일부 VPN 신뢰성 - 트래커와 중국 배후 의혹 등

 

많은 VPN 업체는 보안을 얘기합니다.

그런데, VPN 업체를 신뢰할 수 있는가라는 논란은 계속되고 있습니다.

 

VPN 신뢰성

VPN 앱에 트래커 (Tracker)가 존재한다는 주장입니다. 물론 트래커가 존재한다고 바로 보안상 위험할 수 있다고 볼 수는 없습니다.

 

Proton finds 85% of US-downloaded VPN apps contain trackers (2026.08.28)

https://cyberinsider.com/proton-finds-85-of-us-downloaded-vpn-apps-contain-trackers/

Proton finds 85% of US-downloaded VPN apps contain trackers

 

원본 내용입니다.

 

Shady VPNs could be spying on millions of Americans (2026.08.27)

https://protonvpn.com/blog/vpn-privacy

Shady VPNs could be spying on millions of Americans | Proton VPN

 

Proton도 VPN 업체이니 자사 홍보 가능성도 염두해 두고 읽어야합니다.

 

AI 요약

 

요약: Proton 조사 — 미국에서 다운로드되는 VPN 앱의 85%에 트래커 포함 (2026.8.28)

 

조사 개요

Proton이 수개월간 7,000개 이상의 모바일 VPN 앱(Google Play, App Store)을 분석한 결과, 미국에서 다운로드되는 VPN의 85%에 추적(tracking) 구성요소가 들어 있고, 분석 대상 서비스의 약 4분의 1이 사용자의 물리적 위치를 수집하는 것으로 나타났습니다. 다운로드 추정치는 앱 분석업체 AppTweak, 트래커 탐지는 오픈소스 프로젝트 Exodus Privacy 데이터를 사용했습니다.

 

핵심 수치

 

항목	내용
트래커 포함 VPN	미국 다운로드 VPN의 85%
중국 소유 VPN	미국에서 다운로드된 390개 VPN 서비스 중 64개
소유권 은폐	그중 31개가 싱가포르·홍콩·영국 등 해외 법인 뒤에 실소유 숨김
중국 소유 VPN 다운로드	한 달간 미국에서 300만 회 이상
위치정보 접근 VPN	64개, 6월 미국 다운로드의 약 20% (300만 회 이상)

 

트래커가 수집하는 정보
광고 식별자, 기기 모델, 네트워크 종류, 통신사 정보 등. 6월 다운로드 기준으로 데이터를 보내는 트래커 소재국은 중국(150만), 러시아(140만), 이스라엘(260만)으로 추정됐습니다.

 

구조적 문제 지적

• 일부 VPN은 시장조사 회사가 소유 — 사용자의 인터넷 활동 상당 부분이 VPN을 거치는 만큼, 광고·분석 기반 수익 모델은 VPN에 특히 부적합하다는 주장
• Apple과 Google이 개발자 자기 신고에만 의존하고 소유권·개인정보 처리를 독립적으로 검증하지 않는다고 비판 → 포렌식 수준 검사, 불합격 앱 삭제, 운영자 실제 소재지 공개를 요구

사용자 권고

무료·생소한 VPN은 주의, 운영사 확인, 요청 권한 검토(불필요한 위치 권한 요구 시 회피), 독립 보안 감사를 받은 no-log 서비스 선택.

읽을 때 유의점

• 이해관계 충돌: Proton 자신이 VPN 사업자라 조사 대상 앱들의 경쟁사입니다. 기사도 이 점을 감안해야 한다고 명시합니다.
• "트래커 포함"이 곧 악성이라는 뜻은 아닙니다. 광고·분석 SDK가 대부분일 수 있고, 다만 트래픽 전체를 맡기는 VPN이라는 앱 성격 때문에 문제가 커지는 구조입니다.

 

 

다른 사례

 

VPN 업체 중국 배후 논란 (2025년)

 

2025년 Tech Transparency Project(TTP) 조사 보도가 있습니다. 이후 학술 연구까지 나와서, 현재는 여러 출처가 교차 확인된 사안입니다. 다만 "배후에 중국이 있다"의 의미를 어디까지로 보느냐에 따라 사실 여부가 갈립니다.

1. 원출처: TTP 보고서 2건 (2025년)

1차 보고서 (2025.4.1)

TTP는 2024년 미국 App Store 무료 VPN 상위 100개 중 5개 중 1개(20개)가 중국 기업 소유였고, 여러 겹의 역외 페이퍼컴퍼니 뒤에 소유 구조를 숨긴 경우가 많았다고 밝혔습니다. 이 중 여러 앱은 미 국방부가 "중국 군사기업"으로 지정한 **Qihoo 360(치후 360)**으로 이어졌다고 합니다 (https://commsrisk.com/chinese-companies-own-20-of-the-100-most-popular-free-vpns-on-apples-us-app-store/ — TTP 원문 요약 인용).

 

연결 근거는 공시 자료입니다. Qihoo 360이 2019년 상하이증권거래소에 낸 연차보고서에 Lemon Seed, Lemon Clove, Autumn Breeze 3개사를 인수했다고 기재했고, 이를 통해 App Store VPN 개발사 Innovative Connecting의 소유주를 Qihoo 360이 인수한 것으로 확인됩니다. Qihoo 360은 2020년 6월 미 상무부 제재 대상(Entity List)에 올랐습니다 (https://www.techtransparencyproject.org/articles/apple-offers-apps-with-ties-to-chinese-military).

 

2차 보고서 (2025.6)

보도 이후 Apple은 Thunder VPN, Snap VPN, Signal Secure VPN 3개를 내렸지만, Turbo VPN, VPN Proxy Master는 계속 남아 있었고 Google Play에도 계속 제공되고 있었다고 지적했습니다 (https://www.business-humanrights.org/en/latest-news/free-vpn-apps-allegedly-sharing-user-data-with-chinese-government-watchdog-report-warns/ — 뉴스 요약). 2차 보고서는 총 17개 앱의 숨겨진 중국 연관성을 제기했습니다.

 

2. 교차 검증: 학술 연구 "Hidden Links" (2025, FOCI 학회)

애리조나주립대·Citizen Lab 연구진은 사업자 공시와 Android APK를 분석해 겉보기에 다른 VPN들을 **3개 "가족(family)"**으로 묶었고, 합산 Google Play 다운로드가 7억 회 이상이었습니다. 핵심은 소유 관계뿐 아니라 서버 암호 자격증명까지 공유한다는 점을 새로 밝혀낸 것입니다 (https://www.petsymposium.org/foci/2025/foci-2025-0008.pdf).

 

특히 APK에 Shadowsocks 비밀번호가 하드코딩되어 있어, 통신 경로 중간의 도청자가 해당 앱 모든 사용자의 트래픽을 복호화할 수 있었고, 연구진이 실제 복호화까지 확인했습니다. Innovative Connecting·Autumn Breeze·Lemon Clove 계열(Family A)은 이전 연구들에서도 인민해방군과의 연관성이 지적됐던 곳입니다.

 

3. 사실 여부 판단

주장판단근거

주장	판단	근거
인기 무료 VPN 상당수가 중국 기업 소유	✅ 사실	공시 자료 기반, TTP·학술연구·이번 Proton 조사(2026)까지 일관
역외 법인으로 소유 구조를 숨김	✅ 사실	싱가포르·케이맨 법인 구조 확인
일부가 제재 기업 Qihoo 360과 연결	✅ 사실에 가까움	Qihoo 360 공시로 인수 확인. 단 Qihoo 측은 2020년 VPN 사업을 매각했다고 주장
보안 결함으로 트래픽 복호화 가능	✅ 실험으로 확인	Hidden Links 연구
"사용자 데이터를 중국 정부에 넘기고 있다"	⚠️ 입증되지 않음	실제 전송 증거는 없음. 중국 국가정보법상 요구받으면 제공해야 하는 법적 구조라는 위험 추론

 

정리하면: "중국 소유이고 숨겼다"는 사실로 봐도 되지만, 일부 헤드라인처럼 "데이터를 중국 정부에 보내고 있다"는 표현은 법적 가능성을 사실처럼 쓴 과장입니다. 보고서나 발표에서 인용하실 때는 "중국 법상 정부 요구 시 데이터 제공 의무가 있는 기업이 소유" 정도로 표현하시는 게 정확합니다.

 

대화 내용 유출 의혹 (2025년 12월)

 

 

2025년 12월 중순 무료 Urban VPN 가 대화 내용을 유출했다는 의혹이 공개되었습니다.

 

https://xcoolcat7.tistory.com/92062

Urban VPN Proxy 브라우저 확장 프로그램의 AI 대화 내용 유출