AirVPN vs NordVPN

AirVPN

레코드 전체에 대해.

AirVPN은 이탈리아 Perugia에 등록된 개인 사업자("AirVPN di Paolo Brini")이며, 이탈리아 거주자에 대한 서비스 제공을 명시적으로 거부한다(모든 페이지의 푸터와 Terms of Service §1에 명시됨). 따라서 실질적으로 자체 본국의 관할권은 자국 거주 고객의 로그를 보존하도록 강제할 수 없지만, 이는 더 광범위한 로깅 의무 면제의 근거는 아니다.

AirVPN은 EUR로만 가격을 표시한다(airvpn.org/buy/): 월 7.00 EUR, 연 49 EUR(월 4.08 EUR)이며 갱신 시에도 동일하다. U04_price_monthly (8.11)는 월 7.00 EUR이고 U04b_price_yearly (56.74)는 연 49 EUR 총액이며, 둘 다 1.158 EUR/USD로 USD로 환산했다. 이 환율은 같은 날짜에 Mullvad가 자체 가격 페이지에 게시한 환율로, 해당 페이지에는 5 EUR가 5.79 USD로 표시되어 있으므로 신뢰도 C와 환율에 대한 두 번째 출처가 성립한다. 다년 요금제는 최저 월 2.75 EUR까지 내려간다.

주목할 만한 실무 데이터 지점: United States v. Klyushin (D. Mass., docket 61629108, documents #183 및 #217)의 공개된 미국 연방 법원 녹취록(CourtListener/RECAP을 통해 확인)은 AirVPN이 아니라 호스팅 회사(DediPath)에 직접 법 집행기관의 펜 레지스터가 설치되어, 2020년 1~2월 AirVPN 서버의 IP를 모니터링했음을 보여준다. AirVPN의 자체 직원은 포럼에서 회사가 해당 감청을 알지 못했고 관여하지도 않았으며, 장치는 AirVPN 자체 시스템 외부에 설치되어야 했다고 답변하며 이를 확인했다.

NordVPN

레코드 전체에 대해.

nordvpn.com 자체가 이 감사에서 사용된 모든 비브라우저 fetch에 Cloudflare 봇 챌린지(403)를 반환하며, 여기에는 headless-fetch 도구도 포함된다. 이 레코드에서 nordvpn.com 페이지에 대한 모든 출처는 도메인에 직접 요청한 것이 아니라 페이지를 서버 측에서 렌더링하는 제3자 리더 프록시(r.jina.ai)를 통해 검색되었다.

법률 문서(개인정보 보호정책, 약관)는 별도 도메인인 my.nordaccount.com에 있으며, nordvpn.com 자체 사이트맵에서는 검색되지 않는다. 렌더링된 페이지의 푸터 링크를 따라간 경우에만 접근할 수 있었다. 여섯 번째 Deloitte 무로그 보증 보고서(2025년 12월 12일 발행)는 NordVPN 자체 블로그 게시물에 따라 명시적으로 로그인이 필요하다('we don't publish excerpts publicly... log in to your Nord Account'). 따라서 발표 요약에서 보존에 관한 판정을 추론하지 않고, R23에 따라 V11_audit_findings는 not_stated로 기록된다.

2018년 Finland 데이터센터 침해는 법 집행기관의 압수가 아니라 제3자의 침입이었다. 따라서 P01_seizure_event가 아니라 kind=breach로 P12_case_history에 기록된다. NordVPN 자체의 설명(nordvpn.com/blog/official-response-datacenter-breach/)과 당시 Bloomberg 보도는 모두 해당 공개가 NordVPN 자체의 инициатив가 아니라 외부 연구자들의 Twitter 의혹에 뒤이어 이루어졌다는 데 일치한다. 따라서 self_disclosed_late가 아니라 third_party_disclosed이다.

AirVPN

이 레코드에서 아직 해결되지 않은 사항.

아무도 확인하지 않은 보존. 독립적인 감사는 한 번도 의뢰되지 않았다(V01=no. 이는 AirVPN의 자체적인 부인이 아니라, 검토자들의 합의와 AirVPN이 그러한 감사를 발표한 적이 없다는 사실에 근거함). 따라서 보존(C01)은 전적으로 프로바이더 자체의 개인정보 보호 고지에 의존하며, 외부 기관의 확인을 받은 적이 없다.

투명성 보고서도, 카나리도 없음. airvpn.org에서 정부·법적 요청에 관한 투명성 보고서와 워런트 카나리를 모두 찾을 수 없었다(P05, P07 불명). 사이트는 정기적인 'mission' 보고서를 공개하지만, 이는 법 집행기관의 요청이 아니라 NGO에 대한 기부를 다루므로 P05를 확인하는 근거가 되지 않는다.

포럼 스레드가 보여 주는 것. 포럼 스레드에서는 사용자들이 AirVPN에 워런트 카나리를 반복해서 요청했지만, 직원이 그러한 카나리가 존재한다고 확인한 내용은 없다. 이는 시사하는 바는 있으나 1차적인 부인은 아니므로 P07은 'none'이 아니라 불명으로 유지된다.

아무도 공개하지 않는 수치. 따라서 요청·데이터 인계 건수도 불명이며(P08, P09), 전체 가입자 수 역시 공개된 적이 없다(M08 불명). AirVPN은 등록 사용자나 가입자 총수가 아니라 현재 동시에 연결된 사용자 수를 실시간으로 보여 주는 카운터만 공개하므로, 여기서는 침묵과 무지가 실제로 중요한 의미를 갖는다.

NordVPN

이 레코드에서 아직 해결되지 않은 사항.

두 가격. U04b_price_yearly=139.08 및 U04_price_monthly=14.99는 미국 IP에서 nordvpn.com/pricing을 확인해 읽은 Basic 등급의 갱신 금액이며, 통화는 페이지의 지역 잠금에 따라 USD로 표시된다(1년 요금제는 처음 12개월 동안 월 $5.49, 이후 연 $139.08로 안내됨).

투명성 페이지, 재검토. P-block은 NordVPN의 투명성 페이지(nordvpn.com/blog/nordvpn-introduces-transparency-reports/, 매일 업데이트됨)를 기준으로 재검토했다. 2024년 10월 파나마 검찰청의 구속력 있는 영장에 따라 NordVPN은 결제 데이터와 특정 이메일에 계정이 존재한다는 확인을 넘겨야 했으며, 이는 기록상 유일한 전체 기간 공개이다(P02/P03/P12).

카나리와 이를 대체한 분기. 같은 페이지는 분기별 투명성 보고서를 위해 영장 카나리를 폐기했다(P07=removed). 가장 최근의 완전한 분기(2026년 4~6월)에는 정부 문의 85건과 공개 0건이 표시되므로, P08/P09는 전체 기간 수치가 아니라 해당 기간에 관한 것이다.

인도와 비밀 명령 체계. P04=withdrew_physical는 2022년 6월 인도 철수를 의미한다. P11=none_known은 NordVPN이 구속력 있는 National Security letters나 함구명령을 받은 적이 없다는 페이지의 진술과, 파나마에 그러한 체계가 없다는 점에 근거한다.