ExpressVPN vs Windscribe

투명성 보고서. P05/P06/P08/P09는 이제 Trust Center를 통해 확인한 ExpressVPN의 반기 투명성 보고서(2025년 7~12월: 정부 및 법 집행기관 요청 155건, 공개 0건, 별도로 기재된 영장 3건)를 근거로 합니다. 이전 실행에서는 이 두 가지를 모두 놓쳤습니다.

카나리와 나머지 블록. ExpressVPN의 워런트 카나리는 찾을 수 없었고 이를 부인하는 1차 진술도 없으므로 P07은 불명으로 유지됩니다. P02/P03=none_known은 투명성 보고서 시리즈와 개인정보 보호정책의 소송 관련 입장을 근거로 합니다. P11=none_known은 모든 요구가 BVI 법원을 거친다는 정책의 진술을 근거로 합니다. P04=withdrew_physical은 2022년 6월 인도에서 철수한 사실입니다.

공개된 적이 없는 항목. 구독자 수(M08)와 전체 서버 수(U03)는 공개되지 않습니다. 서버 하드웨어 소유권(C08: 소유 또는 임대)과 앱 수준의 기기 식별자(C12)는 확인한 어떤 페이지에서도 확인할 수 없었습니다.

113개라는 주장에 비해 106개 국가. U02_server_countries는 ExpressVPN 자체 사이트맵의 105개 국가 랜딩 페이지에 중국을 더한 내용을 반영한다(실시간 /vpn-server 페이지에서 'Available - Virtual Locations'로 확인되지만 전용 랜딩 페이지는 없음) — 총 106개 코드로, 사이트 자체의 '113 Countries' 마케팅 주장에 비해 적다. 실시간 서버 위치 페이지는 프로토콜별 대규모 표로 되어 있어 전체를 빠짐없이 파싱하지 않았으므로, 106개와 113개의 차이는 해결되지 않은 채 보고한다.

두 범주 사이에 있는 감사 판정. V11_audit_findings는 none_linkable이나 aggregates_only가 아니라 session_metadata로 기록된다. 2025년 KPMG 보고서는 연결별 구조화된 레코드(국가, ISP, 날짜, 프로토콜, 데이터 용량, 안정적인 salted-hash 가명)를 설명하는데, 이는 순수 집계보다 많은 정보를 담지만 IP와 정확한 시각은 포함하지 않는다 — 이 필드의 중간 네 범주로는 진정으로 모호한 사례다.

이번 확인에서는 확인하지 않음. ExpressVPN의 커버리지가 제휴 사이트 외부에도 존재하는지(X08), 제휴사 지급 등급(X10), 소유 그룹과의 연계를 소유자 운영 리뷰 미디어가 표시하는지(X11)는 이번 확인에서 확인하지 않았다.

P2P, 확인했으나 없음. U12a_p2p_allowed는 나머지와 다른 이유로 불명 상태로 남는다. 이를 확인했지만 공개되어 있지 않다. 사이트맵(578개 페이지 및 지원 URL)과 서비스 약관 어디에도 P2P, BitTorrent 또는 파일 공유에 대한 언급이 없으며, 목록에 포함된 다른 모든 프로바이더는 자체 문서에서 입장을 밝힌다. 지원 문서나 약관 조항이 있으면 이를 확인할 수 있지만, 작동한다고 말하는 리뷰 사이트만으로는 확인할 수 없다.

끝내 읽히지 않은 목록. 제공된 국가 목록은 끝내 읽히지 않았으므로 사용성 국가 점수도 의무 교집합도 계산할 수 없다 — Windscribe는 물리적/가상 구분을 공개하고 있어, 목록을 읽는 즉시 여기서 C09b에 답할 수 있다. 사용자 규모도 확인되지 않아 노출 구간은 마땅히 그래야 할 수준보다 낮은 근거에 의존한다.

이제 세 사건이 인용하는 출처. AIN.UA에는 2021년 6월 24일 압수된 우크라이나 서버가 여전히 실려 있고, Windscribe의 자체 블로그에는 2025년 4월 11일 기각된 그리스 사건이 실려 있다. 네덜란드 압수와 압수 필드 자체는 이제 처음 보도한 제휴 비용을 받은 언론이 아니라 Windscribe의 자체 무로그 페이지를 인용한다. 회사가 자체 압수에 대해 작성한 설명은 누군가가 그 압수에 대해 작성한 설명이 아니라 1차 자료다. 우크라이나 사건의 날짜는 보도문이 아니라 압수 자체에 맞춰져 있다.

2021년 9월, UAE의 'Project Raven' 해킹 작전에서 2016~2018년에 맡았던 이전 역할과 관련해 ExpressVPN의 최고정보책임자 Daniel Gericke와 체결한 DOJ의 기소유예 합의(Deferred Prosecution Agreement)가 공개되었다. 기본 DPA 문서 자체에는 ExpressVPN이 전혀 이름으로 언급되지 않는다(이 문서는 그의 이전 UAE 고용만 다룬다) — ExpressVPN과의 연계는 ExpressVPN 자체 성명 및 언론 보도에서 나온다. ExpressVPN은 Gericke를 계속 고용했고 그 결정을 공개적으로 옹호하는 입장을 발표했다.

C12는 스토어 카테고리가 아니라 프로바이더 자체 설명에서 resettable_ad_id이다. 개인정보 처리방침의 마케팅 문단에는 Installation ID와 XV User ID가 항상 수집되며 광고 식별자 — IDFA 또는 Android Advertising ID — 는 명시적 동의 후에 수집되고, 이 모든 정보가 AppsFlyer에 전달된다고 적혀 있다. Play 데이터 안전 양식은 광고 또는 마케팅을 위한 Device 또는 기타 ID를 독립적으로 명시한다.

동의 게이트와 여기서 다른 누구도 제공하지 않는 완화 조치 — AppsFlyer로 향하는 트래픽을 전용 ExpressVPN IP 풀을 통해 라우팅하여 어트리뷰션이 IP로 상관관계를 파악할 수 없게 하는 것 — 는 실제로 존재하며 여기에 기록된다. 이는 하한선이 얼마나 잘 설명되는지가 아니라 무엇을 보유할 수 있는지를 점수화하기 때문이다.

U07_protocols에는 전체 선택 항목이 담겨 있다. Lightway UDP와 TCP는 vendor_open이고, 그 옆에 WireGuard, OpenVPN UDP/TCP 및 IKEv2가 있다. Lightway는 ExpressVPN 자체 프로토콜이며 그 소스는 독립적 검토(Cure53, 2021년 및 2024년)를 거쳐 공개되어 있다. 이것이 vendor_open이 존재하는 이유인 구별이다 — proprietary는 전송 방식이 약한지 알 수 없는 상태를 점수화하며, 여기서는 그것을 알 수 있다.

프로바이더 자체 프로토콜 페이지에 따르면 PPTP는 ExpressVPN 앱에서 폐기되었고, L2TP와 SSTP는 제공되지 않으면서 해당 페이지에서 설명되어 있다.