¿Es Mullvad seguro? Análisis de seguridad, privacidad y auditorías
¿Es Mullvad seguro? Resultados de auditorías independientes, protocolos de cifrado, análisis de jurisdicción, pruebas de kill switch y verificación de política de no registros.
VPN más seguros
¿Es Mullvad seguro? Una evaluación directa
Mullvad obtiene 86/100 en nuestro índice de confianza. Opera bajo jurisdicción sueca, cobra una tarifa plana de €5/mes sin cuentas y aplica una política de no registros verificada. Las auditorías independientes realizadas por Cure53 y Assured AB confirmaron vulnerabilidades mínimas. Mullvad no almacena registros de conexión, datos de tráfico ni información de identificación personal en sus más de 700 servidores distribuidos en más de 50 países.
Jurisdicción sueca y solicitudes legales de datos
Suecia pertenece a la alianza de intercambio de inteligencia de los 14 Ojos. Eso suena alarmante a primera vista. En la práctica, el marco legal ofrece una historia más matizada para los proveedores de VPN.
La legislación sueca no obliga a las empresas de VPN a retener datos de usuarios. Mullvad no tiene ninguna obligación de retención de datos bajo la regulación sueca de telecomunicaciones vigente. Esto significa que las autoridades pueden emitir solicitudes, pero Mullvad no tiene nada almacenado que entregar.
En abril de 2023, la policía sueca entró físicamente a las oficinas de Mullvad en Gotemburgo con una orden de registro. Los agentes tenían la intención de incautar equipos con datos de clientes. El personal de Mullvad explicó que no existían datos de clientes en ninguna máquina, y la policía se marchó con las manos vacías. Esa prueba del mundo real demostró que la política de no registros se mantiene bajo presión legal.
Historial de auditorías independientes
Mullvad ha completado múltiples auditorías de seguridad realizadas por terceros. Cada auditoría examinó diferentes partes de la infraestructura y las aplicaciones cliente.
Auditoría de Cure53 (2020)
Cure53, una empresa de pruebas de penetración con sede en Berlín, auditó las aplicaciones de Mullvad VPN en 2020. El equipo identificó 7 vulnerabilidades en total: 2 clasificadas como de gravedad media y 5 de gravedad baja. Mullvad corrigió las 7 vulnerabilidades antes de publicar el informe de auditoría completo en su sitio web.
Auditoría de Assured AB (2023)
Assured AB realizó una auditoría de infraestructura de los servidores y sistemas internos de Mullvad en 2023. La evaluación cubrió las configuraciones de servidores, la implementación del cifrado y los procedimientos de manejo de datos. Los resultados confirmaron que la infraestructura de Mullvad coincidía con sus declaraciones públicas de no registros. No se descubrieron vulnerabilidades críticas durante este proceso.
Auditoría de aplicaciones de Cure53 (2023)
Cure53 regresó para una segunda ronda en 2023, enfocándose en el código actualizado de las aplicaciones. Este seguimiento encontró menos problemas que la auditoría de 2020. Mullvad resolvió todos los hallazgos y nuevamente publicó el informe completo para revisión pública.
Publicar informes de auditoría completos es poco común en la industria de las VPN. Mullvad no redacta hallazgos ni selecciona únicamente los resultados favorables. Esa transparencia añade un peso significativo a sus afirmaciones de seguridad.
Política de registros: qué almacena y qué no almacena Mullvad
Datos que Mullvad no recopila
Mullvad no registra datos de tráfico, marcas de tiempo de conexión, duraciones de sesión ni direcciones IP. No almacena consultas DNS, registros de uso de ancho de banda ni asignaciones de servidores VPN. La actividad de la cuenta permanece completamente desvinculada del comportamiento de navegación o de los metadatos de conexión.
Datos que Mullvad sí procesa
Mullvad procesa el número total de conexiones simultáneas por cuenta (limitado a 5). Este contador existe en tiempo real y no se escribe en ningún almacenamiento persistente. En el momento en que te desconectas, ese contador disminuye. No persiste ningún registro histórico.
Mullvad también procesa datos agregados de carga del servidor a corto plazo para la optimización del rendimiento. Estos datos no contienen información identificable del usuario y rotan automáticamente.
El sistema de cuentas
Mullvad genera un número de cuenta aleatorio de 16 dígitos. No se requiere correo electrónico, nombre ni contraseña. Puedes pagar con efectivo enviado en un sobre, Bitcoin o Monero. Este diseño elimina completamente la información de identificación personal del proceso de registro.
Estándares de cifrado y protocolos
Mullvad admite dos protocolos: WireGuard y OpenVPN. Ambas implementaciones utilizan estándares criptográficos sólidos y bien revisados.
Implementación de WireGuard
WireGuard utiliza ChaCha20 para el cifrado simétrico, Curve25519 para el intercambio de claves y BLAKE2s para el hashing. Mullvad usa WireGuard por defecto en todas las plataformas. Los apretones de manos de conexión se completan en menos de 100 milisegundos en la mayoría de las redes.
Implementación de OpenVPN
Las conexiones OpenVPN utilizan AES-256-GCM para el cifrado del canal de datos. El intercambio de claves se basa en certificados RSA-4096 con autenticación SHA-512. Mullvad configura OpenVPN con tls-auth para evitar la huella digital y los ataques DDoS al túnel VPN.
Túneles resistentes a la computación cuántica
Mullvad añadió el intercambio de claves post-cuántico a los túneles WireGuard en 2023. Esta función superpone la encapsulación de claves Classic McEliece y Kyber sobre la criptografía estándar de WireGuard. Mullvad fue la primera VPN comercial en implementar esta función en plataformas de escritorio.
Kill switch y protección contra fugas de DNS
Comportamiento del kill switch
El kill switch de Mullvad se activa por defecto en todas las plataformas. Bloquea todo el tráfico de internet cuando el túnel VPN cae inesperadamente. La implementación opera a nivel de firewall, no a nivel de aplicación. Esto previene fugas incluso si la aplicación de Mullvad se cierra por completo.
En Linux, Mullvad utiliza reglas nftables para imponer el bloqueo del tráfico. En Windows, modifica la Plataforma de Filtrado de Windows. En macOS, utiliza reglas de filtro de paquetes. Cada implementación previene simultáneamente tanto las fugas IPv4 como las IPv6.
Protección contra fugas de DNS
Mullvad enruta todas las consultas DNS a través de sus propios servidores DNS cifrados. La aplicación bloquea las solicitudes DNS del sistema que intentan eludir el túnel. Mullvad opera servidores DNS en cada ubicación de servidor VPN, resolviendo consultas localmente sin reenviarlas a terceros.
Los usuarios también pueden configurar DNS personalizado dentro de la aplicación. Incluso con DNS personalizado, las consultas siguen viajando dentro del túnel cifrado. Las pruebas de fugas independientes muestran consistentemente cero fugas de DNS, WebRTC o IPv6 en todos los clientes de Mullvad.
Incidentes de seguridad pasados
Redada policial (abril de 2023)
Seis agentes de la Policía Nacional sueca entraron a las oficinas de Mullvad en Gotemburgo. Portaban una orden de registro del tribunal de distrito en busca de información de clientes. El director ejecutivo de Mullvad explicó que la empresa no almacena datos de clientes. La policía no incautó ningún equipo y se marchó después de que el equipo legal de Mullvad impugnó la aplicabilidad de la orden.
Sin brechas de datos conocidas
Hasta el último ciclo de auditoría, Mullvad no ha reportado ninguna brecha de datos. Ningún dato de usuario ha aparecido en bases de datos filtradas. Los ataques de relleno de credenciales no aplican porque Mullvad no utiliza contraseñas ni direcciones de correo electrónico. El sistema de número de cuenta de 16 dígitos reduce sustancialmente la superficie de ataque.
Divulgaciones de vulnerabilidades
Mullvad mantiene un enfoque activo de recompensas por errores y publica avisos de seguridad en su blog. Todas las vulnerabilidades encontradas durante las auditorías recibieron parches en cuestión de semanas tras su descubrimiento. La empresa no ha experimentado ninguna explotación de día cero en su infraestructura de producción.
Características de seguridad únicas
DAITA (Defensa contra el análisis de tráfico guiado por IA)
Mullvad desarrolló DAITA para contrarrestar los ataques de análisis de tráfico. Esta función rellena los paquetes a tamaños uniformes e inyecta patrones de tráfico señuelo. Evita que los adversarios identifiquen qué sitios web visitan los usuarios basándose en las huellas del tráfico.
DNS cifrado sobre HTTPS (DoH)
Mullvad ofrece un servicio público de DoH en dns.mullvad.net. Los usuarios pueden cifrar las consultas DNS incluso sin tener la VPN activa. El servicio incluye perfiles DNS opcionales de bloqueo de anuncios y rastreadores.
Servidores sin disco solo en RAM
Mullvad opera toda su flota de servidores en modo solo RAM. No existen discos duros en los servidores. Cada reinicio borra completamente todos los datos. Esta arquitectura garantiza que las incautaciones físicas de servidores no produzcan información utilizable.
Enrutamiento multisalto
Los usuarios pueden enrutar el tráfico a través de 2 servidores VPN separados en diferentes países. Esto añade una segunda capa de cifrado y separa el punto de entrada del punto de salida. El multisalto es configurable directamente dentro de la aplicación sin configuración manual.
La conclusión sobre la seguridad de Mullvad
Mullvad se gana su puntuación de confianza de 86/100 a través de su arquitectura, no de promesas. Los servidores solo en RAM, el anonimato de las cuentas, los informes de auditoría publicados y el resultado verificado de la redada policial lo diferencian. La tarifa plana de €5/mes sin pruebas ni descuentos refleja una empresa enfocada en el servicio más que en el volumen de suscriptores. Para los usuarios que priorizan la verificación de la privacidad sobre la cantidad de funciones, Mullvad sigue siendo una de las opciones más sólidas disponibles en sus más de 700 servidores en más de 50 países.
Preguntas frecuentes
¿Es Mullvad realmente seguro de usar?
Sí. Mullvad obtiene 86/100 en nuestro índice de confianza, respaldado por una política de no registros verificada, servidores solo en RAM que se borran en cada reinicio, y dos rondas de auditoría independiente. Cure53 examinó las aplicaciones en 2020 y nuevamente en 2023, mientras que Assured AB auditó la infraestructura en 2023. Ambos procesos no encontraron problemas críticos, y Mullvad publicó los informes completos públicamente.
¿La jurisdicción sueca de Mullvad expone datos de usuario ya que Suecia es miembro de los 14 Ojos?
No en la práctica. La ley sueca no impone ninguna obligación de retención de datos obligatoria para proveedores de VPN, por lo que Mullvad no tiene nada que entregar incluso si las autoridades lo solicitan. Eso se comprobó en abril de 2023 cuando la policía sueca entró a la oficina de Mullvad en Gotemburgo con una orden de registro en busca de registros de clientes y se marchó sin incautar nada, ya que tales datos no existían.
¿Qué sucedió durante la redada policial sueca a Mullvad en 2023?
Seis agentes de la Policía Nacional sueca entraron a la oficina de Mullvad en Gotemburgo en abril de 2023 con una orden del tribunal de distrito en busca de información de clientes. El director ejecutivo de Mullvad explicó que la empresa no retiene datos de clientes por diseño. La policía se marchó sin incautar equipos ni datos, una prueba del mundo real de la afirmación de no registros bajo presión legal directa.
¿Qué encontraron las auditorías de Cure53 en 2020 y 2023 de Mullvad?
La auditoría de Cure53 en 2020 de las aplicaciones de Mullvad identificó 7 vulnerabilidades: 2 de gravedad media y 5 de gravedad baja, todas parcheadas antes de que el informe fuera público. Cure53 regresó en 2023 para auditar código de aplicación actualizado y encontró menos problemas que en la primera ronda. Mullvad abordó cada hallazgo y publicó ambos informes completos sin redacción.
¿Qué cubrió la auditoría de Assured AB en 2023?
Assured AB auditó la infraestructura de servidores y sistemas internos de Mullvad en 2023, revisando configuraciones de servidores, implementación de cifrado y procedimientos de manejo de datos. La evaluación confirmó que la infraestructura de Mullvad coincidía con sus afirmaciones públicas de no registros, sin vulnerabilidades críticas descubiertas. Combinado con dos auditorías de aplicaciones de Cure53, Mullvad ahora ha tenido tanto sus aplicaciones como su infraestructura de back-end verificadas independientemente.
¿Cómo funciona realmente el sistema de cuenta anónima de Mullvad?
Mullvad genera un número de cuenta aleatorio de 16 dígitos en lugar de requerir correo electrónico, nombre o contraseña. Puedes pagar con tarjeta, Bitcoin, Monero o efectivo enviado en un sobre. Este diseño elimina completamente la información de identificación personal del proceso de registro, que es parte de la razón por la que su política de no registros se mantuvo durante la redada policial de 2023 en su oficina de Gotemburgo.
¿Qué cifrado utiliza Mullvad y es resistente a la computación cuántica?
Mullvad predetermina WireGuard, utilizando ChaCha20 para cifrado, Curve25519 para intercambio de claves y BLAKE2s para hashing. Su opción de OpenVPN utiliza AES-256-GCM con certificados RSA-4096. En 2023, Mullvad añadió intercambio de claves post-cuántico estratificando Classic McEliece y Kyber sobre criptografía estándar de WireGuard, convirtiéndolo en la primera VPN comercial en lanzar esto en plataformas de escritorio.
¿Qué información realmente recopila Mullvad sobre mi cuenta?
Muy poca. Mullvad solo rastrea el número de conexiones simultáneas en tiempo real, limitadas a 5, que disminuye a cero en el momento en que te desconectas y nunca se escriben en almacenamiento persistente. También procesa datos agregados de carga de servidor a corto plazo sin información identificable del usuario. El tráfico, marcas de tiempo, consultas DNS y direcciones IP nunca se registran.
¿El kill switch de Mullvad bloquea fiablemente fugas si la conexión se cae?
Sí. El kill switch de Mullvad se ejecuta a nivel de firewall en lugar de a nivel de aplicación, por lo que sigue bloqueando el tráfico incluso si la aplicación misma se bloquea. Utiliza reglas nftables en Linux, la Plataforma de Filtrado de Windows en Windows y reglas de filtro de paquetes en macOS, evitando filtraciones IPv4 e IPv6 en todas las implementaciones.
¿Mullvad ofrece prueba gratuita o reembolso si no estoy satisfecho?
No, Mullvad funciona de pago por uso sin período de prueba gratuita. En lugar de una ventana de reembolso estándar, los días no utilizados en el saldo de tu cuenta se reembolsan si decides dejar de usar el servicio. Esto difiere de ProtonVPN y NordVPN, que respaldan planes pagos con una garantía de devolución de dinero en 30 días en lugar de un modelo de reembolso prorrateado.
¿Cuántos dispositivos puedo ejecutar en una cuenta de Mullvad?
Una sola cuenta de Mullvad cubre 5 conexiones simultáneas, menos que los 10 de NordVPN y dentro del rango de 1-10 que ofrece ProtonVPN dependiendo del nivel del plan. Mullvad no tiene requisito de cuenta por dispositivo ya que el registro utiliza solo un número de 16 dígitos, por lo que los dispositivos se conectan independientemente sin vincularse a identidad personal.
¿Cómo se comparan los precios planos de Mullvad con ProtonVPN y NordVPN?
Mullvad cobra una única tarifa plana de $5.50/mes sin niveles de descuento a largo plazo, a diferencia de ProtonVPN (desde $2.49/mes en su plan más largo) y NordVPN (desde $3.49/mes). En rendimiento, Mullvad ocupa el #7 de 22 en nuestro Speed Lab, detrás de NordVPN en #1 pero por delante de ProtonVPN en #12.
¿Puedo acceder a Netflix o Disney+ de forma fiable a través de Mullvad?
De manera inconsistente. Mullvad no construye tecnología dedicada para evitar restricciones geográficas de streaming, por lo que plataformas principales como Netflix, Disney+ y Prime Video a menudo se bloquean directamente. Admite BBC iPlayer, 9Now y Channel 4, con resultados que varían según el servidor. Si la transmisión confiable de plataformas principales es lo más importante, un proveedor con infraestructura de streaming dedicada es mejor opción.
¿Qué pasa si Mullvad se bloquea en una red restrictiva o cortafuegos?
Cambia a la configuración de ofuscación y QUIC de Mullvad, construidas específicamente para disfrazar tráfico VPN y evitar bloqueos a nivel de red. El enrutamiento multisalto, que envía tráfico a través de dos servidores separados en diferentes países, también puede ayudar si se filtra un único punto de salida. Prueba estas configuraciones antes de confiar en la conexión en un entorno restrictivo.