invierte la censura, pasando de una lista de lo prohibido a una lista de lo permitido, de modo que todo lo nuevo, extranjero o no aprobado queda bloqueado por defecto. La vertiente física de este sistema es el tema de nuestro artículo sobre los ataques a los centros de datos de Sber y VK y la lista blanca.

Algunas configuraciones de VPN han seguido siendo accesibles en este modo enrutando a través de infraestructura que a su vez está en la lista blanca, como servidores alquilados dentro de nubes rusas. La prueba más clara de que la práctica era habitual es que el Estado le ha respondido tres veces en 2026.

No se ha confirmado una cuarta ronda oficial desde el 31 de agosto. Se informó de olas de bloqueos en septiembre y noviembre de 2026, y la atribución de las mismas es débil. Nuestro relato de la ola de bloqueos de septiembre de 2026 detalla lo que se sabe.

Cada una de esas rondas cortó conexiones funcionales de la noche a la mañana, así que la disponibilidad es un problema de estos caminos. El problema mayor es legal. Enrutar a través de una plataforma rusa de la lista blanca pone en el camino a una entidad jurídica rusa, y la ley rusa es explícita respecto a lo que dicha entidad debe hacer.

La columna de la derecha no significa que esa vía sea segura. El propio operador ruso del usuario almacena metadatos de conexión durante un año bajo las mismas normas. La comparación solo muestra dónde se sitúa una empresa que puede ser obligada a colaborar.

Las empresas de la columna de la izquierda tienen un historial. Un estudio de Novaya Gazeta Europe contabilizó más de 30.000 casos por publicaciones y memes en todas las plataformas, con VK detrás de cerca del 80 por ciento de los casos administrativos y de alrededor del 46 por ciento de los penales. Las entregas documentadas han incluido el historial completo de inicios de sesión de un acusado por dirección IP. Yandex informó de 77.979 solicitudes de datos del gobierno en 2024 y satisfizo el 74 por ciento. En abril de 2026, la nube de Yandex incorporó el bloqueo de clientes dirigido por el Estado a su contrato estándar. Desde el 1 de abril de 2026, el poder del FSB de copiar bases de datos sin orden judicial se aplica a todas estas organizaciones.

¿Qué podría cambiar a continuación?

Cuatro medidas están pendientes en noviembre de 2026, y ninguna de ellas es ley.

La propuesta de Bastrykin de julio de 2026 añadiría una segunda circunstancia agravante, más amplia, que cubriría la inteligencia artificial, las VPN y los proxies. No se ha publicado ningún número de proyecto de ley en la Duma. Si aparece un texto, su redacción mostrará si el apartado «f» existente se amplía o se duplica.

El paquete «Antifraude 3.0» es un borrador del ministerio digital cuyo periodo de consulta pública terminó el 15 de octubre de 2026. Según informó CNews, prohibiría a los propietarios de servicios VPN alojarse en hostings rusos, posiblemente a partir del 1 de marzo de 2028. Eso afectaría a los proveedores y a los relés rusos de los que depende el enrutamiento por lista blanca.

Las primeras reglas formales para la admisión en la lista blanca se redactaron en octubre de 2026. CNews informó el 5 de octubre de que se desconoce la fecha en que entrarán en vigor. Hasta entonces, la admisión y la retirada siguen siendo informales.

La cuarta concierne a los pagos. No se ha aprobado ninguna prohibición de pagar una VPN con una tarjeta rusa, y la demanda del FSB de acceso remoto a los sistemas bancarios de la que se ha informado tiene un horizonte de 2027 sin texto público.

¿Qué significa todo esto para un usuario de VPN en Rusia?

El punto de partida se ha mantenido durante dos años de nueva legislación. Usar una VPN en Rusia no es un delito, pagar por una no es un delito, y no hay constancia de ninguna persecución penal por un pago de VPN.

Las normas alrededor de ese punto de partida han cambiado tres veces desde septiembre de 2025. Desde el 1 de septiembre de 2025 una VPN puede agravar cualquier condena penal, y un relato de octubre de 2026 indica que los investigadores la mencionan al solicitar la detención. Desde el 1 de abril de 2026 el FSB puede copiar la base de datos de cualquier organización rusa sin intervención judicial. Desde el 1 de septiembre de 2026 el flujo de pagos se lee de forma centralizada y sin aviso al cliente. Cada una de estas normas trata sobre registros o sobre contexto. Ninguna trata sobre el uso de una VPN por sí solo.

Por eso la contraparte importa tanto como la herramienta. Cada entidad rusa de la cadena, ya sea la que cobra el pago, aloja el relé o revende la suscripción, es un lugar donde se conserva un registro sobre el usuario según la legislación rusa. Un vendedor que esté bajo investigación o designado añade su propio expediente al panorama. Los casos de donantes muestran que la práctica rusa lee registros antiguos bajo designaciones nuevas, así que un registro hecho legalmente en 2026 no tiene garantía de interpretarse bajo las normas de 2026.

Para una persona en Rusia, pues, la exposición a finales de 2026 rara vez es la conexión. Es el registro acumulado de a quién se pagó, a través de qué empresa rusa, y junto a qué más se encuentra ese registro si alguna vez se abre un caso de cualquier tipo.

Actualizaremos esta página cuando avance cualquiera de las medidas pendientes, si aparece un caso documentado de aplicación basada en pagos contra compradores de VPN, o si los tribunales empiezan a aplicar el apartado «f» fuera de casos de drogas. La página de país de Rusia reúne el resto de nuestra cobertura.