'노로그 VPN' 주장이 실제로 가지는 의미와 검증법

2026년 모든 VPN 랜딩에 "엄격한 노로그 정책." 이 문구가 "무료 배송"처럼 업계 전체에 복붙되어 의미를 잃음. 실제로 그 주장 읽는 법.

진짜 노로그가 의미해야 할 것

진짜 노로그 VPN은 다음을 기록 안 함: - 계정에 연결된 접속 타임스탬프 - 출발지 IP (또는 해시) - 목적지 도메인·DNS 쿼리 - 세션당 사용 대역폭 - DNS 쿼리 (기본적으로 VPN 통해 라우팅)

총합 건강 지표(총 활성 연결, 서버 부하)는 보통 OK. 경계선은 저장된 게 특정 유저로 다시 연결될 수 있냐 여부.

마케팅 카피에서 "노로그"의 실제 의미

대부분: "서비스 운영에 *필요한 것 이상* 로그하지 않음." 이 단서가 다 삼킬 수 있음. 접속 타임스탬프가 "결제에 필요"하다 할 수 있음. 대역폭 제한엔 계정당 바이트 카운팅 필요. 이 문구는 감사 또는 법적 사건, 또는 둘 다로 뒷받침되어야.

감사가 실제로 증명하는 것

VPN 감사는 스냅샷. 감사인이 서버 구성, 로그 보존 정책, 코드 경로를 정해진 창에서 검토. 다음 달도 안 한다는 증명은 못 함. *검사 시점에* 구성이 마케팅 주장과 일치한다는 증명은 가능.

보도자료 말고 실제 감사 리포트 읽기. 좋은 것들(Mullvad의 PwC, Proton VPN의 Securitum, IVPN의 Cure53)은 검사한 서버 구성을 명시 + 검증 못한 것 명시 + 회사와의 의견차 기록.

법적 사건이 실제로 증명하는 것

가장 강한 시그널은 실제 영장이 왔는데 넘길 게 없었던 사례.

• Mullvad 2023년 스웨덴 경찰에 서버 압수, 쓸 거 없어서 빈손 귀가. Mullvad가 사건 리포트 공개.
• Proton VPN 스위스 법원 명령 받았으나 로그 없는 사건들에서 제출 X.
• PIA 2016 미국 사건 영장, 운영자가 법정에서 제출할 로그 없다 증언.

마케팅은 말. 법적 압박에서의 행동이 시험.

VPN 고를 때 실제로 봐야 할 것

방어 가능한 VPN 선택은 4개 다 만족: 1. 24개월 내 감사, 명시된 외부 사업자, 리포트 공개. 2. 익명 결제 옵션 (현금·Monero·BTC). "이메일 불필요" 그 이상 — 결제 시점 진짜 익명성. 3. 데이터 보존 의무 없는 관할 (스위스, 스웨덴, 파나마). 가능하면 Five Eyes 사업자 회피. 4. 법적 압박 기록 (또는 너무 신규 — 5년 넘었는데 시험된 적 없으면 왜인지 질문).

이 필터로 2026년 중반 방어 가능한 선택은 Mullvad, Proton VPN, IVPN. NordVPN, ExpressVPN, Surfshark 등 마케팅 강한 쪽은 감사는 통과하나 관할이나 결제 익명성에서 실점.

VPN이 *안* 보호하는 것

마케팅이 항상 과장하니까 명시: - 브라우저 지문: VPN은 IP 숨김, 브라우저 구성 X. Mullvad Browser 또는 Tor와 결합. - 로그인된 서비스: VPN 쓰고 구글 로그인하면 구글은 여전히 본인인 거 앎. - 엔드포인트 침해: 노트북 스파이웨어는 VPN 그냥 우회. - 글로벌 적의 트래픽 상관관계: 양 끝 보는 충분 자금 공격자는 타이밍 상관관계 가능. 이건 Tor 위협 모델, 대부분 VPN 위협 모델 X.

레시피

2026년 대부분의 위협 모델엔 Mullvad. 현금이나 Monero로 결제. Mullvad Browser나 LibreWolf와 페어링. 이 이상 기대 X.