CyberGhost 안전한가요? 보안, 개인정보 보호 및 감사 분석

CyberGhost는 안전한가요? 암호화, 감사, 로그 정책 설명

CyberGhost의 신뢰 점수는 81/100점입니다. AES-256 암호화를 사용하며, 14 Eyes 동맹 바깥인 루마니아 관할권에서 운영됩니다. 또한 분기별 및 연간 투명성 보고서[1]를 공개하고 있습니다. CyberGhost는 무로그 구성이 Deloitte Romania의 검토를 받았다고 밝혔습니다. CyberGhost는 100개국에 걸친 9,600+개 서버를 통해 트래픽을 라우팅하며, 내장된 누출 방지 기능을 제공합니다.

관할권: 루마니아가 중요한 이유

CyberGhost는 부쿠레슈티에 본사를 둔 루마니아 기업 CyberGhost S.A.입니다. 루마니아 헌법재판소는 1258/2009 결정[2]에서 이 나라의 첫 데이터 보관 법을 위헌으로 판결했고, 후속 법은 440/2014 결정[3]에서 역시 위헌 판결을 받았습니다. 따라서 루마니아에는 그런 종류의 데이터 보관 법이 없습니다.

CyberGhost는 루마니아가 5 Eyes나 14 Eyes 같은 국제 감시 동맹의 일원이 아니라고 밝히고 있습니다. 다만 루마니아는 EU 회원국이므로, 이것이 국경 간 법적 협력이 전혀 미치지 않는다는 뜻은 아닙니다. 루마니아 당국이 기업에 정보를 요청하려면 유효한 법원 명령이 필요합니다.

법원 명령이 있더라도 CyberGhost는 저장하지 않는 정보는 제공할 수 없다고 밝히고 있습니다. 이 회사의 모회사는 영국에 본사를 둔 Kape Technologies이며, 이 회사는 ExpressVPN과 ZenMate[4]도 소유하고 있습니다.

CyberGhost 감사 이력

CyberGhost는 자사 VPN 서버와 무로그 통제에 대해 Deloitte Audit Romania에 세 차례 감사를 의뢰했다고 밝혔습니다. 첫 번째는 2022년, 두 번째는 2024년 5월 발표[5], 세 번째는 2026년 2월 발표[6]입니다. 2024년 작업은 국제 인증업무기준 ISAE 3000(개정판)에 따라 수행되었으며, 보고서는 제한적 확인 보고서(limited assurance report)로 명명되어 있습니다[7]. 각 감사는 지속적인 모니터링이 아니라 특정 시점의 검토이며, CyberGhost는 맥락을 벗어난 발췌본은 공유할 수 없고 고객이 계정에서 전체 보고서를 확인하도록 안내한다고 밝히고 있습니다. 이는 모두 CyberGhost 자체의 감사 설명입니다.

CyberGhost는 2011년부터 2022년까지를 다룬 연간 투명성 보고서[1]를 발행했고, 2020년부터 분기별 보고서를 내고 있습니다. 이 보고서들은 접수된 법 집행 기관 요청과 DMCA 통지 건수를 상세히 보여줍니다. CyberGhost는 사용자 데이터가 존재하지 않기 때문에 이에 대응해 데이터를 제공한 적이 없다고 밝히고 있습니다.

CyberGhost 무로그 정책: 무엇이 저장되는가

CyberGhost의 개인정보 보호정책은 검색 기록, 트래픽 목적지, DNS 쿼리를 기록하지 않는다고 명시하고 있습니다. 연결 타임스탬프, 세션 길이, 할당된 IP 주소도 저장하지 않는다고 합니다. CyberGhost는 이 정책이 모든 서버에 적용된다고 밝혔습니다.

CyberGhost가 저장하지 않는 항목:

• 검색 활동 또는 방문한 웹사이트
• 다운로드한 파일 이름 또는 토렌트 데이터
• 원래 IP 주소 또는 할당된 VPN IP 주소
• 연결 타임스탬프 또는 세션 길이
• 세션별 DNS 쿼리 또는 트래픽 양

CyberGhost가 수집하는 항목:

• 문제 해결을 위한 익명의 집계된 연결 시도 (사용자 식별 정보 없음)
• 구독 관리를 위한 계정 이메일 주소와 결제 정보
• 앱 개선 분석을 위한 대략적인 기기 유형

CyberGhost는 서버 인증에 익명 토큰을 사용합니다. 이 시스템은 계정 자격 증명과 VPN 세션 사이의 연결을 끊습니다. 회사는 특정 시점에 특정 사용자를 특정 서버 연결과 대응시킬 수 없습니다.

CyberGhost는 자사 서버에 영구 저장장치 없이 RAM에서 구동되도록 구축했으며, 재부팅 시 메모리에 있던 내용이 지워진다고 밝혔습니다. 이로써 물리적으로 압수된 서버가 과거 연결에 대해 드러낼 수 있는 내용이 제한됩니다.

암호화 표준과 프로토콜

CyberGhost는 모든 애플리케이션에서 기본 암호로 AES-256-GCM 암호화를 사용합니다. AES-256은 국가안보시스템을 위해 NSA의 CNSA 2.0 알고리즘 제품군[8]에서 규정한 대칭 암호이기도 합니다.

CyberGhost는 앱 전반에서 4가지 VPN 프로토콜을 지원합니다.

• WireGuard: 대부분의 플랫폼에서 기본값입니다. ChaCha20 암호화를 사용합니다.
• OpenVPN(UDP/TCP): AES-256-GCM을 사용합니다. UDP는 더 빠른 속도를, TCP는 제한된 네트워크에서 더 나은 동작을 제공합니다.
• IKEv2/IPsec: iOS와 모바일 기기에서 선호됩니다. Wi-Fi와 셀룰러 사이의 네트워크 전환을 효율적으로 처리합니다.
• L2TP/IPsec: 레거시 옵션입니다. 사용은 가능하지만 주 사용으로는 권장하지 않습니다.

전방향 비밀성(perfect forward secrecy)은 세션 키를 매번 새로 생성하므로, 하나의 세션 키가 노출되어도 이전 세션은 드러나지 않는다는 뜻입니다.

킬 스위치와 DNS 누출 방지

CyberGhost는 Windows, macOS, iOS, Android, Linux 앱에 킬 스위치를 포함합니다. 킬 스위치는 VPN 연결이 예기치 않게 끊기면 모든 인터넷 트래픽을 차단합니다. 사용자 설정 없이 자동으로 작동합니다.

Windows와 macOS에서 킬 스위치는 시스템 수준에서 작동합니다. 방화벽 규칙을 수정하여 VPN 터널 밖으로 어떤 패킷도 나가지 못하게 합니다. 표준 누출 탐지 도구로 테스트한 결과, 연결이 끊어지는 동안 IPv4, IPv6, WebRTC 누출은 없었습니다.

CyberGhost는 자체 개인 DNS 서버도 운영합니다. 모든 DNS 쿼리는 암호화된 터널을 거쳐 CyberGhost가 운영하는 리졸버로 전달됩니다. 이로써 ISP나 제3자가 어떤 도메인을 요청하는지 볼 수 없습니다. Google이나 Cloudflare 같은 제3자 DNS 서비스는 쿼리를 처리하지 않습니다.

IPv6 누출 방지는 기본적으로 활성화되어 있습니다. CyberGhost는 IPv6 트래픽을 터널로 보내는 대신 전면 차단합니다. 이 방식은 저렴한 VPN이 흔히 놓치는 취약점을 제거합니다.

과거 보안 사고

CyberGhost가 보고한 CyberGhost VPN 서버의 확인된 침해 사례는 찾지 못했습니다. 한 위협 인텔리전스 업체가 CyberGhost와 관련된 2023년 데이터베이스 덤프를 주장했지만, 독립적인 확인이나 CyberGhost의 공개는 찾지 못해 확정된 사실로 보지 않습니다.

Crossrider는 2017년에 CyberGhost를 인수했고 이후 사명을 Kape Technologies로 바꿨습니다. Crossrider는 과거 애드웨어 유포와 관련이 있었으며, 이 때문에 소유 구조가 주목받고 있습니다. CyberGhost는 운영, 팀, 인프라가 여전히 루마니아에 있다고 밝히고 있습니다.

고유한 보안 기능

CyberGhost는 많은 경쟁사와 차별화되는 여러 기능을 제공합니다.

NoSpy 서버: CyberGhost는 루마니아 자체 데이터센터에서 일련의 프리미엄 서버를 운영합니다. 회사는 제3자 개입 없이 이 서버를 독점적으로 관리합니다. NoSpy 서버는 전용 업링크를 사용하며, 물리적으로 CyberGhost 직원만 접근할 수 있습니다.

콘텐츠 차단기: 앱에 내장된 이 기능은 DNS 수준에서 광고, 트래커, 악성 도메인을 차단합니다. 트래픽이 브라우저에 도달하기 전에 차단을 처리합니다. 별도의 브라우저 확장 프로그램 없이도 데이터 노출을 줄입니다.

전용 IP 옵션: 사용자는 자신만 사용하는 고정 IP 주소를 구매할 수 있습니다. 이 토큰 기반 시스템은 IP를 계정 신원과 연결하지 않고 할당합니다. 개인정보를 유지하면서 CAPTCHA와 차단 목록을 피하는 데 도움이 됩니다.

자동 Wi-Fi 보호: CyberGhost는 새로운 또는 보안되지 않은 Wi-Fi 네트워크를 감지하여 VPN을 자동으로 연결합니다. 사용자는 신뢰하는 네트워크와 신뢰하지 않는 네트워크에 대한 규칙을 설정할 수 있습니다. 이 기능은 공공 핫스팟에서 실수로 보호되지 않은 채 브라우징하는 것을 방지합니다.

스플릿 터널링: Android와 Windows에서 사용할 수 있는 스플릿 터널링을 통해 특정 앱을 VPN 밖으로 라우팅할 수 있습니다. 암호화된 터널을 사용할 앱과 일반 연결을 사용할 앱을 직접 선택합니다.

참고 자료

1. Cyberghostvpn. 날짜 없음. CyberGhost Transparency Report. https://www.cyberghostvpn.com/download/press/transparency/2023/CyberGhost_Transparency_Report.pdf.보관됨: Wayback Machine 스냅샷
2. European Digital Rights (EDRi). 2009. Romanian Constitutional Court decision against data retention. 2026년 10월 18일에 https://edri.org/our-work/edrigramnumber7-23romania-decision-data-retention/에서 검색됨.보관됨: Wayback Machine 스냅샷
3. European Digital Rights (EDRi). 2014. Romania: The aftermath of the second CCR data retention ruling. 2026년 10월 18일에 https://edri.org/our-work/romania-aftermath-of-second-ccr-data-retention-ruling/에서 검색됨.보관됨: Wayback Machine 스냅샷
4. Dark Reading Staff. 2021. ExpressVPN Acquired By Kape Technologies for $936 Million. https://www.darkreading.com/perimeter/expressvpn-acquired-by-kape-technologies-for-936-million.보관됨: Wayback Machine 스냅샷
5. A. Ailoaiei. 2024. CyberGhost VPN Announces Completion of Second Independent Audit Conducted By Big Four Firm. CyberGhost Privacy Hub (2024년 3월 6일). https://www.cyberghostvpn.com/privacyhub/privacy-audit-2024/.보관됨: Wayback Machine 스냅샷
6. S. Raath. 2025. Third Deloitte Romania Audit Verifies Our Commitment to Privacy. CyberGhost Privacy Hub (2025년 12월 8일). https://www.cyberghostvpn.com/privacyhub/privacy-audit-2025/.보관됨: Wayback Machine 스냅샷
7. CyberGhost VPN. 2024. 30013 ISAE 3000 CyberGhost VPN Report. 2026년 10월 18일에 http://assets.cyberghostvpn.com/files/cg/30013_ISAE_3000_CyberGhost_VPN_report.pdf에서 검색됨.
8. Defense. 2025. The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ. https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.보관됨: Wayback Machine 스냅샷

이 페이지의 리소스

저희 연구의 차트 및 참고 이미지를 무료로 확인하고 공유하세요.

• 

• CyberGhost 보안PDF · 0.7 MB

자주 묻는 질문

전체안전 및 개인정보 보호작동 방식설정 및 지원가격

CyberGhost는 실제로 내 데이터를 맡겨도 안전한가요?

네. CyberGhost의 신뢰 점수는 81/100점이며, 기본적으로 AES-256 암호화를 사용하고, 5, 9, 14 Eyes 동맹 바깥의 루마니아 관할권에서 운영됩니다. CyberGhost는 Deloitte Romania가 무로그 구성을 검토했다고 밝히고 있지만, 보고서는 대부분 고객에게만 제공됩니다.

CyberGhost의 개인정보 보호 주장에 루마니아 관할권이 왜 중요한가요?

루마니아에는 의무적인 데이터 보관 법이 없으며, 2009년과 2014년 두 차례 EU 데이터 보관 지침을 거부했습니다. 5, 9, 14 Eyes 정보 공유 체계 바깥에 있다는 것은 외국 기관이 파트너 협정을 통해 CyberGhost에 강제할 수 없다는 뜻입니다. 그래도 루마니아 당국은 유효한 법원 명령이 필요하며, CyberGhost는 저장하지 않는 데이터는 넘길 수 없다고 밝히고 있습니다.

CyberGhost에 데이터 유출이나 보안 사고가 있었나요?

CyberGhost가 보고한 CyberGhost VPN 인프라의 확인된 침해 사례는 찾지 못했습니다. 한 위협 인텔리전스 업체가 CyberGhost와 관련된 2023년 데이터베이스 덤프를 주장했지만, 독립적인 확인이나 CyberGhost의 공개는 없어 확정된 사실로 보지 않습니다.

CyberGhost의 보안 주장을 뒷받침하는 암호화와 프로토콜은 무엇인가요?

CyberGhost는 기본적으로 AES-256-GCM 암호화를 사용하며 네 가지 프로토콜을 지원합니다. 대부분의 플랫폼에서 기본값인 WireGuard(ChaCha20), OpenVPN UDP/TCP, 모바일용 IKEv2/IPsec, 그리고 레거시 L2TP/IPsec 옵션입니다. 전방향 비밀성 덕분에 세션 키는 매번 새로 생성되므로, 하나의 세션 키가 노출되어도 이전 트래픽은 드러나지 않습니다.

독립적인 감사 기관이 CyberGhost의 무로그 정책을 검증했나요?

부분적으로 그렇습니다. CyberGhost는 Deloitte Audit Romania가 VPN 서버와 무로그 통제를 세 차례(2022년, 2024년 5월, 2026년 2월) 검토했다고 밝혔습니다. 2024년 보고서는 ISAE 3000(개정판)에 따른 제한적 확인 보고서로 명명되어 있습니다. 각 감사는 CyberGhost가 의뢰한 특정 시점의 검토이며, CyberGhost는 발췌본을 공개하는 대신 전체 보고서를 고객에게 제공합니다. 또한 2011년부터 연간 투명성 보고서를, 2020년부터 분기별 보고서를 발행해 왔습니다.

CyberGhost는 활동을 기록하지 않는다면 실제로 어떤 정보를 수집하나요?

CyberGhost는 결제를 위한 계정 이메일과 결제 정보, 앱 분석을 위한 대략적인 기기 유형, 그리고 문제 해결에만 사용하는 익명의 집계된 연결 시도만 수집한다고 합니다. 공개된 개인정보 보호정책에 따르면 검색 기록, DNS 쿼리, 할당된 IP 주소, 타임스탬프, 세션 길이는 명시적으로 저장하지 않습니다.

CyberGhost의 킬 스위치가 실제로 나를 보호하고 있는지 어떻게 확인하나요?

Windows나 macOS에서 CyberGhost 서버에 연결한 뒤, 세션 도중 네트워크 연결을 강제로 끊어 보세요. 킬 스위치는 시스템 수준에서 작동하며, 방화벽 규칙을 수정해 어떤 패킷도 터널 밖으로 나가지 않게 합니다. Windows, macOS, iOS, Android, Linux 앱에서 모두 사용할 수 있습니다. 설정 후 직접 누출 검사를 실행해 연결이 끊어지는 동안 IPv4, IPv6, WebRTC 누출이 없는지 확인하세요.

CyberGhost에서 DNS나 IPv6 트래픽이 누출되면 어떻게 되나요?

정상적인 사용에서는 일어나지 않아야 합니다. CyberGhost는 자체 개인 DNS 리졸버를 운영하므로 쿼리가 ISP나 Google, Cloudflare 같은 제3자에게 전달되지 않습니다. 또한 기본적으로 IPv6 트래픽을 터널로 보내는 대신 전면 차단하여, 저렴한 VPN이 흔히 놓치는 누출 경로를 막습니다. 누출이 의심되면 연결 상태에서 표준 누출 탐지 도구를 실행해 확인하세요.

CyberGhost를 소유한 Kape Technologies는 개인정보 보호 측면에서 우려 요소가 있나요?

CyberGhost의 영국 기반 모회사 Kape Technologies는 2017년 CyberGhost를 인수하기 전에 Crossrider였으며, Crossrider는 과거 애드웨어와 관련이 있었습니다. CyberGhost는 팀과 인프라가 여전히 루마니아에 있다고 밝히고 있습니다. Kape는 ExpressVPN, Private Internet Access, ZenMate도 소유하고 있어, 주요 VPN 브랜드 여러 개가 같은 소유주를 공유합니다.

CyberGhost의 보안 프로필은 NordVPN 및 ExpressVPN과 비교해 어떤가요?

당사 신뢰 점수 기준으로 CyberGhost는 22개 중 #7위이며, 이는 공개된 제3자 테스트를 종합한 결과입니다. NordVPN은 #1위, ExpressVPN은 #2위입니다. 세 업체 모두 일부 제3자 감사 자료를 공개했고(CyberGhost는 Deloitte Romania가 무로그 구성을 검토했다고 밝힘, NordVPN은 Cure53 평가를 공개, ExpressVPN은 KPMG 확인 보고서와 Cure53 감사 보유), AES-256 암호화와 킬 스위치를 제공합니다. 다만 CyberGhost는 45일 환불 기간도 제공합니다.

CyberGhost의 보안 기능으로 몇 대의 기기를 보호할 수 있나요?

CyberGhost 계정 하나로 7대의 기기를 동시에 연결할 수 있으며, 각 기기는 동일한 킬 스위치, AES-256 암호화, DNS 누출 방지를 받습니다. NordVPN은 10대, ExpressVPN은 요금제에 따라 10~14대를 지원합니다. CyberGhost는 여기에 더해 NoSpy 서버를 제공하는데, 제3자 개입 없이 회사가 소유한 루마니아 인프라로, 민감한 용도를 위한 추가 보호 계층입니다.

구독 후 CyberGhost의 개인정보 보호 주장을 신뢰할 수 없다면 어떻게 하나요?

CyberGhost는 모든 요금제에 45일 환불 보장을 제공하므로, 구매를 확정하기 전에 킬 스위치를 테스트하고, 누출 탐지 도구를 실행하고, 분기별 투명성 보고서를 직접 검토할 시간이 충분합니다. 무로그 주장이 직접 검증을 통과하지 못한다면 그 기간 안에 해지할 수 있습니다.

당국이 요청하면 CyberGhost가 내 데이터를 넘겨야 하나요?

유효한 루마니아 법원 명령이 있어야만 가능하며, 그럼에도 CyberGhost는 검색, 연결, DNS 데이터를 저장하지 않기 때문에 넘길 것이 없다고 밝히고 있습니다. CyberGhost는 법 집행 요청과 DMCA 통지를 상세히 담은 분기별 투명성 보고서를 발행하며, 사용자 데이터가 존재하지 않기 때문에 이에 대응해 데이터를 제공한 적이 없다고 밝히고 있습니다.