NordVPN vs Opera VPN

아무도 확인할 수 없는 보증 수준. NordVPN은 Deloitte Lithuania의 업무를 ISAE 3000 (Revised)에 따른 합리적 보증 업무로 설명하며, 이는 더 강한 형태에 해당한다. 열람 가능한 PIA의 보고서는 제한적 보증 결론을 명시한다.

더 강한 형식이 반영되지 않은 이유. 이제 모델은 그 차이를 가격에 반영하지만, 이 레코드는 그 혜택을 받지 못한다. V15_assurance_strength는 불명이다. 해당 수준에 대한 유일한 진술이 NordVPN 자체의 진술이며, Nord Account 외부의 누구도 열어 볼 수 없는 보고서에 관한 것이기 때문이다. 로그인 뒤에 있는 문서는 여기서 어떤 수준에서도 근거가 아니므로, 해당 업무는 도달했다고 하는 수준이 아니라 시장의 통상 수준으로 반영된다.

로그인 뒤에 있는 보고서. 보고서 자체는 Nord Account에 로그인한 뒤에만 읽을 수 있으므로, 해당 관계 외부의 누구도 그 범위를 확인하지 않았다. 따라서 여기의 모든 감사 필드는 문서가 아니라 NordVPN 자체의 요약에 근거한다. 이는 서비스에 불리한 판정이 아니라, 이 레코드가 카탈로그에서 가장 근거가 빈약한 이유다.

소유자 필드. M11_owner_jurisdiction와 X04_owner_group_history는 불명이다. nordvpn.com과 nordsecurity.com은 Nord Security를 소유자로 명시하지만, 어느 쪽도 Nord Security 자체의 설립 관할권이나 해당 그룹의 이전 기록을 명시하지 않는다. 2차 보도는 2022년 합병에서 'Cyberspace' 지주 법인을 Netherlands와 연결하지만, 이용 가능한 시간 안에 Nord Security 또는 NordVPN의 1차 페이지를 통해 확인되지는 않았다.

전혀 읽을 수 없었던 내용. 2025 Deloitte 보고서의 전체 내용은 전혀 읽을 수 없으므로(로그인 필요), C01_linkable_retention에 있는 정책 자체의 주장 외에는 보존에 관한 판정을 기록하지 않는다.

열리지 않았던 서버 표. C09b_mandate_hosting은 불명이다. 실제 국가별 서버 표는 이 감사에서 렌더링할 수 있었던 아코디언 상태에서 Americas 지역에 대해서만 물리/가상 상태를 표시한다. Europe, Asia-Pacific 및 Africa/Middle East 섹션은 (servers API에 따르면 해당 플릿이 서비스하는 AE, IN, TR, VN, IQ, KZ 등 여러 의무 국가를 포함하며) 클릭 시 클라이언트 측에서 로드되고 확장되지 않았다.

주장하지 않고 불명으로 둔 항목. C04-C07, U06 (검열 근거), U11, V12-V14, X06, X07, X10 및 X11은 1차 문서를 통해 독립적으로 확인되지 않았으며, 2차 보도에서 주장된 것으로 보지 않고 불명으로 둔다.

하나의 의문은 열어 두었지만 반영하지 않음. X12에 대해서는 하나의 의문을 반영하지 않은 채 열어 둔다. com.nordvpn.android의 Play 데이터 안전 양식은 Android에서 분석 중 Installed apps를 선언하는 반면, NordVPN 개인정보 보호 고지는 한 곳에서만 설치된 애플리케이션을 언급한다. 바로 안티멀웨어 취약성 검사이며, 애플리케이션 이름과 버전의 처리를 Windows로 한정한다.

여전히 일치로 표시되는 이유. 해당 카테고리는 누락된 것이 아니라 공개되어 있으며, R28은 플랫폼 범위의 차이에 대해 판정을 내리지 않으므로 값은 matches_policy로 표시된다. 그러나 Android에서의 목적은 고지가 설명하는 목적이 아니며, 둘 중 어느 쪽이 잘못 기재되었는지는 NordVPN만 말할 수 있다.

서버는 설명되었지만, 근거는 없음. C02, C06 및 C08의 뒷받침 근거는 전혀 없다. Opera는 서버가 물리적이며 자체 소유라고 말하지만, 이는 디스크도 DNS도 하드웨어 소유자가 누구인지도 확인하지 못한다. U02가 불명인 동안에는 C09b에 답할 수 없다.

스토어 하나이지, 둘이 아님. Google Play 데이터 안전성 양식만 검토했고, iOS 브라우저의 App Store 개인정보 보호 라벨은 검토하지 않았으므로 X12는 두 곳 중 더 불리한 쪽이 아니라 한 스토리에 근거한다.

명시가 아닌 두 가지 해석. U01의 Linux는 데스크톱 도움말 매뉴얼에서 추론한 것이다. 이 매뉴얼은 VPN을 설명하고 Windows, macOS 및 Linux를 플랫폼별로 나누지 않고 함께 다룬다. Android와 iOS는 감사 발표에서 명시적으로 언급된다. U10은 이를 시행할 계정도 기기 한도도 없으므로 무제한이다. 이는 명시된 수치가 아니라 제품에 대한 해석이다.

NordVPN과 Surfshark는 모기업(Nord Security)을 공유하지만, 두 회사의 자체 합병 발표는 별도의 인프라와 제품 로드맵을 명시한다. 이에 따라 M18은 분리로 설정된다.

2026년 게시물은 같은 업무를 Deloitte가 판정을 수행한 것으로 다시 설명한다. "우리는 Deloitte 팀에 VPN과 서버 인프라에 대한 완전한 접근 권한을 제공했고, 팀은 우리의 주장을 검증할 수 있었다 ... 실제로 데이터 로깅 기능은 애초에 VPN에 내장되어 있지도 않다." 같은 게시물은 2024년 게시물이 2024년 6월 18일부터 8월 10일까지로 날짜를 제시한 기간을 "완전한 접근 권한"으로 격상한다.

Opera는 자체 주장을 감사인의 결론으로 서술하고 있다. VERIFY 블록이 이렇게 나뉘는 이유가 여기에 있다. V01은 Deloitte 발표에 근거한 것이 아니라, 실제로 열람한 보고서인 Cure53 자체의 2022년 3월 평가에 관한 공개 관리 요약에 근거하여 yes_verified이다.

Deloitte 보고서 자체는 어디에도 공개되어 있지 않으므로 V02는 press_only이며, 해당 보고서의 발견 사항이지 감사 업무에 관한 사실이 아닌 모든 필드는 불명으로 남는다. 즉 플릿 범위(V04), 보증 기준(V07), 보고서가 보존된다고 명시하는 내용(V11), 그리고 의견의 강도(V15)이다.

업무 관련 사실, 즉 해당 회사, 그 범주, 날짜, 테스트 대상으로 기재된 내용은 발표에서 가져온다. 이 감사를 한 번 명백히 다르게 규정한 벤더는 감사가 어떤 결론에 이르렀는지에 대한 출처가 아니다. C01이 none_linkable인 이유는 개인정보처리방침에 그렇게 선언되어 있기 때문이며, V11은 발견 사항이고 읽어낼 발견 사항은 없다.

Cure53의 보고서는 실제로 존재하며 V14가 yes_verified인 이유이다. 7명의 테스터, 24인일, VPN 클라이언트, 서버 구성 및 인프라, 그리고 VPN 구성을 전달하는 데 사용된 Opera Mini 프로토콜을 다루는 4개 작업 패키지에 대한 화이트박스 테스트가 수행되었다. 보안 관련 이슈는 14건이었고, 그중 8건은 실제 취약점이었으며, 5건은 높은 심각도로 평가되었고 치명적인 것은 없었다.

2022년 3월 기준으로 9건은 수정되었고 수정 사항이 검증되었으며, 1건은 부분 수정, 3건은 위험 수용, 1건은 오탐, 1건은 아직 진행 중이었다. Opera의 블로그는 브라우저 VPN과 직접 관련된 7개 항목이 "all subsequently resolved"라고 말하며, 표도 이를 뒷받침한다. 남은 항목은 VPN 자체가 아니라 Opera Mini 작업 패키지에 있다.

소유권은 완전히 공개되어 있고 의무 국가에서 끝나므로, X03과 C11은 서로 모순되지 않으면서 반대 방향을 가리킨다.

Opera 자체의 개인정보처리방침에 명시된 데이터 관리자는 노르웨이 회사인 Opera Norway AS이며, 투명성 보고서는 해당 명의로 제출되어 있다.

지주 회사는 2018년 3월 케이맨 제도에 설립된 자체 실질 영업이 없는 면제 회사인 Opera Limited다. 2025년 Form 20-F는 쿤룬 테크 유한회사(Kunlun Tech Co., Ltd.)의 자회사이자 PRC에 설립된 Hong Kong Kunlun Tech Holding Limited를 68.0%의 최대 주주로 명시하며, Kunlun이 "Opera의 최종 모회사이며 Opera의 집행 회장이 지배한다"고 밝힌다.

따라서 M06은 NO이고 C10은 no인 반면, M11은 CN이고 C11은 yes다.

C12는 VPN의 선언과 그것이 들어 있는 애플리케이션 사이의 가장 뚜렷한 공백이다. 개인정보 보호 성명의 VPN 섹션은 로그를 기록하지 않는다고 선언하지만, 같은 문서의 다른 섹션은 Opera 애플리케이션이 설치될 때 "무작위 설치 ID가 생성됩니다. 당사는 이 식별자와 Machine ID, 하드웨어 사양(모델, 출시일 등), 운영 체제, 환경 구성 및 기능 사용 데이터를 수집합니다"라고 밝히며, 이를 최대 3년간 보존한다고 한다.

Machine ID는 하드웨어에서 파생되므로, 프로바이더가 보유하는 식별자는 앱 범위의 무작위 ID가 아니라 persistent_hardware_id다. 터널이 무엇을 기록하는지 또는 기록하지 않는지와는 무관하다.

X12는 Opera가 직접 제출한 두 문서를 비교한다. com.opera.browser의 Play 데이터 안전 양식은 분석을 위해 Installed apps를 수집한다고 선언하지만, 개인정보 보호 성명은 기기에 설치된 애플리케이션의 수집을 전혀 언급하지 않는다. Installed apps는 식별자가 아니라 행태이므로 undisclosed_behaviour다.

같은 양식은 광고를 위해 Device or other IDs를 다른 회사와 공유한다고 선언하며, 이 때문에 C07a는 ads가 된다. C07b는 더 좁은 근거에 기반하므로 B로 표시된다. 제품 페이지에 제공된 마크업에 등장하는 유일한 제3자 호스트는 Google Tag Manager이며, 이 컨테이너가 실행 시 불러오는 내용은 열거되지 않았다.

U02가 불명인 것은 검색이 실패해서가 아니라 제품의 설계 때문이다. 무료 VPN은 세 지역을 제공하며 Opera는 이를 America, Asia, Europe이라고 부르지만 국가를 전혀 제시하지 않는다. C09와 C09b는 여기서 도출되며, 이 상태가 유지되는 동안에는 확정할 수 없다.

X05는 Opera 자체 설명 자료에서 ads_supported이며, 이 자료는 세 가지 수익원 중 광고를 첫 번째로 열거하고 Opera Ads가 무작위로 생성된 사용자 ID, 도시 또는 국가, 그리고 방문한 사이트의 광범위한 범주를 수집하며 이를 최대 1년간 보존한다고 설명한다. U05 = unlimited_free와 함께 이는 R15가 표시하기 위해 존재하는 바로 그 사례다.

X06은 2026년 게시물에서 AES-256을 "가장 빠른 컴퓨터를 가진 해커라도 해독하는 데 10억 년 이상이 걸릴 것"이라고 자체 신고한 내용이다. X09는 2026년 게시물 두 건에서 Opera가 외부 연구자들이 보고한 취약점과 그 분석 및 수정된 버전을 공개한 self_disclosed_prompt이다. 이는 VPN 사고가 아니라 브라우저 취약점이며, 알려진 VPN 사고는 없다.

C05는 not_sold이다. 무료 VPN에는 결제 단계가 전혀 없다. 구독도 계정도 없으므로 익명으로든 다른 방식으로든 결제할 일이 없다.

이 레코드는 처음에 none으로 기록되었는데, 이는 "확인된 결제 수단만 제공된다"는 뜻으로 읽히며, 서비스가 돈을 전혀 받지 않는 경우를 나타내는 토큰이 어휘에 없었기 때문에 여기서는 사실이 아니다. unknown은 검색이 실패했다고 주장했을 텐데 이 역시 사실이 아니었으며, 두 가지 잘못된 해석 중 프로바이더에 불리하게 틀리는 쪽을 기록했다. 이제 해당 토큰이 존재하고 가격이 없음을 나타내므로 이것이 정직한 답이다. 결제가 없다면 유출될 결제 신원도 없다.