ExpressVPN은(는) HushFleet 팀의 평가를 거쳐 비추천 구간에 배치되었으며, 보안 점수는 14/100, 사용성 점수는 70/100이다. 전체 VPN 프로바이더 보안 랭킹에서 68개 중 16위다. 상업용 VPN, 회사 관할권은 영국령 버진아일랜드. 독립 보안 감사를 받음: 보고서 전문이 공개됨, 근거 단계 A.

방법론: 3.7.0
스키마: 3.7.0
공개일: 2026년 9월 8일
갱신일: 2026년 9월 14일

사양

기록되지만 점수에는 반영되지 않음

7개의 필드는 점수에 반영되지 않은 채 이 레코드에 실려 있다. 계약 자체가 그렇게 정하고 있기 때문이다: scored: false. 이를 싣는 이유는, 이 회사를 소유한 이가 누구인지, 감사에 서명한 이가 누구인지를 묻는 독자에게 레코드가 답하는 내용이기 때문이며 — 그리고 연산에 전혀 관여하지 않는 값은 조용히 섞여 들어가는 대신 명시적으로 그 바깥에 있어야 하기 때문이다.

출구가 있는 국가

프로바이더가 자체 서버 페이지에서 밝힌, 출구를 제공하는 모든 국가를 헤아린 것: 106개국. 국가별 서버 수는 여기에 없으며 사이트 어디에도 전체 보유 대수는 게시하지 않는다 — 계약 자체에 둘 다 포함되어 있지 않고, 근거를 댈 수 없는 숫자는 없는 편이 낫기 때문이다. mandate로 표시된 7개국은 데이터 보존을 의무화한다. 이 표시는 프로바이더가 아니라 방법론 자체의 국가별 표에서 나온다.

담당 HushFleet 팀이 레코드에 변경 이력 44건

변경 내용

대안

이것이 맞지 않는다면

ExpressVPN — HushFleet의 보안 리뷰

로그 보존 의무가 적용되는 제공 국가C09_mandate_countries	아랍에미리트 벨라루스 중국 인도 카자흐스탄 튀르키예 베트남
최종 실소유자의 국가M11_owner_jurisdiction	IM
소유 그룹 클러스터 키M15_owner_group	Kape Technologies
현재 소유자가 지배권을 취득한 날짜M16_control_since	2021-09
그룹 내 이 브랜드의 역할M17_brand_role	acquired_brand
클러스터 형제와 공유하는 인프라M18_shared_infrastructure	불명
공개된 감사 총계V10_audit_count	5

서비스 클래스	상업용 VPN — 보안 우선
보안 점수	100점 중 14점 · 비추천
사용성 점수	100점 중 70점 · 상태 알려진 · 확인됨 92% · 가중치의 94.1% 확인됨
법인명	Express Technologies Ltd.
관할권	영국령 버진아일랜드
최종 소유자	Teddy Sagi, via Unikmind Holdings Limited (Isle of Man), sole shareholder of Kape Technologies plc since the May 2023 delisting; Kape owns ExpressVPN through Express Technologies Ltd.
노출도	중간 · 지배적 채널: 무결성
보존	세션 메타데이터
최근 감사	KPMG LLP · 2025년 2월 28일 · 연간 시리즈 · 예, 보고서도 읽음
출구가 있는 국가	106
프로토콜	소스가 공개된 업체 프로토콜 WireGuard OpenVPN IKEv2
강력한 검열 환경에서도 작동	작동한다고 자체 신고함
여전히 제공 중인 가장 취약한 프로토콜	해당 없음
터널 내부의 자체 DNS	예, 프로바이더의 자체 신고에 근거
플랫폼	Windows Android iOS macOS Linux 라우터 Android TV 브라우저 확장 프로그램 Apple TV Fire TV
동시 접속 기기 수	10
킬 스위치	모든 플랫폼에서
스플릿 터널링	사용 가능
가입 방식	이메일 주소만
무료 요금제	무료 구간 없음
P2P 허용	불명
주요 스트리밍 서비스 접속 가능	접속 가능
가격(월간)	$14.99 월당
가격(연간)	$59.85 갱신 시 연간, 일시 청구

보안 점수의 출처

8개의 채널이 각각 공개된 레코드에 하나의 질문을 던지고, 그에 답하기 위해 지정된 필드 집합을 읽는다. 더하는 대신 곱해진다 — 채널 옆의 계수는 그때까지 발견된 압력을 제한 뒤 남은 값이며, 채널을 펼치면 저장된 그대로의 모든 필드를 볼 수 있다. 모델 작동 방식

보안 필드

67 그중 55개가 하나 이상의 채널에 반영됨

확인됨

57 9개는 unknown으로 남음, 1개는 해당 없음

완전성

84% 모델이 가중치를 부여할 수 있었던 비율

출처

91 32개 문서에 걸쳐

모든 값은 그 근거를 함께 지니며, 모델은 4단계를 서로 다르게 가중한다. 먼저 가중치, 그다음 이 레코드의 출처가 그 단계에 몇 개 있는지를 보여준다:

A 가중치 1.00·여기 15개B 가중치 0.85·여기 64개C 가중치 0.70·여기 11개D 가중치 0.35·여기 1개

가중치는 methodology.json 자체가 정한 것이다 — 문서 자체에서 확인된 주장은 같은 주장이 전언으로 보고된 경우보다 더 무겁게 취급된다. 행 끝의 날짜는 그 값이 마지막으로 읽힌 날이다.

채널이 읽는 모든 필드에 값을 매기는 것은 아니다. 값을 매긴 행은 가장자리에 표시되며 기여분을 함께 보여준다. 그 외는 읽히기만 했을 뿐 비용은 없다. 필드 단위로 구성되는 채널만이 필드에 표시를 남길 수 있다 — 나머지는 행 위에 표시된 매개변수로 스스로 값을 매긴다.

이 레코드에서 아직 해결되지 않은 사항.

침투 테스트와 수행되지 않은 하나. 침투 테스트 필드는 Lightway 프로토콜에 대한 Cure53의 2024년 10~11월 검토를 근거로 하며, 이 검토에서는 인증되지 않은 데이터 조각으로 인한 서비스 거부가 High로 평가되었고 그보다 낮은 등급의 항목 4개가 함께 확인되었습니다. ExpressVPN의 신뢰 센터에는 이러한 검토가 장기간 이어진 목록이 있어 그 수행 주기는 실제로 확인됩니다. 다만 KPMG의 로그 미보존 검토와 별개로 서버 인프라를 대상으로 한 침투 테스트는 포함되어 있지 않습니다.

두 가격의 정정. 가격 페이지는 이제 1개월, 12개월, 2년이라는 세 가지 별도 요금제 기간을 판매하며, 2026년 8월 29일에 확인했던 24~28개월 전용 구조가 아닙니다. U04_price_monthly=14.99는 Basic 1개월 요금제의 가격이며, 동일한 $14.99로 자동 갱신됩니다. U04b_price_yearly=59.85는 Basic 12개월 요금제가 첫 기간에 실제로 청구하는 금액입니다(12개월에 3개월 보너스를 더한 기간으로 청구됨). 이후에는 연 $99.95로 자동 갱신되며, 이전 레코드가 연간 필드 자체에 잘못 저장했던 수치가 바로 이 금액입니다.

남은 미해결 사항 — 293단어 더

투명성 보고서. P05/P06/P08/P09는 이제 Trust Center를 통해 확인한 ExpressVPN의 반기 투명성 보고서(2025년 7~12월: 정부 및 법 집행기관 요청 155건, 공개 0건, 별도로 기재된 영장 3건)를 근거로 합니다. 이전 실행에서는 이 두 가지를 모두 놓쳤습니다.

카나리와 나머지 블록. ExpressVPN의 워런트 카나리는 찾을 수 없었고 이를 부인하는 1차 진술도 없으므로 P07은 불명으로 유지됩니다. P02/P03=none_known은 투명성 보고서 시리즈와 개인정보 보호정책의 소송 관련 입장을 근거로 합니다. P11=none_known은 모든 요구가 BVI 법원을 거친다는 정책의 진술을 근거로 합니다. P04=withdrew_physical은 2022년 6월 인도에서 철수한 사실입니다.

공개된 적이 없는 항목. 구독자 수(M08)와 전체 서버 수(U03)는 공개되지 않습니다. 서버 하드웨어 소유권(C08: 소유 또는 임대)과 앱 수준의 기기 식별자(C12)는 확인한 어떤 페이지에서도 확인할 수 없었습니다.

113개라는 주장에 비해 106개 국가. U02_server_countries는 ExpressVPN 자체 사이트맵의 105개 국가 랜딩 페이지에 중국을 더한 내용을 반영한다(실시간 /vpn-server 페이지에서 'Available - Virtual Locations'로 확인되지만 전용 랜딩 페이지는 없음) — 총 106개 코드로, 사이트 자체의 '113 Countries' 마케팅 주장에 비해 적다. 실시간 서버 위치 페이지는 프로토콜별 대규모 표로 되어 있어 전체를 빠짐없이 파싱하지 않았으므로, 106개와 113개의 차이는 해결되지 않은 채 보고한다.

두 범주 사이에 있는 감사 판정. V11_audit_findings는 none_linkable이나 aggregates_only가 아니라 session_metadata로 기록된다. 2025년 KPMG 보고서는 연결별 구조화된 레코드(국가, ISP, 날짜, 프로토콜, 데이터 용량, 안정적인 salted-hash 가명)를 설명하는데, 이는 순수 집계보다 많은 정보를 담지만 IP와 정확한 시각은 포함하지 않는다 — 이 필드의 중간 네 범주로는 진정으로 모호한 사례다.

이번 확인에서는 확인하지 않음. ExpressVPN의 커버리지가 제휴 사이트 외부에도 존재하는지(X08), 제휴사 지급 등급(X10), 소유 그룹과의 연계를 소유자 운영 리뷰 미디어가 표시하는지(X11)는 이번 확인에서 확인하지 않았다.

P2P, 확인했으나 없음. U12a_p2p_allowed는 나머지와 다른 이유로 불명 상태로 남는다. 이를 확인했지만 공개되어 있지 않다. 사이트맵(578개 페이지 및 지원 URL)과 서비스 약관 어디에도 P2P, BitTorrent 또는 파일 공유에 대한 언급이 없으며, 목록에 포함된 다른 모든 프로바이더는 자체 문서에서 입장을 밝힌다. 지원 문서나 약관 조항이 있으면 이를 확인할 수 있지만, 작동한다고 말하는 리뷰 사이트만으로는 확인할 수 없다.

레코드 전체에 대해.

2009년부터 British Virgin Islands에 설립되어 있는 Express Technologies Ltd.는 2021년 9월 인수 이후 Kape Technologies plc가 소유하고 있다($936M, Kape 자체 about-us 페이지). TrustedServer RAM 전용 아키텍처는 2022년부터 개인정보 보호정책 준수 여부에 대해 KPMG의 연례 감사를 받았다(ISAE (UK) 3000 Type I, 가장 최근에는 2025년 2월 28일). 여기에 PwC Switzerland(2019년, TrustedServer)와 Cure53(2019년 브라우저 확장 프로그램, 2021년 Lightway 프로토콜, 오픈 소스 공개됨)의 감사도 있다.

2025년 KPMG 보고서를 직접 읽었다(신뢰도 A). 서버는 연결마다 가명 이벤트 하나를 기록한다(시각 없는 날짜, salted/hashed 사용자 이름, 국가+ISP GeoIP, 데이터 용량, 위치 그룹, 프로토콜). 그러나 IP 주소나 정확한 타임스탬프는 기록하지 않는다. 빌드는 독립적으로 운영되는 두 빌드 시스템에서 재현 가능하다고 설명되어 있다.

2017년 Turkish 당국은 러시아 대사 Andrei Karlov 암살을 수사하면서 ExpressVPN 서버를 압수했고, 사용 가능한 로그를 찾지 못했다(TorrentFreak은 ExpressVPN에 대한 후원 고지를 싣고 있음 — 사실을 외부에서 확인할 수 있고 ExpressVPN 자체의 성명 페이지는 이후 HTTP 410을 반환했으며 Wayback Machine 스냅샷도 없으므로, 이를 기록했지만 제외하지 않음).

남은 미해결 사항 — 226단어 더

2021년 9월, UAE의 'Project Raven' 해킹 작전에서 2016~2018년에 맡았던 이전 역할과 관련해 ExpressVPN의 최고정보책임자 Daniel Gericke와 체결한 DOJ의 기소유예 합의(Deferred Prosecution Agreement)가 공개되었다. 기본 DPA 문서 자체에는 ExpressVPN이 전혀 이름으로 언급되지 않는다(이 문서는 그의 이전 UAE 고용만 다룬다) — ExpressVPN과의 연계는 ExpressVPN 자체 성명 및 언론 보도에서 나온다. ExpressVPN은 Gericke를 계속 고용했고 그 결정을 공개적으로 옹호하는 입장을 발표했다.

C12는 스토어 카테고리가 아니라 프로바이더 자체 설명에서 resettable_ad_id이다. 개인정보 처리방침의 마케팅 문단에는 Installation ID와 XV User ID가 항상 수집되며 광고 식별자 — IDFA 또는 Android Advertising ID — 는 명시적 동의 후에 수집되고, 이 모든 정보가 AppsFlyer에 전달된다고 적혀 있다. Play 데이터 안전 양식은 광고 또는 마케팅을 위한 Device 또는 기타 ID를 독립적으로 명시한다.

동의 게이트와 여기서 다른 누구도 제공하지 않는 완화 조치 — AppsFlyer로 향하는 트래픽을 전용 ExpressVPN IP 풀을 통해 라우팅하여 어트리뷰션이 IP로 상관관계를 파악할 수 없게 하는 것 — 는 실제로 존재하며 여기에 기록된다. 이는 하한선이 얼마나 잘 설명되는지가 아니라 무엇을 보유할 수 있는지를 점수화하기 때문이다.

U07_protocols에는 전체 선택 항목이 담겨 있다. Lightway UDP와 TCP는 vendor_open이고, 그 옆에 WireGuard, OpenVPN UDP/TCP 및 IKEv2가 있다. Lightway는 ExpressVPN 자체 프로토콜이며 그 소스는 독립적 검토(Cure53, 2021년 및 2024년)를 거쳐 공개되어 있다. 이것이 vendor_open이 존재하는 이유인 구별이다 — proprietary는 전송 방식이 약한지 알 수 없는 상태를 점수화하며, 여기서는 그것을 알 수 있다.

프로바이더 자체 프로토콜 페이지에 따르면 PPTP는 ExpressVPN 앱에서 폐기되었고, L2TP와 SSTP는 제공되지 않으면서 해당 페이지에서 설명되어 있다.

무결성한 가지를 말하고 다른 일을 하는 것이 적발된 적이 있는가?16개 필드 읽음 · 5개 불명으로 남음 · 압력 63.3포인트×0.367

이 채널이 이 레코드에서 값을 매긴 항목:수익화 0.2구매한 보도 0.1사고 처리 0.2개연성 없는 보고서 0.15소유 그룹 이력 0.25

사용자 기반 규모 (대규모 >=1,000만, 중간 규모 >=100만, 틈새 <100만)침묵에서도 읽힘M08_user_scale

불명

공개된 내용 없음 · 기록된 값 asserted

신고: M08_user_scale 관련 문제 신고

소유 그룹의 기타 사업M10_owner_other_business

antivirusreview_directoryadtech_adware

Cen.wikipedia.org2026년 8월 27일

신고: M10_owner_other_business 관련 문제 신고

투명성 보고서무지, 침묵에서도 읽힘P05_transparency_report

fresh_with_numbers

Bexpressvpn.com Bexpressvpn.com2026년 8월 29일

계산값

흠 없는 레코드의 ×0.144 완전성 84%

감점의 주된 원인: 무결성. 이 레코드의 위험이 집중된 채널로, 단독으로 흠 없는 레코드를 ×0.367까지 낮추며 위의 막대는 그만큼 채워져 있다.

노출도는 medium로, 무결성 상태는 clean로 기록되어 있다.

레지스터 전체와 비교하면 이 레코드는 관할권에서 가장 위에 있고 — ×1.000 대 레지스터 평균 ×0.680 —, 무결성에서 가장 아래에 있다 — ×0.367 대 ×0.658.

공표 점수

위 각 행은 공개 레코드의 필드 하나이며, 모두 이의를 제기할 수 있다: 각 행에는 신고가 붙어 있고, 레코드 전체에 대해 문제를 신고할 수도 있다. 근거가 있는 정정은 당일 반영되며, 점수가 움직이면 순위도 함께 움직인다.

14.99

사양

기록되지만 점수에는 반영되지 않음

출구가 있는 국가

변경 내용

이것이 맞지 않는다면

비교 대상

보안 점수의 출처

ExpressVPN

Proton VPN

IVPN

Mullvad VPN