수상한 VPN이 수백만 명의 미국인을 감시하고 있을 수 있습니다

Proton은 전 세계 7,000개 이상의 모바일 VPN 앱을 수개월간 조사한 결과, 미국에서 다운로드된 앱 중 85%에 트래커가 포함되어 있고, 그중 약 4분의 1이 사용자의 실제 위치를 적극적으로 추적하는 사실을 확인했습니다.

더욱 우려스러운 점은, 미국에서 Apple App Store와 Google Play를 통해 다운로드된 390개 VPN 중 64개가 중국 기업 소유이며, 이들은 법적으로 권위주의 정부에 데이터를 공유해야 한다는 사실입니다.

가상 사설망을 사용하는 대부분의 사람이 개인정보를 보호하려는 목적을 갖고 있다는 점을 고려하면 위험은 명백합니다. Google과 Apple은 대중을 보호하겠다고 약속했음에도 2026년 6월 한 달 동안에만 이 수상한 VPN이 1,320만 회 이상 다운로드되도록 허용했습니다.

조사 방법

Google Play 스토어에서 제공되는 무료 다운로드를 조사했습니다. 월간 다운로드 수는 5월 한 달간 AppTweak의 추정치입니다. 트래커 수는 Android 앱을 분석해 분석, 광고, 프로파일링 트래커의 코드 서명을 탐지하는 오픈소스 플랫폼인 Exodus Privacy(새 창)의 데이터를 사용했습니다.

VPN은 어떻게 작동해야 하는가

VPN을 사용할 때는 개인정보 보호를 기대하게 됩니다. 신뢰할 수 있는 VPN은 웹사이트가 실제 IP 주소를 보지 못하게 하고, 인터넷 서비스 제공업체(그리고 결과적으로 , 정부)가 온라인에서 무엇을 하는지 알 수 없도록 합니다.

VPN은 최대 1억 명에 달하는 미국인(새 창)의 일상이 되었습니다. YouTube에서 몇 분만 시간을 보내도 VPN 광고를 거의 반드시 마주치게 되는데, 이러한 광고는 VPN을 개인정보 보호, 보안, 검열 우회를 위한 필수 도구로 홍보합니다.

가장 평판이 좋은 서비스의 경우 이 주장은 대체로 사실입니다. 하지만 이 사실 자체가 앱 스토어 상단에 눈에 띄게 노출되는 무료 VPN에 끌리는 수백만 소비자에게 잘못된 안도감을 심어줄 수 있으며, 많은 의심스러운 VPN이 기대와 정반대로 행동한다는 사실을 가려줍니다.

내 VPN은 누가 소유하고 있나요

VPN에서는 투명성이 무엇보다 중요합니다.

개인정보를 맡기는 기업이 누구인지 알아야 합니다. 분석 결과, 미국에서 사용할 수 있는 수십 개의 VPN이 강압적인 데이터 감시 법률을 가진 관할권에 본사를 둔 기업 소유인 것으로 나타났습니다. 놀랍지 않게도 많은 업체가 이 사실을 숨기기 위해 상당한 노력을 기울입니다.

조사한 VPN 중 64개는 중국 기업이 소유하고 있습니다. 중국 법률에 따라 기업은 정부의 요청이 있으면 사용자 데이터를 제공해야 합니다(새 창). 더 큰 문제는 이 중국 기업 소유 VPN 중 31개가 싱가포르, 홍콩, 영국 등에 등록된 페이퍼컴퍼니 뒤에 실제 소유주를 적극적으로 숨기고 있다는 점입니다.

미국 사용자들은 한 달 동안 이 수상한 중국 앱을 300만 회 이상 다운로드했습니다.

내 데이터는 어디로 가나요

대규모 감시 관행으로 알려진 국가에 본사를 둔 기업이 직접 소유하지 않은 VPN도 사용자의 개인정보를 위험에 빠뜨릴 수 있습니다.

분석 결과, 미국에서 사용할 수 있는 VPN의 85%에 트래커가 포함되어 있으며, 이는 매우 민감한 사용자 데이터를 수집하고 공유하도록 설계되었습니다. 여기에는 고유 기기 ID(GAID), 기기 모델, 네트워크 유형, 이동통신사 이름 등이 포함될 수 있습니다.

데이터를 보내는 트래커	6월 다운로드 수
중국	150만
러시아	140만
이스라엘	260만
세 곳 모두	800,000
파이브 아이즈 국가	460만

이러한 미국 소유 앱 중 다수는 해외 기업과 상업적 계약을 맺고 그 거래의 일환으로 추적 소프트웨어를 삽입했습니다. 이들은 VPN 앱을 흔히 기성 화이트 라벨 제품으로 구매해 게임처럼 광고를 통해 수익을 낼 수 있는 또 하나의 인기 앱 카테고리로 여기는 경우가 많습니다.

이것이 모바일 앱 업계가 운영되는 방식일 뿐입니다. 그리고 앱 스토어가 판매 수익의 약 30%를 가져가는 세상에서, 앱 제공업체가 선불 유료 구독 대신 개인정보를 침해하는 광고로 수익을 창출하는 쪽을 선택하는 것은 놀라운 일이 아닙니다.

하지만 VPN 앱은 게임이 아닙니다. 수백만 명의 미국인은 개인정보를 광고 기술 기업에 팔기 위해 사용하는 것이 아니라 개인정보를 보호하기 위해 사용합니다. 이러한 기업 상당수는 개인정보 보호에 적대적인 정부가 있는 국가에 본사를 두고 있으며, 많은 경우 미국의 이익에도 적대적입니다.

데이터로 정확히 무엇이 이루어지는지 알기 어렵지만 우려스러운 징후는 있습니다. 조사한 VPN 서비스 중 세 곳은 실제로 시장 조사 기업이 소유하고 있습니다. ‎Phone Guardian Safe WiFi(Sensor Tower(새 창)), My Mobile Secure VPN(Comscore(새 창)), Urban VPN(BiScience(새 창))인데, BiScience는 여러 서비스에서 사용자 대화를 수집해 AI 챗 플랫폼과 공유하는 것으로 밝혀진(새 창) 바 있습니다.

일부 VPN은 위치를 추적합니다

많은 사람이 궁극적인 배신으로 볼 만한 일이지만, 64개의 VPN 앱이 GPS와 기타 위치 데이터를 이용해 실제 위치를 적극적으로 추적합니다. 이 데이터에 접근할 수 있는 사람은 시위 현장에 있는지, 기자나 변호사, 제보자를 만나고 있는지 알 수 있으며, 결국 그 정보를 법 집행 기관이나 정보 기관과 공유할 수 있습니다.

이 앱에는 VPN Proxy Master, VPN-Fast VPN Super, X-VPN 등 미국에서 가장 인기 있는 VPN 일부가 포함되며, 이들을 합치면 6월에 300만 회 이상 다운로드되었습니다. 이는 데이터셋의 전체 VPN 다운로드 중 약 20%가 자신이 있는 위치를 추적하는 앱에서 발생한 것임을 의미하며, 이는 아마도 VPN을 설치해 막으려던 바로 그 행위입니다.

그리고 이러한 추적 데이터는 신뢰하기 어려운 정부에 제공되는 경우가 많습니다.

앱 스토어는 감시로 이익을 얻고 있습니다

Apple과 Google은 공개적으로 개인정보 보호 자격을 자랑합니다. 하지만 온라인에서 하는 모든 일을 추적하고 개인 데이터를 광고 기술 기업에 보낼 수 있는 이러한 앱은 경고 라벨 없이 자사 앱 스토어에서 자유롭게 다운로드할 수 있습니다.

앱 스토어는 VPN 개발자에게 신원과 개인정보취급방침을 제출하도록 요구하지만, 자기 신고에 크게 의존하며 제출된 내용을 검증하는 일은 거의 하지 않습니다. Apple과 Google은 서류가 존재하는지 확인할 뿐, VPN이 실제로 개인정보취급방침에서 주장하는 대로 작동하는지 독립적으로 감사하지는 않습니다.

개인정보 보호를 내세우면서도 Apple과 Google은 사용자의 이익보다 수익을 우선시합니다. 이들은 일반적으로 인앱 구매와 구독으로 발생하는 모든 수익에서 약 30%의 수수료를 가져갑니다. 특히 Apple은 사용자를 보호하기 위해 앱을 검토하고 선별하는 비용을 충당해야 한다며 이 수수료를 정당화하려 합니다. 하지만 이 수수료의 78%를 순수 이익으로 챙긴다(새 창)는 신뢰할 만한 증거가 있습니다.

수익 중심 모델은 Apple이 중국 정부의 권위주의적 명령에 협조하려는 태도에서도 충분히 드러나며, 그 결과 전 세계에서 가장 인기 있는 앱 100개 중 66개가 중국의 iOS 사용자가 이용할 수 없게 되었습니다.

이 중 상당수는 뉴스 앱으로, The New York Times, BBC News, Reuters 등이 포함됩니다. 이는 Apple이 수익성 높은 중국 시장 접근을 대가로 중국 정부의 검열 체제를 기꺼이 돕는다는 사실을 보여줍니다. Apple은 App Store 설명에 우리 앱이 “검열된 웹사이트를 차단 해제”하는 데 사용될 수 있다고 적혀 있다는 이유로 Proton VPN을 삭제하겠다고 위협(새 창)하기도 했습니다.

그 결과는? 웹 브라우징, 앱 사용, 개인정보를 포함한 모든 트래픽에 접근할 수 있는 권위주의와 연계된 VPN이 광고 목적으로 온라인 행동을 추적하고 있습니다.

그러면 무엇을 할 수 있을까요

이러한 수상한 앱이 자사 플랫폼에 존재하도록 허용하는 것은 소비자와 개발자 모두에 대한 직무 태만입니다. 이는 용납할 수 없습니다. 따라서 Apple과 Google에 다음을 촉구합니다:

VPN 앱에 대해 자기 신고에만 의존하지 않고 더욱 엄격한 포렌식 보안 및 소유권 검사 수행
이러한 검사를 통과하지 못한 모든 앱을 자사 앱 스토어에서 삭제
모든 VPN 앱에 대한 투명성을 높여 사람들이 어떤 앱을 신뢰할 수 있는지 정보에 기반해 판단할 수 있도록 하고, 기업이 실제로 어디에 본사를 두고 있는지와 데이터로 무엇을 하는지에 대한 정보를 제공

이러한 투명성이 효과를 발휘하려면 Apple과 Google이 막대한 자원의 아주 작은 일부를 투자해 서비스를 조사하고, 서비스가 표방하는 대로 실제로 운영되는지 확인해야 합니다.

안전을 지키기 위해 할 수 있는 일

VPN으로 개인정보를 안전하게 보호하려면:

실질적인 개인정보 보호 법률이 있는 국가에 위치하고 소유 구조가 투명한 서비스 사용
독립적인 감사를 받은 VPN만 신뢰하세요.

변명의 여지가 없습니다

모든 인터넷 활동이 VPN 서버를 통과하기 때문에, 모든 VPN은 사용자에 대한 매우 많은 개인 정보, 삶, 정치적 성향, 구매하고 싶은 것, 취미와 관심사에 접근할 가능성이 있습니다. VPN 앱을 선택할 때 개인정보가 우선 순위가 아니더라도, 중국과 러시아 같은 곳에 링크를 가진 수상하고 책임을 지지 않는 회사들을 걱정해야 합니다. 그곳에서는 정부가 모든 데이터에 무제한으로 접근할 수 있습니다.

미국에서 조사한 앱 중 총 85%가 마케팅 방식과 VPN 서비스에 대해 합리적으로 기대할 수 있는 것과 반대로 행동하고 있습니다. 이는 용납할 수 없습니다.

이러한 앱 중 다수는 이 데이터 수집이 성능 최적화만을 위해 이루어진다고 주장할 수 있습니다. 하지만 이 데이터를 수집할 수 있다는 사실, 그리고 그 중 상당량이 러시아와 중국 같은 곳으로 보내진다는 사실은 심각한 우려를 낳습니다.

다행히도, 개인정보 보호에 진심으로 신경 쓰는 평판 좋은 VPN 서비스들이 있습니다. 여기에는 Proton VPN이 포함되며, 이는 오픈 소스 앱, 광고 없음, 데이터 제한 없음, 독립적으로 감사되고 스위스 개인정보 보호법의 지원을 받는 엄격한 노로그 방침을 갖춘 100% 무료 VPN 서비스를 제공합니다.

어떻게 이것이 가능할까요? 아주 간단합니다. 우리는 다양한 고급 기능을 제공하되 전적으로 선택 사항인 premium 서비스로 무료 요금제를 투명하게 지원합니다. Proton에서는 개인정보 보호에 조건이 붙어서는 안 된다고 믿기 때문입니다.

커버 이미지: Bernard Leonardo