위험한 VPN 앱 알아보는 법

VPN은 시스템 수준에서 작동합니다. 내가 모르는 사이 백그라운드에서 돌아가는 것까지 포함해 기기에 있는 모든 프로그램의 트래픽을 받습니다. 일반 앱은 스스로 수집한 것을 유출할 수 있을 뿐이지만, VPN은 그 기기에서 하는 모든 것을 유출할 수 있습니다. 고르는 기준이 훨씬 높아야 합니다.

‘아무 일도 없었다’는 것은 안전하다는 증거가 아닙니다. 기록, 보고, 삽입은 사용자가 아무것도 느끼지 못하는 서버나 백그라운드에서 일어나고, 결과는 몇 달 뒤에 나타나는 경우가 많으며 어느 앱 때문인지 추적할 수도 없습니다.

• 출처 불명: 설치 파일이 단체 대화방, 파일 공유 링크, QR 코드로 오고 공식 사이트나 스토어 페이지가 없습니다. 정상적인 클라이언트는 앱 스토어, 개발사 사이트, 또는 서명을 확인할 수 있는 배포 페이지에서 받습니다.
• 루트 인증서 설치를 요구함: ‘이 인증서를 신뢰하세요’, ‘이 프로필을 설치하세요’, CA를 신뢰하라고 합니다. 루트 인증서가 설치되면 은행과 이메일을 포함한 모든 HTTPS 트래픽을 풀어 볼 수 있습니다. 정상적인 VPN에는 이런 것이 전혀 필요 없습니다.
• 과도한 권한: 연락처, 문자, 통화 기록, 정확한 위치, 사진 보관함을 원하는 VPN. VPN에 필요한 것은 터널을 만드는 권한뿐입니다.
• 신원 확인: 가입할 때 신분증, 얼굴 인식, 중국 휴대폰 번호를 요구합니다. ‘규정을 준수하는’ VPN이 신원과 트래픽 기록을 묶는 방법이 바로 이것입니다. 정상적인 서비스는 이메일 주소면 됩니다.
• 독자 프로토콜과 비공개 클라이언트: 자체 앱으로만 쓸 수 있고 표준 프로토콜(AnyConnect, OpenVPN, WireGuard, Hiddify)을 하나도 지원하지 않아서, 실제로 무엇을 보내는지 오픈소스 클라이언트로 확인할 수 없습니다.
• 무료인데 수입원이 보이지 않음: 유료 요금제도 광고도 기업 고객도 없는데 몇 년째 운영됩니다. 중국 본토의 출구 대역폭은 사용량만큼 돈이 듭니다. 돈을 받지 않는 서비스는 다른 곳에서 거둬들입니다.
• 회사도 고객지원도 이력도 없음: 운영 주체를 찾을 수 없고, 연락할 곳이 없으며, 도메인이 등록된 지 1년이 안 됐고, 이름을 자주 바꿉니다.
• 이상한 백그라운드 트래픽: 기기를 쓰지 않을 때도 계속 업로드하고, 배터리와 데이터가 빨리 줄어듭니다. 내 기기를 다른 사람의 출구로 쓰고 있거나 내 데이터를 동기화하고 있을 수 있습니다.
• ‘공식’, ‘등록됨’, ‘합법·규정 준수’를 강조하면서 다른 것은 모두 불법인 것처럼 암시하는 광고: 규제 당국을 배경으로 한 앱의 전형적인 홍보 문구이며, 그들의 규정 준수란 기록하고 보고하는 것입니다.
• 스토어 평점이 하나같이 최고점이고, 리뷰 내용이 비슷하며, 다운로드 수에 비해 리뷰 수가 터무니없이 많거나 적음: 산 것입니다.

1. 프로토콜 확인: 사이트에 어떤 프로토콜을 쓰는지, 외부 클라이언트로도 되는지 나와 있나요? OpenVPN, AnyConnect, Hiddify, Tailscale로 접속할 수 있는 서비스라면 보내는 내용을 패킷 캡처로 확인할 수 있습니다.
2. 권한 확인: 설치한 뒤 시스템 설정을 열어 VPN 권한을 뺀 모든 권한을 회수하고, 그래도 작동하는지 보세요. 안 된다면 삭제하세요.
3. 인증서 확인: iOS는 설정 → 일반 → VPN 및 기기 관리, Android는 설정 → 보안 → 암호화 및 사용자 인증 정보 → 신뢰할 수 있는 사용자 인증 정보 → 사용자, Windows는 인증서 관리자 → 신뢰할 수 있는 루트 인증 기관입니다. 그 앱이 설치한 것이 있다면 지우고 앱도 삭제하세요.
4. 유출 확인: 연결한 상태에서 DNS 누출 테스트와 IPv6 테스트 페이지를 열어 이름 해석과 주소가 그 서버를 거치는지 확인하세요. 그다음 HTTPS 사이트를 열어 인증서 발급자가 그 사이트의 실제 CA인지 확인하세요.
5. 운영자 확인: 사이트에 회사나 팀 이름, 운영 기간, 고객지원 위치가 나와 있나요? 환불 정책이 있나요? 개인정보 처리방침에 무엇을 기록하는지 구체적으로 적혀 있나요?

1. 삭제한 뒤 위에 나온 위치를 확인해 그 앱이 설치한 인증서나 프로필을 지우세요.
2. 비밀번호를 바꾸세요. 은행, 이메일, 자주 쓰는 계정, 특히 그 앱을 쓰는 동안 로그인한 계정은 꼭 바꾸세요.
3. 2단계 인증을 쓰는 계정은 로그인 기록을 확인하고 모르는 기기를 제거하세요.
4. 공유기에 설치했다면 공장 초기화한 뒤 공식 펌웨어나 검증할 수 있는 펌웨어를 다시 올리세요.

LeoTun의 모든 클라이언트는 Cisco, OpenVPN, Hiddify, Tailscale 같은 공식 벤더와 잘 알려진 오픈소스 단체의 것을 수정 없이 그대로 제공하며, 저희 다운로드 대신 언제든 공식 빌드나 오픈소스 빌드를 써도 됩니다. 모든 프로토콜은 표준이고 패킷 캡처로 들여다볼 수 있습니다.

가입에는 이메일 주소만 있으면 되고 전화번호나 신분증은 필요 없습니다. 저희가 기록하는 것은 회사 소개 페이지에 있습니다. 결제를 위한 이메일, 요금제, 만료일, 연결별 시간과 데이터 양이 전부이며, 내용은 기록하지 않고 광고를 끼워 넣거나 데이터를 팔지 않습니다.

인증서도, 연락처도, 위치도 요구하지 않습니다. 저희 것이라고 하는 클라이언트가 루트 인증서를 설치하라고 한다면 그것은 저희 것이 아닙니다.