AirVPN vs CactusVPN

AirVPN

레코드 전체에 대해.

AirVPN은 이탈리아 Perugia에 등록된 개인 사업자("AirVPN di Paolo Brini")이며, 이탈리아 거주자에 대한 서비스 제공을 명시적으로 거부한다(모든 페이지의 푸터와 Terms of Service §1에 명시됨). 따라서 실질적으로 자체 본국의 관할권은 자국 거주 고객의 로그를 보존하도록 강제할 수 없지만, 이는 더 광범위한 로깅 의무 면제의 근거는 아니다.

AirVPN은 EUR로만 가격을 표시한다(airvpn.org/buy/): 월 7.00 EUR, 연 49 EUR(월 4.08 EUR)이며 갱신 시에도 동일하다. U04_price_monthly (8.11)는 월 7.00 EUR이고 U04b_price_yearly (56.74)는 연 49 EUR 총액이며, 둘 다 1.158 EUR/USD로 USD로 환산했다. 이 환율은 같은 날짜에 Mullvad가 자체 가격 페이지에 게시한 환율로, 해당 페이지에는 5 EUR가 5.79 USD로 표시되어 있으므로 신뢰도 C와 환율에 대한 두 번째 출처가 성립한다. 다년 요금제는 최저 월 2.75 EUR까지 내려간다.

주목할 만한 실무 데이터 지점: United States v. Klyushin (D. Mass., docket 61629108, documents #183 및 #217)의 공개된 미국 연방 법원 녹취록(CourtListener/RECAP을 통해 확인)은 AirVPN이 아니라 호스팅 회사(DediPath)에 직접 법 집행기관의 펜 레지스터가 설치되어, 2020년 1~2월 AirVPN 서버의 IP를 모니터링했음을 보여준다. AirVPN의 자체 직원은 포럼에서 회사가 해당 감청을 알지 못했고 관여하지도 않았으며, 장치는 AirVPN 자체 시스템 외부에 설치되어야 했다고 답변하며 이를 확인했다.

CactusVPN

레코드 전체에 대해.

Securitum의 업무 수행(2026년 4월 20일–5월 7일, 9인일, 화이트박스)에서는 CactusVPN의 공개된 약 25개 서버 국가 중 4개 국가에 있는 운영 서버 4대와 VPN 클라이언트의 연결 동작을 검사했다. 여기에는 테스트에 사용된 Linux 앱도 포함되었는데, 현재 다운로드 페이지에 열거된 플랫폼에는 포함되지 않는다. 이는 열거된 제품이 아니라 수동/레거시 클라이언트 접근인 것으로 보인다.

이 보고서는 ISAE 3000 또는 SOC 2 업무 수행이 아닌 Securitum의 맞춤형 보안 평가이므로, V07/V15는 보증 등급을 추측하지 않고 이를 기록한다.

가격에는 갱신 요금 보장이 포함된다. 연간 요금제($70/년)와 2년 요금제($95/2년)는 모두 "평생 동안" 동일한 고정 가격으로 갱신된다고 명시되어 있으며, 이는 이 목록의 프로바이더들 사이에서 이례적이고 일회성 평생 요금제는 아니다(X07=no).

AirVPN

이 레코드에서 아직 해결되지 않은 사항.

아무도 확인하지 않은 보존. 독립적인 감사는 한 번도 의뢰되지 않았다(V01=no. 이는 AirVPN의 자체적인 부인이 아니라, 검토자들의 합의와 AirVPN이 그러한 감사를 발표한 적이 없다는 사실에 근거함). 따라서 보존(C01)은 전적으로 프로바이더 자체의 개인정보 보호 고지에 의존하며, 외부 기관의 확인을 받은 적이 없다.

투명성 보고서도, 카나리도 없음. airvpn.org에서 정부·법적 요청에 관한 투명성 보고서와 워런트 카나리를 모두 찾을 수 없었다(P05, P07 불명). 사이트는 정기적인 'mission' 보고서를 공개하지만, 이는 법 집행기관의 요청이 아니라 NGO에 대한 기부를 다루므로 P05를 확인하는 근거가 되지 않는다.

포럼 스레드가 보여 주는 것. 포럼 스레드에서는 사용자들이 AirVPN에 워런트 카나리를 반복해서 요청했지만, 직원이 그러한 카나리가 존재한다고 확인한 내용은 없다. 이는 시사하는 바는 있으나 1차적인 부인은 아니므로 P07은 'none'이 아니라 불명으로 유지된다.

아무도 공개하지 않는 수치. 따라서 요청·데이터 인계 건수도 불명이며(P08, P09), 전체 가입자 수 역시 공개된 적이 없다(M08 불명). AirVPN은 등록 사용자나 가입자 총수가 아니라 현재 동시에 연결된 사용자 수를 실시간으로 보여 주는 카운터만 공개하므로, 여기서는 침묵과 무지가 실제로 중요한 의미를 갖는다.

CactusVPN

이 레코드에서 아직 해결되지 않은 사항.

관할권. 소개 페이지는 CactusVPN이 "몰도바에서 작은 회사로 시작했다"고 말하지만, 이는 회사의 서술일 뿐 등록 진술이 아니며, Terms of Service에는 준거법이나 설립 국가가 전혀 명시되어 있지 않다. Securitum 보고서는 의뢰인을 관할권 표시 없이 "Cactus VPN LLC"로만 명시한다. 레지스트리 기록이나 명시적인 관할권 조항이 확인될 때까지 M06 및 여기에서 파생된 필드는 불명으로 유지된다.

의무 호스팅. 공개된 서버 목록의 25개 국가는 모두 이 목록 자체의 표에서 데이터 보존 의무가 있는 것으로 표시되므로, 여기서 C09b는 좁은 질문이 아니다. 그러나 서버 위치 페이지는 어떤 위치에 대해서도 물리적 출구 지점과 가상 출구 지점을 구분하지 않으며, 이번 세션에서는 국가별 호스팅 사실이 확인되지 않았다.

앱 수준 식별자와 스토어 선언. C07a, C12 및 X12는 불명으로 유지된다. 이번 세션에서는 Play Store 데이터 안전성 양식이나 Apple 개인정보 보호 라벨을 확인하지 않았고, Securitum 감사의 화이트박스 범위는 서버 측 구성과 DNS/트래픽 처리를 다루었을 뿐, 모바일 또는 확장 프로그램 클라이언트가 자체적으로 앱 스토어나 분석 SDK로 전송하는 내용을 다루지 않았다.

투명성과 카나리. 사이트에서 /transparency, /transparency-report, /warrant-canary 또는 /canary 경로가 확인되지 않았고, 사이트맵에서도 그러한 페이지가 나타나지 않았다. 이는 살펴본 결과 발견된 부재이지 출처가 있는 "없음"이 아니므로, 두 필드 모두 없음으로 표시하지 않고 불명으로 유지된다.