개인 프라이버시에 대한 위협은 날로 증가하고 있습니다. 정부 기관과 기업 등에 의한 감시가 확대되면서 수많은 인터넷 사용자가 VPN을 사용하기 시작했습니다. 가상사설망(VPN)은 온라인 프라이버시를 획기적으로 강화할 수 있는 간편한 수단으로, 마치 지구 반대편에 있는 것처럼 인터넷을 탐색할 수 있게 해줍니다.
VPN 업체들은 다양한 서버 위치를 핵심 셀링포인트로 내세웁니다. 여러 국가에 걸쳐 폭넓은 서버 네트워크를 보유한 VPN은 일반적으로 안정적인 선택으로 평가받습니다. 위치와 서버가 다양하다는 것은 언제든 활성화된 연결을 찾아 데이터를 보호할 수 있다는 의미이기 때문입니다.
하지만 만약 VPN이 실제로 그런 서버들을 모두 갖추고 있지 않다면 어떻게 될까요? 그중 일부 서버가 실제로는 전혀 다른 곳에 있다면요? 프라이버시 보호국으로 유명한 스위스에 있는 줄 알았던 프라이빗 서버가 사실은 영국에 있거나, 파키스탄에 위치한다던 서버가 실제로는 싱가포르에 있는 것입니다.
후자의 경우는 지금부터 살펴볼 VPN 스푸핑 세계의 실제 사례입니다.
세상 어디에 있는 서버인가?
수만 개에 달하는 VPN 제공업체 중에서 적절한 서비스를 고르는 일은 최선의 상황에서도 만만치 않습니다. 일반적으로 통용되는 조언은 무료 서비스를 피하고, 연간 요금제로 결제하며, 로깅 정책과 서버 위치 범위를 꼼꼼히 확인하라는 것입니다. 반면 불량 업체는 정반대의 행보를 보입니다. 사용자 데이터를 기록하고, 검색 기록을 추적하고, 고객의 익명성을 훼손한 뒤 그 모든 정보를 제3자 광고주나 정부에 판매할 수도 있습니다.
어려운 과정이지만 대부분의 사용자는 신중한 조사와 사용자 리뷰를 통해 이런 문제들을 걸러냅니다.
그러나 RestorePrivacy 편집자 스벤 테일러(Sven Taylor)의 최근 보고서에 따르면, 많은 주요 VPN 업체의 실제 모습은 겉모습과 크게 다릅니다. 테일러는 이번 보고서가 특정 VPN 업체를 공격하려는 것이 아니라고 분명히 밝혔습니다. 그의 진짜 목적은 거짓 VPN 마케팅 문구와 가짜 서버 위치를 폭로하고, VPN 가상 서버 위치를 둘러싼 혼란을 바로잡는 데 있습니다.
가상 위치의 실태
RestorePrivacy는 면밀히 조사된 사례들을 통해 문제를 짚었습니다. 먼저 매우 인기 있는 서비스인 Hidemyass와 그들의 광범위한 서버 네트워크를 살펴보겠습니다.
Hidemyass는 "전 세계 210여 개국, 280여 개 지역에 760개 이상의 VPN 서버"를 운영한다고 주장합니다. 여기에는 북한 만포에 6개의 IP 주소를 지닌 두 개의 서버가 포함되어 있는데, 이 사실만으로도 상당히 의심스럽습니다.
자세히 들여다보면 이 위치들 중 상당수가 물리적 서버가 아닌 '가상 위치'임을 알 수 있습니다. 북한의 경우는 이해가 됩니다. 세계에서 가장 출입이 어려운 나라 중 하나에서 VPN 서버를 확보하고, 외부에 노출되는 서버를 구축·운영하는 것이 현실적으로 불가능에 가깝기 때문입니다.
하지만 Hidemyass만 그런 것은 아닙니다.
ExpressVPN은 전 세계에서 최고 수준의 평가를 받는 VPN 서비스 중 하나로, 수천만 명이 사용하고 있습니다. RestorePrivacy는 이곳에서 11개의 가짜 서버 위치를 발견했습니다. 원문 기사가 게재될 당시 ExpressVPN은 자사 서버가 모두 실제라고 강하게 주장했습니다. 그러나 기사 공개 6일 후, ExpressVPN은 가상 서버 위치 정보를 업데이트하며 어떤 서버가 가상화되었는지 구체적으로 밝혔습니다.
RestorePrivacy는 PureVPN에서도 5개의 가짜 서버 위치를 확인했으며, 아직 밝혀지지 않은 사례가 훨씬 더 많을 것으로 의심했습니다.
어떻게 알아냈을까?
RestorePrivacy의 기사 이전에도 Hidemyass는 가상 위치를 사용한다는 점은 솔직하게 공개했습니다. 다만 그중 일부가 '가짜'라는 사실까지는 인정하지 않았습니다. Hidemyass 채팅 상담원은 일부 가상 위치가 실제로 가짜임을 인정하면서도 구체적으로 어떤 것인지는 설명하지 못했고, 단지 "더 많은 위치와 훨씬 안정적인 연결을 제공하고 싶다"고 답변했습니다.
VPN 서버가 '잘못된' IP 주소를 반환하는 경우에 대한 흔한 변명은 관리가 소홀한 지오IP(Geo-IP) 데이터베이스입니다. 지오IP 데이터베이스는 갱신되지 않으면 부정확한 위치 정보를 반환할 수 있습니다. 테일러는 이 변수를 배제하기 위해 세 가지 네트워크 테스트 도구를 활용했으며, 독자 역시 직접 사용해 볼 수 있습니다.
- CA App Synthetic Monitor 핑 테스트 (전 세계 90개 지역에서 측정)
- CA App Synthetic Monitor 트레이스루트 (전 세계 다양한 지역에서 측정)
- Ping.pe (전 세계 24개 지역에서 측정)
목표는 "합리적 의심의 여지 없이 실제 위치를 검증"하는 것이었고, 조금이라도 의심이 남는다면 해당 서버를 가짜로 분류하지 않았습니다. 원문 기사에는 검증된 각 VPN 서비스에 대한 상세한 분석이 담겨 있습니다.
그렇다면 왜 가짜 가상 서버를 쓸까?
답은, 맞히셨겠지만, 결국 돈입니다.
"유인책은 주로 재정적인 이유에서 비롯됩니다. 첫째, 막대한 비용을 절감할 수 있습니다. 한 대의 서버로 수많은 서버 위치를 위조하면 비용이 크게 줄어듭니다. 전용 프리미엄 서버는 상당히 비싸기 때문입니다. 둘째, 다양한 국가에 걸친 수많은 서버 위치를 광고하면 더 많은 사용자의 눈길을 끌고, 그만큼 더 많은 VPN 구독을 판매할 수 있습니다."
VPN 시장은 갈수록 경쟁이 치열해지고 있으며, 어떤 식으로든 우위를 점하는 것이 보편화되고 있습니다. 처음 VPN을 찾는 정보가 부족한 신규 사용자들은 전 세계에 광범위하게 퍼진 네트워크를 자랑하는 업체를 신뢰하는 경향이 있습니다. 그리고 일부 VPN 업체는 서버의 '품질'이 아닌 '규모'를 부풀리는 데 기꺼이 힘을 보태는 것입니다.
왜 이렇게 심각한 문제일까?
가짜 가상 VPN 서버가 크게 와닿지 않을 수도 있습니다. 신원이 익명으로 유지되는 한 문제가 없다고 생각하기 쉽기 때문입니다. 그러나 심각한 우려 사항은 분명히 존재합니다.
- 가짜 서버는 당신이 피하려던 국가에 실제로 위치할 수 있으며, 연결하더라도 이를 알아차리기 어렵습니다.
- 가짜 서버는 이름 그대로 가짜입니다. 회사가 말한 곳에 존재하지 않습니다. 익명성을 맡기는 회사가 업무 수행 과정에서 거짓말을 해서는 안 됩니다.
- 특정 국가에서 제한된 서비스에 접속하려는 시도가 실패할 수 있습니다.
- VPN 성능을 최적화하려 할 때 잘못된 설정값을 적용하게 됩니다.
더욱이 VPN 업체들의 가짜 가상 서버 사용은 'VPN은 믿을 수 없다'는 부정적 인식을 키우고 있습니다. 여러 국가에서 VPN과 암호화 기술이 공격받고, 일부 국가에서는 아예 금지된 상황에서 부정적인 언론 보도는 결코 반가운 일이 아닙니다.
그래서, 이제 어떻게 해야 할까?
다행히 경쟁이 치열한 시장 속에서도 서버와 네트워크의 '질'에 집중하는 소규모 우수 VPN 업체들이 존재합니다. RestorePrivacy는 Perfect Privacy나 VPN.ac 같은 서비스로의 전환을 권장하며, 필자 역시 로그를 저장하지 않는 인터넷 환경을 원한다면 Mullvad와 CryptoStorm도 훌륭한 선택이라고 덧붙입니다.
또한 무료 VPN은 가급적 피하는 것이 좋습니다. 무료 VPN은 급할 때 유용한 도구가 될 수 있지만, 기억하세요. 돈을 내지 않는다면 당신 자신이 곧 상품입니다. 대부분의 무료 VPN 서비스에서 이 말은 그대로 들어맞습니다.
어디서부터 시작해야 할지 막막하다면, 현재 이용 가능한 최고의 VPN 서비스들을 비교해 보는 것부터 시작해 보세요.
이번 소식을 접한 후 VPN 사용을 다시 생각해 보셨나요? 더 작은 규모의 업체로 갈아탈 계획이신가요? 거짓 VPN 광고에 대한 규제가 필요하다고 보시나요? 추천하는 VPN 서비스가 있다면 아래 댓글로 의견을 나눠주세요!