NordVPN vs Surfshark

아무도 확인할 수 없는 보증 수준. NordVPN은 Deloitte Lithuania의 업무를 ISAE 3000 (Revised)에 따른 합리적 보증 업무로 설명하며, 이는 더 강한 형태에 해당한다. 열람 가능한 PIA의 보고서는 제한적 보증 결론을 명시한다.

더 강한 형식이 반영되지 않은 이유. 이제 모델은 그 차이를 가격에 반영하지만, 이 레코드는 그 혜택을 받지 못한다. V15_assurance_strength는 불명이다. 해당 수준에 대한 유일한 진술이 NordVPN 자체의 진술이며, Nord Account 외부의 누구도 열어 볼 수 없는 보고서에 관한 것이기 때문이다. 로그인 뒤에 있는 문서는 여기서 어떤 수준에서도 근거가 아니므로, 해당 업무는 도달했다고 하는 수준이 아니라 시장의 통상 수준으로 반영된다.

로그인 뒤에 있는 보고서. 보고서 자체는 Nord Account에 로그인한 뒤에만 읽을 수 있으므로, 해당 관계 외부의 누구도 그 범위를 확인하지 않았다. 따라서 여기의 모든 감사 필드는 문서가 아니라 NordVPN 자체의 요약에 근거한다. 이는 서비스에 불리한 판정이 아니라, 이 레코드가 카탈로그에서 가장 근거가 빈약한 이유다.

소유자 필드. M11_owner_jurisdiction와 X04_owner_group_history는 불명이다. nordvpn.com과 nordsecurity.com은 Nord Security를 소유자로 명시하지만, 어느 쪽도 Nord Security 자체의 설립 관할권이나 해당 그룹의 이전 기록을 명시하지 않는다. 2차 보도는 2022년 합병에서 'Cyberspace' 지주 법인을 Netherlands와 연결하지만, 이용 가능한 시간 안에 Nord Security 또는 NordVPN의 1차 페이지를 통해 확인되지는 않았다.

전혀 읽을 수 없었던 내용. 2025 Deloitte 보고서의 전체 내용은 전혀 읽을 수 없으므로(로그인 필요), C01_linkable_retention에 있는 정책 자체의 주장 외에는 보존에 관한 판정을 기록하지 않는다.

열리지 않았던 서버 표. C09b_mandate_hosting은 불명이다. 실제 국가별 서버 표는 이 감사에서 렌더링할 수 있었던 아코디언 상태에서 Americas 지역에 대해서만 물리/가상 상태를 표시한다. Europe, Asia-Pacific 및 Africa/Middle East 섹션은 (servers API에 따르면 해당 플릿이 서비스하는 AE, IN, TR, VN, IQ, KZ 등 여러 의무 국가를 포함하며) 클릭 시 클라이언트 측에서 로드되고 확장되지 않았다.

주장하지 않고 불명으로 둔 항목. C04-C07, U06 (검열 근거), U11, V12-V14, X06, X07, X10 및 X11은 1차 문서를 통해 독립적으로 확인되지 않았으며, 2차 보도에서 주장된 것으로 보지 않고 불명으로 둔다.

하나의 의문은 열어 두었지만 반영하지 않음. X12에 대해서는 하나의 의문을 반영하지 않은 채 열어 둔다. com.nordvpn.android의 Play 데이터 안전 양식은 Android에서 분석 중 Installed apps를 선언하는 반면, NordVPN 개인정보 보호 고지는 한 곳에서만 설치된 애플리케이션을 언급한다. 바로 안티멀웨어 취약성 검사이며, 애플리케이션 이름과 버전의 처리를 Windows로 한정한다.

여전히 일치로 표시되는 이유. 해당 카테고리는 누락된 것이 아니라 공개되어 있으며, R28은 플랫폼 범위의 차이에 대해 판정을 내리지 않으므로 값은 matches_policy로 표시된다. 그러나 Android에서의 목적은 고지가 설명하는 목적이 아니며, 둘 중 어느 쪽이 잘못 기재되었는지는 NordVPN만 말할 수 있다.

India와 비밀 명령 체제. P04_mandate_response=withdrew_physical는 2022년 6월 India 철수를 의미하며, 이전 조사에서 /trust-center 페이지에 더 이상 해당 내용이 없다는 사실을 확인한 뒤 Surfshark 자체 블로그(surfshark.com/blog/surfshark-servers-certin-india)에서 복원했다. P11=judicial_only는 투명성 보고서에 2026년 4월 Amsterdam District Court 영장과 National-Security-letter 및 gag-order 카운터가 0으로 표시된 사실에 근거한다.

두 보고서가 발견되었지만, 전부인지는 불명. 공개된 Deloitte no-logs 보고서는 두 건(2022년 12월, 2025년 6월)만 발견되었다. robots.txt에서 연결되지 않은 다른 보고서가 있을 수 있으며, 이 감사에서는 다른 방법으로 이를 찾지 않았다.

NordVPN과 Surfshark는 모기업(Nord Security)을 공유하지만, 두 회사의 자체 합병 발표는 별도의 인프라와 제품 로드맵을 명시한다. 이에 따라 M18은 분리로 설정된다.

이제 R29가 기준을 정한다. 세션 종료와 연결된 명시된 기간 안에 상태가 삭제되는 것은 기록 자체가 아니라 연결이므로, 두 필드 모두 같은 문장에서 connection_timestamps로 읽힌다. 여전히 비용으로 반영되는 것은 세션보다 오래 남는 것이다 — 정책 2.3.1항의 마지막 로그인 날짜와 감사인이 명시한 연결 타임스탬프다.

Surfshark와 NordVPN은 같은 모회사를 공유하지만(Nord Security, 2022년 이후), Surfshark의 자체 회사 소개 페이지는 별도의 인프라를 두고 '독립적으로 운영하면서' 브랜드가 합병되었다고 명시한다 — M18은 이를 근거로 별도로 설정되며, nordvpn.com 레코드에도 같은 방식이 적용된다.

U12a는 서버 표 자체의 P2P 열에서 yes가 아니라 부분이다. 나열된 100개 국가 중 88개에는 해당 표시가 있고 12개에는 없다(AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). 이 열은 클라이언트 측에서 그려지므로 모든 행에 모든 라벨이 들어 있는 정적 HTML이 아니라 렌더링된 표에서 읽었다.

현재 /warrant-canary가 리디렉션되는 곳인 /transparency-report의 투명성 보고서는 2026년 4월~6월 분기를 표로 싣고 있다. DMCA 통지 374,719건, 정부 기관의 문의 33건, 영장 1건, 국가안보 서한 0건, 함구명령 0건이다. P08은 법적 요청 34건을 집계하고 DMCA 통지는 제외한다. 이는 사용자의 데이터 요청이 아니라 트래픽에 관한 저작권 신고이기 때문이다.

같은 페이지는 Surfshark가 영장 카나리아를 분기별 보고로 대체하기 위해 폐지한다고 명시한다. 따라서 P07은 none이 아니라 제거된다. 카나리아는 존재했으며 의도적으로 철회되었다.

U07_protocols에는 Surfshark 자체의 표현에 따라 Dausos에 대해 proprietary가 들어간다. 해당 프로토콜 페이지는 Dausos를 "Surfshark의 독점 프로토콜"이라고 부르며 출처를 공개하지 않는다. 그리고 그 단일 값이 C13_weakest_protocol과 이어지는 위생 비용을 설정한다. Surfshark가 여전히 문서화하고 있으므로 IKEv2는 유지되지만, 자체 블로그에는 Windows 앱에서 제거된 내용이 기록되어 있다. Shadowsocks는 지원 색인에서 사라졌으며 목록에 없다.