Opera VPN vs Private Internet Access

서버는 설명되었지만, 근거는 없음. C02, C06 및 C08의 뒷받침 근거는 전혀 없다. Opera는 서버가 물리적이며 자체 소유라고 말하지만, 이는 디스크도 DNS도 하드웨어 소유자가 누구인지도 확인하지 못한다. U02가 불명인 동안에는 C09b에 답할 수 없다.

스토어 하나이지, 둘이 아님. Google Play 데이터 안전성 양식만 검토했고, iOS 브라우저의 App Store 개인정보 보호 라벨은 검토하지 않았으므로 X12는 두 곳 중 더 불리한 쪽이 아니라 한 스토리에 근거한다.

명시가 아닌 두 가지 해석. U01의 Linux는 데스크톱 도움말 매뉴얼에서 추론한 것이다. 이 매뉴얼은 VPN을 설명하고 Windows, macOS 및 Linux를 플랫폼별로 나누지 않고 함께 다룬다. Android와 iOS는 감사 발표에서 명시적으로 언급된다. U10은 이를 시행할 계정도 기기 한도도 없으므로 무제한이다. 이는 명시된 수치가 아니라 제품에 대한 해석이다.

2016년 소환장은 법원 기록이 아니라 PIA 자체의 말에 근거한다. McWaters 사건(S.D. Fla., 9:16-cr-80043)에 관한 유일한 상세 설명은 이 레코드가 인용할 수 없는 제휴 사이트에 있다. 해당 사건에 대한 CourtListener의 도켓에는 소환장, 프로바이더, 결과가 언급되어 있지 않다. 이제 P03_court_record와 P12_case_history는 PIA의 자체 투명성 보고서 진술, 즉 2016-2017년에 소환장을 받았고 아무것도 제출하지 않았다는 내용에 근거한다. 이는 검증된 법원 기록이 아니라 B급 자체 신고다.

2026년 게시물은 같은 업무를 Deloitte가 판정을 수행한 것으로 다시 설명한다. "우리는 Deloitte 팀에 VPN과 서버 인프라에 대한 완전한 접근 권한을 제공했고, 팀은 우리의 주장을 검증할 수 있었다 ... 실제로 데이터 로깅 기능은 애초에 VPN에 내장되어 있지도 않다." 같은 게시물은 2024년 게시물이 2024년 6월 18일부터 8월 10일까지로 날짜를 제시한 기간을 "완전한 접근 권한"으로 격상한다.

Opera는 자체 주장을 감사인의 결론으로 서술하고 있다. VERIFY 블록이 이렇게 나뉘는 이유가 여기에 있다. V01은 Deloitte 발표에 근거한 것이 아니라, 실제로 열람한 보고서인 Cure53 자체의 2022년 3월 평가에 관한 공개 관리 요약에 근거하여 yes_verified이다.

Deloitte 보고서 자체는 어디에도 공개되어 있지 않으므로 V02는 press_only이며, 해당 보고서의 발견 사항이지 감사 업무에 관한 사실이 아닌 모든 필드는 불명으로 남는다. 즉 플릿 범위(V04), 보증 기준(V07), 보고서가 보존된다고 명시하는 내용(V11), 그리고 의견의 강도(V15)이다.

업무 관련 사실, 즉 해당 회사, 그 범주, 날짜, 테스트 대상으로 기재된 내용은 발표에서 가져온다. 이 감사를 한 번 명백히 다르게 규정한 벤더는 감사가 어떤 결론에 이르렀는지에 대한 출처가 아니다. C01이 none_linkable인 이유는 개인정보처리방침에 그렇게 선언되어 있기 때문이며, V11은 발견 사항이고 읽어낼 발견 사항은 없다.

Cure53의 보고서는 실제로 존재하며 V14가 yes_verified인 이유이다. 7명의 테스터, 24인일, VPN 클라이언트, 서버 구성 및 인프라, 그리고 VPN 구성을 전달하는 데 사용된 Opera Mini 프로토콜을 다루는 4개 작업 패키지에 대한 화이트박스 테스트가 수행되었다. 보안 관련 이슈는 14건이었고, 그중 8건은 실제 취약점이었으며, 5건은 높은 심각도로 평가되었고 치명적인 것은 없었다.

2022년 3월 기준으로 9건은 수정되었고 수정 사항이 검증되었으며, 1건은 부분 수정, 3건은 위험 수용, 1건은 오탐, 1건은 아직 진행 중이었다. Opera의 블로그는 브라우저 VPN과 직접 관련된 7개 항목이 "all subsequently resolved"라고 말하며, 표도 이를 뒷받침한다. 남은 항목은 VPN 자체가 아니라 Opera Mini 작업 패키지에 있다.

소유권은 완전히 공개되어 있고 의무 국가에서 끝나므로, X03과 C11은 서로 모순되지 않으면서 반대 방향을 가리킨다.

Opera 자체의 개인정보처리방침에 명시된 데이터 관리자는 노르웨이 회사인 Opera Norway AS이며, 투명성 보고서는 해당 명의로 제출되어 있다.

지주 회사는 2018년 3월 케이맨 제도에 설립된 자체 실질 영업이 없는 면제 회사인 Opera Limited다. 2025년 Form 20-F는 쿤룬 테크 유한회사(Kunlun Tech Co., Ltd.)의 자회사이자 PRC에 설립된 Hong Kong Kunlun Tech Holding Limited를 68.0%의 최대 주주로 명시하며, Kunlun이 "Opera의 최종 모회사이며 Opera의 집행 회장이 지배한다"고 밝힌다.

따라서 M06은 NO이고 C10은 no인 반면, M11은 CN이고 C11은 yes다.

C12는 VPN의 선언과 그것이 들어 있는 애플리케이션 사이의 가장 뚜렷한 공백이다. 개인정보 보호 성명의 VPN 섹션은 로그를 기록하지 않는다고 선언하지만, 같은 문서의 다른 섹션은 Opera 애플리케이션이 설치될 때 "무작위 설치 ID가 생성됩니다. 당사는 이 식별자와 Machine ID, 하드웨어 사양(모델, 출시일 등), 운영 체제, 환경 구성 및 기능 사용 데이터를 수집합니다"라고 밝히며, 이를 최대 3년간 보존한다고 한다.

Machine ID는 하드웨어에서 파생되므로, 프로바이더가 보유하는 식별자는 앱 범위의 무작위 ID가 아니라 persistent_hardware_id다. 터널이 무엇을 기록하는지 또는 기록하지 않는지와는 무관하다.

X12는 Opera가 직접 제출한 두 문서를 비교한다. com.opera.browser의 Play 데이터 안전 양식은 분석을 위해 Installed apps를 수집한다고 선언하지만, 개인정보 보호 성명은 기기에 설치된 애플리케이션의 수집을 전혀 언급하지 않는다. Installed apps는 식별자가 아니라 행태이므로 undisclosed_behaviour다.

같은 양식은 광고를 위해 Device or other IDs를 다른 회사와 공유한다고 선언하며, 이 때문에 C07a는 ads가 된다. C07b는 더 좁은 근거에 기반하므로 B로 표시된다. 제품 페이지에 제공된 마크업에 등장하는 유일한 제3자 호스트는 Google Tag Manager이며, 이 컨테이너가 실행 시 불러오는 내용은 열거되지 않았다.

U02가 불명인 것은 검색이 실패해서가 아니라 제품의 설계 때문이다. 무료 VPN은 세 지역을 제공하며 Opera는 이를 America, Asia, Europe이라고 부르지만 국가를 전혀 제시하지 않는다. C09와 C09b는 여기서 도출되며, 이 상태가 유지되는 동안에는 확정할 수 없다.

X05는 Opera 자체 설명 자료에서 ads_supported이며, 이 자료는 세 가지 수익원 중 광고를 첫 번째로 열거하고 Opera Ads가 무작위로 생성된 사용자 ID, 도시 또는 국가, 그리고 방문한 사이트의 광범위한 범주를 수집하며 이를 최대 1년간 보존한다고 설명한다. U05 = unlimited_free와 함께 이는 R15가 표시하기 위해 존재하는 바로 그 사례다.

X06은 2026년 게시물에서 AES-256을 "가장 빠른 컴퓨터를 가진 해커라도 해독하는 데 10억 년 이상이 걸릴 것"이라고 자체 신고한 내용이다. X09는 2026년 게시물 두 건에서 Opera가 외부 연구자들이 보고한 취약점과 그 분석 및 수정된 버전을 공개한 self_disclosed_prompt이다. 이는 VPN 사고가 아니라 브라우저 취약점이며, 알려진 VPN 사고는 없다.

C05는 not_sold이다. 무료 VPN에는 결제 단계가 전혀 없다. 구독도 계정도 없으므로 익명으로든 다른 방식으로든 결제할 일이 없다.

이 레코드는 처음에 none으로 기록되었는데, 이는 "확인된 결제 수단만 제공된다"는 뜻으로 읽히며, 서비스가 돈을 전혀 받지 않는 경우를 나타내는 토큰이 어휘에 없었기 때문에 여기서는 사실이 아니다. unknown은 검색이 실패했다고 주장했을 텐데 이 역시 사실이 아니었으며, 두 가지 잘못된 해석 중 프로바이더에 불리하게 틀리는 쪽을 기록했다. 이제 해당 토큰이 존재하고 가격이 없음을 나타내므로 이것이 정직한 답이다. 결제가 없다면 유출될 결제 신원도 없다.

privateinternetaccess.com 자체 페이지와 블로그, 두 개의 Deloitte ISAE 3000 (Revised) 'Independent Limited Assurance Report' PDF(2024년 4월 및 2025년 12월, 모두 직접 열어 읽음), Kape Technologies 자체 사이트, Kape가 Unikmind Holdings(Teddy Sagi)에 의해 2023년에 비공개화된 거래에 관한 Isle of Man/Companies House 출처 보고서, 그리고 오픈 소스 클라이언트를 위한 공식 pia-foss GitHub 조직에서 출처를 확보했다.

United States v. McWaters(9:16-cr-80043, S.D. Fla.)에 대한 공개 CourtListener 도켓을 열었지만 소환장, VPN 프로바이더 또는 결과는 언급되어 있지 않았다. 해당 소환장을 상세히 설명하는 제휴 글(vpncompare.co.uk)은 금지된 출처로 제외했으며, TorrentFreak 자체 보도는 curl을 포함해 이번 실행에서 모든 가져오기 시도에 HTTP 403을 반환했다. 이제 P03/P12는 PIA 자체 투명성 보고서의 자체 신고에 근거한다.

Wikipedia는 V12에서 제외하고 GitHub 조직 자체로 대체했다. 이 레코드 어디에서도 제휴 사이트나 'best VPN' 집계 사이트를 사실 출처로 사용하지 않았다. 검색 결과에는 서버 수, 사용자 수, 감사 날짜처럼 그럴듯한 수치가 반복해서 나타났지만, 기본 페이지와 대조 확인할 수 없어 사용하지 않고 폐기했다.