Когда вы в браузере набираете адрес страницы, которую хотите открыть, ваш компьютер (или смартфон) делает несколько сложных манипуляций, чтобы подключиться к другому компьютеру, где эту страницу можно получить. Мы опустим детали этих манипуляций, раз я объясняю "на пальцах".
В данной схеме получается, что ваш компьютер и целевой компьютер начинают общаться напрямую. В результате программы, запущенные на целевом компьютере, могут узнать некоторые сведения о вашем компьютере, например, его IP-адрес. Более того, сам канал связи - это цепочка других, промежуточных компьютеров, между которыми ваши сообщения перемещаются. Если один из этих компьютеров заинтересован в подслушивании или даже редактировании этих сообщений, ему ничего не мешает это делать. Это называется Man-in-the-middle attack, атака посредником.
Вообще говоря, VPN, о которых обыватели вроде нас с вами говорят, на самом деле являются только одним из подвидов всей идеи VPN, а именно прокси-VPN, то есть, "посредником". Когда вы включили клиент своего VPN, теперь вы подключаетесь не напрямую к целевому компьютеру, а к вашему VPN, а уже он подключается к целевому компьютеру. В результате целевой веб-сайт не знает, что на самом деле запросы к нему отправляете вы, с его точки зрения получается, что с ним общается сервер VPN. Так вы скрываете, кто вы и откуда, или даже можете специально прикинуться кем-то где-то, если сервис VPN это позволяет.
В качестве бонуса, VPN может частично защищать от man-in-the-middle атак. Сообщения, которые идут от вашего компьютера до сервиса VPN могут быть зашифрованы произвольной сложности методами или вообще идти по другим протоколам, нежели обычный HTTP. А уже запрос к целевому веб-сайту сервер VPN сделает как обычно. В результате на первой половине маршрута будет гораздо сложнее вас подслушать или отредактировать ваше сообщение. Но это не основная задача VPN сервисов да и в век HTTPS это не так нужно.
Естественно, как вы и сами заметили в своём вопросе, сам прокси-VPN по своей сути является man-in-the-middle, и всё держится на вере в то, что его хозяева действительно предоставляют вам услугу, которую заявляют. Им ничто, кроме деловой этики, не мешает собирать ваши данные, редактировать сообщения, которые идут в интернет от вашего имени, выборочно блокировать вам доступ или делать что-то ещё.