한 번의 탭만으로 필요한 거의 모든 것을 문 앞까지 배송받을 수 있는 시대, 우리는 이미 미래 속에 살고 있습니다. 맞춤형 광고, 위치 기반 개인화 혜택, 익일 배송 등 현대 사회는 놀라운 편리함을 제공합니다. 하지만 그 대가는 무엇일까요?
많은 사람이 이러한 편리함을 얻는 대신 프라이버시를 내주고 있습니다. 그러나 최근에는 자신의 데이터가 얼마나 가치 있는지 깨닫는 이용자가 늘어나면서, 온라인 보호를 위해 VPN을 활용하는 사람들도 꾸준히 증가하고 있습니다. 그렇다면 VPN을 사용할 때 과연 누가 내 데이터를 볼 수 있을까요? 그리고 정확히 어떤 정보가 기록될 수 있을까요?
VPN이란 무엇인가?
VPN(가상 사설망, Virtual Private Network)은 IP 주소를 가려 사설 연결을 구성해 주는 기술입니다. VPN을 사용하면 검색 기록, 위치 정보, 기기 정보를 해커로부터 숨길 수 있으며, 데이터를 암호화하고 자신의 것이 아닌 IP 주소로 웹을 탐색하기 때문에 VPN 없이 접속할 때보다 훨씬 안전하게 인터넷을 이용할 수 있습니다.
다만 VPN은 프라이버시 보호를 위한 한 걸음 전진일 뿐, 완벽한 해결책은 아닙니다. 자신을 보호하기 전에 VPN의 한계도 함께 고려해야 합니다.
VPN이 수집하는 세 가지 데이터 로그
온라인 정보를 누가 볼 수 있는지 살펴보기에 앞서, VPN이 수집하는 데이터의 종류부터 짚고 넘어가겠습니다.
VPN 업체마다 사용자 데이터를 얼마나 보관하는지에 대한 방침이 다르므로, 다운로드하거나 결제하기 전에 반드시 세부 약관을 확인해야 합니다.
또한 국가마다 데이터 보관과 관련된 법률이 다릅니다. 예를 들어 미국이나 EU에 기반을 둔 VPN 업체는 웹사이트에서 어떤 주장을 하든, 해당 국가의 관리 기관 요구에 따라 사용자 데이터를 기록해야 할 의무가 생길 수 있습니다.
VPN이 기록할 수 있는 데이터는 크게 세 가지입니다. 첫째, 사용 로그(usage logs)는 방문한 웹사이트, 사용한 앱이나 기기 같은 정보를 담습니다. 둘째, 연결 로그(connection logs)에는 실제 IP 주소, 접속 가능한 VPN IP 주소, 데이터 사용량이 포함됩니다. 마지막으로 일부 VPN 업체는 아무것도 기록하지 않는 노로그(no logs) 정책을 표방합니다.
즉, 대부분의 VPN이 안전하다고 해도 모든 VPN이 완전히 프라이버시를 지켜주는 것은 아닙니다. 다운로드 전에 어떤 정보를 기록하는지 반드시 확인하세요.
그렇다면 VPN을 사용 중이라 해도, 과연 누가 내 데이터를 볼 수 있을까요?
VPN을 사용 중에도 내 데이터를 볼 수 있는 주체들
VPN은 1차 방어선으로 유용하지만, 인터넷상에서 당신을 완전히 보이지 않게 하거나 추적 불가능하게 만들지는 못합니다. IP 주소 외에도 온라인 활동을 추적할 수 있는 여러 방법이 있으며, 이를 통해 개인정보가 노출될 수 있습니다.
VPN에 연결된 상태에서도 여전히 데이터를 볼 수 있는 서비스들을 하나씩 살펴보겠습니다.
인터넷 서비스 제공업체(ISP)
VPN 없이 인터넷을 사용하면 인터넷 서비스 제공업체(ISP)는 온라인에서 하는 거의 모든 활동에 접근할 수 있습니다.
VPN이 정보를 가려 주더라도 ISP는 여전히 연결 로그를 확인할 수 있습니다. 즉, 암호화된 VPN 서버의 IP 주소, 접속 시간, 기기에서 오가는 트래픽의 양까지 파악할 수 있습니다.
검색 엔진
VPN을 사용하더라도 많은 검색 엔진은 통합 프로필 사용에 동의했기 때문에 사용자 정보를 계속 수집할 수 있습니다.
예를 들어 Google 검색을 사용하면서 Google 계정에 로그인된 상태라면, VPN을 켜고 있어도 검색 기록은 여전히 본인에게 연결됩니다. 참고로 Google은 Google One 구독 서비스에 VPN을 포함해 제공하고 있지만, 그 신뢰성에는 여전히 의문이 남습니다.
소셜 미디어
마찬가지로 Facebook 같은 소셜 미디어에 로그인 상태를 유지하면, 검색·탐색 활동이 다시 본인과 연결될 수 있습니다.
실제로 소셜 미디어 계정으로 간편 로그인(single sign-on)을 한 모든 웹사이트에도 동일하게 적용됩니다. IP 주소와 무관하게 소셜 미디어 계정과 연결된 데이터는 광고주가 여전히 접근할 수 있습니다.
직장(회사)
회사 노트북으로 VPN을 켜면 민감한 검색 기록을 회사로부터 숨길 수 있다고 생각한다면 착각입니다. 일반 상업용 VPN과 달리, 회사가 제공하는 VPN은 트래픽을 회사 소유 네트워크로 우회시키는 경우가 많습니다.
사무실을 비웠더라도 회사는 정책에 어긋나는 활동을 모니터링할 권한이 있습니다. 예를 들어 민감한 문서 전송, 선정적 자료 열람, 불법 복제물 다운로드 등은 회사 보안팀의 주의를 받을 수 있습니다. 또한 많은 회사가 기기에 대한 관리자 권한을 갖고 있어 로컬 환경에서 검색 기록을 직접 확인할 수도 있습니다.
법 집행 기관
법 집행 기관은 VPN을 통해 암호화되어 실시간 전송되는 데이터를 추적할 수 없습니다. 하지만 다른 경로로 정보에 접근할 수 있습니다. 불법 행위나 범죄 혐의가 있는 경우, 당국은 ISP에 연결 로그를 요청해 어떤 VPN 업체를 사용했는지 파악할 수 있습니다.
이후 법 집행 기관은 해당 VPN 업체에 데이터 제공을 요청할 수 있습니다. 만약 VPN 업체가 엄격한 무기록(노로그) 정책을 갖고 있지 않다면, 요청에 따라 사용자 정보를 넘겨야 합니다.
VPN만으로는 부족하다, 추가 보안 습관이 필요하다
VPN을 사용하더라도 VPN 종료 서버와 최종 목적지 사이의 트래픽은 여전히 암호화되지 않습니다. VPN IP 주소에서 시작된 활동을 추적해 본인에게 도달하지 못할 수도 있지만, 그 과정의 다른 상호작용이 단서가 될 수 있습니다. 온라인 활동을 역추적하는 방법은 여러 가지라는 점을 기억하세요.
또한 모든 VPN이 동일하지 않습니다. 나쁜 VPN은 아예 없는 것만큼이나 위험할 수 있습니다. VPN을 고를 때는 데이터 유출 이력이 있는지, 사용자 데이터 기록을 의무화하지 않는 국가에서 운영되는지, 자주 사용하는 기기를 지원하는지 반드시 확인하세요.
VPN은 온라인 활동에 강력한 보안을 더해 주지만, 프라이버시를 완전히 보장하지는 않습니다. 따라서 기본적인 인터넷 안전 수칙을 계속 실천해야 합니다. 강력한 비밀번호 설정, 프라이빗 브라우저 사용, 정기적인 악성코드 검사, 피싱 메일 클릭 자제 등을 대체할 만한 것은 없습니다.
훌륭한 VPN은 매우 유용하지만, 그것은 싸움의 절반일 뿐입니다. 사기꾼과 해커가 날로 교묘해지는 만큼, 개인 데이터 프라이버시 보호 습관도 최대한 끌어올리는 것이 점점 더 중요해지고 있습니다.