ExpressVPN vs Mullvad VPN

2021년 9월, UAE의 'Project Raven' 해킹 작전에서 2016~2018년에 맡았던 이전 역할과 관련해 ExpressVPN의 최고정보책임자 Daniel Gericke와 체결한 DOJ의 기소유예 합의(Deferred Prosecution Agreement)가 공개되었다. 기본 DPA 문서 자체에는 ExpressVPN이 전혀 이름으로 언급되지 않는다(이 문서는 그의 이전 UAE 고용만 다룬다) — ExpressVPN과의 연계는 ExpressVPN 자체 성명 및 언론 보도에서 나온다. ExpressVPN은 Gericke를 계속 고용했고 그 결정을 공개적으로 옹호하는 입장을 발표했다.

C12는 스토어 카테고리가 아니라 프로바이더 자체 설명에서 resettable_ad_id이다. 개인정보 처리방침의 마케팅 문단에는 Installation ID와 XV User ID가 항상 수집되며 광고 식별자 — IDFA 또는 Android Advertising ID — 는 명시적 동의 후에 수집되고, 이 모든 정보가 AppsFlyer에 전달된다고 적혀 있다. Play 데이터 안전 양식은 광고 또는 마케팅을 위한 Device 또는 기타 ID를 독립적으로 명시한다.

동의 게이트와 여기서 다른 누구도 제공하지 않는 완화 조치 — AppsFlyer로 향하는 트래픽을 전용 ExpressVPN IP 풀을 통해 라우팅하여 어트리뷰션이 IP로 상관관계를 파악할 수 없게 하는 것 — 는 실제로 존재하며 여기에 기록된다. 이는 하한선이 얼마나 잘 설명되는지가 아니라 무엇을 보유할 수 있는지를 점수화하기 때문이다.

U07_protocols에는 전체 선택 항목이 담겨 있다. Lightway UDP와 TCP는 vendor_open이고, 그 옆에 WireGuard, OpenVPN UDP/TCP 및 IKEv2가 있다. Lightway는 ExpressVPN 자체 프로토콜이며 그 소스는 독립적 검토(Cure53, 2021년 및 2024년)를 거쳐 공개되어 있다. 이것이 vendor_open이 존재하는 이유인 구별이다 — proprietary는 전송 방식이 약한지 알 수 없는 상태를 점수화하며, 여기서는 그것을 알 수 있다.

프로바이더 자체 프로토콜 페이지에 따르면 PPTP는 ExpressVPN 앱에서 폐기되었고, L2TP와 SSTP는 제공되지 않으면서 해당 페이지에서 설명되어 있다.

투명성 보고서. P05/P06/P08/P09는 이제 Trust Center를 통해 확인한 ExpressVPN의 반기 투명성 보고서(2025년 7~12월: 정부 및 법 집행기관 요청 155건, 공개 0건, 별도로 기재된 영장 3건)를 근거로 합니다. 이전 실행에서는 이 두 가지를 모두 놓쳤습니다.

카나리와 나머지 블록. ExpressVPN의 워런트 카나리는 찾을 수 없었고 이를 부인하는 1차 진술도 없으므로 P07은 불명으로 유지됩니다. P02/P03=none_known은 투명성 보고서 시리즈와 개인정보 보호정책의 소송 관련 입장을 근거로 합니다. P11=none_known은 모든 요구가 BVI 법원을 거친다는 정책의 진술을 근거로 합니다. P04=withdrew_physical은 2022년 6월 인도에서 철수한 사실입니다.

공개된 적이 없는 항목. 구독자 수(M08)와 전체 서버 수(U03)는 공개되지 않습니다. 서버 하드웨어 소유권(C08: 소유 또는 임대)과 앱 수준의 기기 식별자(C12)는 확인한 어떤 페이지에서도 확인할 수 없었습니다.

113개라는 주장에 비해 106개 국가. U02_server_countries는 ExpressVPN 자체 사이트맵의 105개 국가 랜딩 페이지에 중국을 더한 내용을 반영한다(실시간 /vpn-server 페이지에서 'Available - Virtual Locations'로 확인되지만 전용 랜딩 페이지는 없음) — 총 106개 코드로, 사이트 자체의 '113 Countries' 마케팅 주장에 비해 적다. 실시간 서버 위치 페이지는 프로토콜별 대규모 표로 되어 있어 전체를 빠짐없이 파싱하지 않았으므로, 106개와 113개의 차이는 해결되지 않은 채 보고한다.

두 범주 사이에 있는 감사 판정. V11_audit_findings는 none_linkable이나 aggregates_only가 아니라 session_metadata로 기록된다. 2025년 KPMG 보고서는 연결별 구조화된 레코드(국가, ISP, 날짜, 프로토콜, 데이터 용량, 안정적인 salted-hash 가명)를 설명하는데, 이는 순수 집계보다 많은 정보를 담지만 IP와 정확한 시각은 포함하지 않는다 — 이 필드의 중간 네 범주로는 진정으로 모호한 사례다.

이번 확인에서는 확인하지 않음. ExpressVPN의 커버리지가 제휴 사이트 외부에도 존재하는지(X08), 제휴사 지급 등급(X10), 소유 그룹과의 연계를 소유자 운영 리뷰 미디어가 표시하는지(X11)는 이번 확인에서 확인하지 않았다.

P2P, 확인했으나 없음. U12a_p2p_allowed는 나머지와 다른 이유로 불명 상태로 남는다. 이를 확인했지만 공개되어 있지 않다. 사이트맵(578개 페이지 및 지원 URL)과 서비스 약관 어디에도 P2P, BitTorrent 또는 파일 공유에 대한 언급이 없으며, 목록에 포함된 다른 모든 프로바이더는 자체 문서에서 입장을 밝힌다. 지원 문서나 약관 조항이 있으면 이를 확인할 수 있지만, 작동한다고 말하는 리뷰 사이트만으로는 확인할 수 없다.

어떤 계약도 다루지 않는 것. 이 계약들 중 어느 것도 서버 플릿을 다루지 않는다. 각각 앱 또는 터널 프로토콜을 검토하기 때문에 플릿 범위는 표본이 아니라 해당 없음으로 기록된다. 따라서 인프라 측의 무로그 주장은 어떤 감사가 아니라 2023년 4월 수색영장에 근거한다. 스웨덴 경찰은 고객 데이터를 찾으러 왔지만 그것 없이 떠났다.

재현 가능한 빌드, Android만 해당. 재현 가능한 빌드는 2025.2 버전부터 Android에만 해당하므로 필드는 부분적으로만 충족된다. 데스크톱 및 iOS 빌드는 비트 단위로 검증할 수 없다. Turkey는 제공 목록에 있는 유일한 의무 국가이며, 그 배후의 호스팅은 확인되지 않았다.

요구에 관해 공개된 내용 없음. 레코드의 어떤 내용도 프로바이더가 받는 요구에 관해 공개한 내용에 근거하지 않는다. 투명성 보고서도 함구명령 카나리아도 없으므로, 2023년 4월의 압수가 그 근거만을 제공한다. 킬 스위치 범위와 P2P 정책은 확인되지 않았고, 최신 감사는 무로그 계약이 아니라 프로토콜 코드 검토이므로 V11은 침묵하며 보존은 자체 신고에 의존한다.