SplitVPN 유출 사건으로 드러난 것

인터넷 검열 우회 도구로 홍보된 SplitVPN이라는 VPN 서비스가 사용자들에게 약속했던 바로 그 핵심 가치를 훼손하는 데이터 노출 사건의 중심에 섰다. Security Affairs의 보도에 따르면, SplitVPN과 연관된 것으로 추정되는 17GB 규모의 SQL 데이터베이스에 수백만 건의 사용자, 기기, 결제 기록과 함께 5,800만 건의 접속 로그가 포함되어 있었다. 마지막 세부 사항이 가장 중요한데, SplitVPN은 무로그(no-logs) 서비스를 표방했기 때문이다. 즉, 사용자의 신원을 온라인 활동과 연결할 수 있는 활동 데이터를 기록하지 않는다고 주장했다는 의미다.

수천만 건의 접속 기록이 결제 및 기기 정보와 함께 유출된 이번 사건의 규모는 단순한 기술적 실수가 아니었음을 시사한다. 무로그 정책에서 금지해야 할 바로 그 데이터를 조직적으로 보관해 온 관행을 가리킨다. 디지털 감시가 실질적인 개인적 위험을 수반하는 지역에서 검열을 우회하도록 돕는 서비스의 경우, 이런 유출은 단순한 망신 이상의 의미를 지닌다. 이는 사용자들이 의지했던 안전 약속에 대한 정면 배치다.

'무로그' VPN이 모든 것을 로깅하게 된 경위

VPN 제공업체가 마케팅에서 말하는 것과 실제 서버에서 벌어지는 일 사이의 괴리는 새로운 문제가 아니지만, SplitVPN 사례는 그 간극이 얼마나 클 수 있는지 적나라하게 보여준다. "무로그" 주장은 본질적으로 정책 선언이다. 회사가 하지 않겠다고 말하는 바를 기술한 것이다. 그 어떤 기술적 메커니즘이나 외부 기관에 의해 자동으로 검증되는 것은 아무것도 없다. 제공업체가 독립적인 검증을 받지 않는 한, 그 주장은 웹페이지 위에만 존재하는 것이다.

이번에 벌어진 일은 VPN 업계에서 흔히 볼 수 있는 패턴으로, 접속 메타데이터, 타임스탬프, IP 주소, 세션 정보, 계정 정보 등이 문제 해결, 사기 방지, 과금과 같은 운영상의 이유로 수집되고, 그 데이터가 완전히 삭제되지 않는 경우다. 시간이 지나면서 이 데이터는 무로그 정책이 존재하지 않는다고 주장하는 바로 그 유형의 프로필로 축적된다. 그런 데이터베이스가 유출되거나 외부에 노출될 때, 정책과 실제 관행의 불일치는 최악의 방식으로 공개된다.

검증되지 않은 무로그 주장을 신뢰할 수 없는 이유

이번 사건은 무로그 주장 자체를 개인정보 보호의 증거로 받아들여서는 안 되는 이유를 보여주는 좋은 사례 연구다. 어떤 VPN 제공업체든 홈페이지에 "당신의 활동을 로깅하지 않습니다"라고 쓸 수 있다. 그 주장은 외부의 뒷받침, 즉 제3자 보안 감사, 당국이 로그를 요청했으나 실제로 존재하지 않았던 법정 사례, 혹은 일관된 공개 보고의 투명한 이력이 있을 때 비로소 신뢰성을 얻는다. 그런 검증 없이 무로그 정책은 보장이 아닌 마케팅 문구일 뿐이다.

더 큰 교훈은 VPN 너머로 확장된다. 많은 보안 및 개인정보 보호 도구가 듣기에는 안심되지만 일반 사용자가 검증하기 어려운 대담한 약속을 한다. 여기에 적용되는 회의론은 보안 업계의 다른 곳에도 적용할 가치가 있다. 예를 들어, 랜섬웨어 지불금에 대한 보고는 독립적인 데이터가 검토된 후, 몸값을 지불하면 문제가 해결된다는 일반적인 가정이 더 이상 유효하지 않음을 보여주었다. 주장에는 의도만이 아닌 증거가 필요하다.

VPN을 신뢰하기 전 개인정보 처리방침 검증 방법

특히 검열 우회와 같이 위험도가 높은 사용 사례로 마케팅되는 VPN을 구독하기 전에, 무로그 라벨을 액면 그대로 받아들이기보다 몇 가지 구체적인 확인을 거치는 것이 좋다:

  • 단순히 "감사를 받았다"는 모호한 언급이 아닌, 완료되어 공개된 제3자 보안 감사 보고서를 찾아본다. 신뢰할 수 있는 제공업체는 감사 기관명을 밝히고 결과를 공개한다.
  • 해당 제공업체가 문서화된 이력을 가지고 있는지 확인하며, 이상적으로는 법 집행 기관의 요청이 유용한 로그 없음으로 확인된 사례가 포함되어 있는지 살펴본다.
  • 마케팅 페이지뿐 아니라 실제 개인정보 처리방침을 읽어 과금, 문제 해결, 사기 방지를 위해 어떤 데이터 범주가 수집되는지, 그리고 그 데이터가 얼마나 오래 보관되는지 확인한다.
  • 국가별로 데이터 보관 의무가 크게 다르므로, 회사의 소유 구조와 관할권을 조사한다.

이것이 당신에게 의미하는 바

SplitVPN을 사용 중이거나 어떤 VPN을 사용하든, SplitVPN 무로그 데이터 유출 사건은 자신이 비용을 지불하는 서비스가 실제 증거로 개인정보 보호 주장을 뒷받침하는지 주기적으로 재평가해야 한다는 점을 상기시켜 준다. 만약 당신의 제공업체가 독립 감사를 공개한 적이 없다면, 이는 단순한 기술적 문제가 아닌 경고 신호로 간주할 가치가 있다. 접속 로그 유출이 실질적인 개인적 결과를 초래할 수 있는 검열이 심한 지역의 사용자에게 이 검증은 선택 사항이 아니라 필수 사항이다.

핵심 요점

SplitVPN 사건은 간단한 진실을 강조한다. 개인정보 보호 약속은 그 뒤에 존재하는 증거만큼만 강력하다는 것이다. 접속 데이터를 어떤 VPN에 맡기기 전에, 마케팅 문구에만 의존하지 말고 독립 감사 및 투명성 보고서를 통해 무로그 주장을 검증하라. 현재 사용 중인 제공업체의 정책을 검토하고, 제3자 검증을 확인하며, 증거가 뒷받침되지 않는다면 주저 없이 옮겨라.