NordVPN는 안전한가요? 감사, 암호화 및 개인정보 보호 검토

NordVPN는 안전한가요?

네. NordVPN는 AES-256 암호화를 사용하며, 개인정보 보호에 우호적인 파나마 관할권에서 운영됩니다. Cure53이 앱과 서버를 검토했고, 노로그 정책은 Deloitte의 감사를 받았다고 밝히고 있지만 공개적으로 읽을 수 있는 감사인 보고서는 없습니다. 2018년의 단일 서버 사고로는 사용자 데이터가 전혀 노출되지 않았습니다. NordVPN는 이후 전체 인프라를 RAM 전용 서버로 전환하여 보안 태세를 크게 강화했습니다.

이 페이지에서는 보안을 깊이 있게 다룹니다. 전반적인 서비스 성능과 가격은 NordVPN 리뷰를 참고하세요.

2018년 서버 사고: 실제로 무슨 일이 있었나

2018년 3월, 권한 없는 제3자가 핀란드에 있는 NordVPN 서버 한 대에 접근했습니다. TechCrunch에 대한 NordVPN의 발표[1]에 따르면, 공격자는 데이터센터 제공업체가 방치한 안전하지 않은 원격 관리 시스템을 악용했으며, NordVPN은 그런 시스템이 존재하는지조차 알지 못했습니다.

공격자는 서버 자체에는 접근했지만 사용자 자격 증명, 검색 활동, 계정 정보에는 접근하지 못했습니다. NordVPN의 노로그 정책 덕분에 서버에는 활동 로그가 없었고, 따라서 훔칠 것도 없었습니다.

NordVPN은 내부 감사 중 침해 사실을 발견했고, 2019년 10월에 이를 공개했습니다. 이 공개가 늦어진 점은 비판을 받았습니다. 회사는 이 공백을 인정했고, 이를 대대적인 인프라 변경의 계기로 삼았습니다.

NordVPN의 대응

NordVPN은 즉시 핀란드 데이터센터와의 계약을 해지했습니다. 이후 회사는 세 가지 주요 조치를 시작했습니다.

RAM 전용 서버 전환. NordVPN은 전체 네트워크를 디스크리스(RAM 전용) 서버로 옮겼습니다. 이 서버들은 데이터를 영구적으로 저장할 수 없습니다. 재부팅할 때마다 모든 것이 지워집니다. 서버를 물리적으로 압수당하더라도 유용한 정보는 나오지 않습니다.

버그 바운티 프로그램. NordVPN은 HackerOne과 협력하여 독립 보안 연구자들이 자사 시스템을 지속적으로 점검하도록 했습니다. 연구자들은 공격자보다 먼저 취약점을 발견하면 보상을 받습니다.

독립 감사 프로그램. NordVPN은 정기적인 제3자 보안 감사를 실시하겠다고 밝혔습니다. 이를 통해 일회성 보증이 아닌 지속적인 외부 책임성이 마련되었습니다.

2018년 사고로 수천 대 중 한 대의 서버가 영향을 받았고, 사용자 데이터는 유출되지 않았습니다. 하지만 NordVPN은 이를 인프라를 근본부터 재구축하는 계기로 삼았습니다. 이러한 대응은 사고 자체보다 더 중요합니다.

NordVPN 감사 타임라인

검증되지 않은 신뢰 주장은 의미가 없습니다. NordVPN은 Cure53의 보안 평가 결과를 공개했고, 노로그 보증 점검을 의뢰했다고 밝히고 있습니다.

Cure53 보안 평가

베를린에 본사를 둔 보안 업체 Cure53은 NordVPN을 여러 차례 검토했습니다. 2022년 78월에 진행된 데스크톱 및 모바일 앱과 부가기능에 대한 검토(2023년 2월 22일자 보고서)에서는 22건의 문제를 발견했으며, 그중 6건이 보안 취약점이었고 이 가운데 1건은 치명적(Linux 루트 권한 상승)으로 평가되었습니다[2]. 2022년 910월에 진행된 서버 및 인프라 검토(2023년 2월 5일자 보고서)에서는 11건의 문제와 1건의 보안 취약점을 발견했으며, 서버가 비교적 안정적인 보안 기반을 갖추고 있다고 결론지었습니다[3]. 2024년 6~8월에 진행된 앱, 브라우저 확장 프로그램 및 기능에 대한 Cure53 검토에서는 31건의 문제를 발견했으며, 그중 22건이 보안 취약점이었고 치명적인 것은 없었습니다[4]. 이는 TechRadar의 2025년 3월 보도에 따른 것입니다.

NordVPN의 노로그 보증 점검

NordVPN은 2018년 이후 여섯 차례의 노로그 보증 점검을 의뢰했다고 밝혔으며, 가장 최근 점검은 2025년 말 Deloitte가 수행했습니다. 이는 TechRadar가 보도한 내용[5]입니다. 이 점검들은 NordVPN이 의뢰한 것이며, 저희는 공개적으로 읽을 수 있는 감사인 보고서를 찾지 못했습니다. 따라서 이를 NordVPN 자체의 주장으로 보시기 바랍니다.

결론은 다음과 같습니다. NordVPN의 서버 인프라는 노로그 정책에 부합하게 운영됩니다. 회사는 연결 타임스탬프, 세션 지속 시간, IP 주소, 검색 데이터, 대역폭 사용량을 저장하지 않는다고 밝히고 있습니다.

지속적인 투명성

NordVPN은 정부 데이터 요청에 관한 정기 투명성 보고서를 발행한다고 밝히고 있습니다. 저희는 해당 보고서를 독립적으로 확인할 수 없었으므로, 그 내용은 NordVPN 자체의 주장으로 보시기 바랍니다.

파나마 관할권이 사용자 개인정보를 보호합니다

NordVPN의 모회사인 Tefincom S.A.는 파나마 법률에 따라 운영됩니다. 이는 세 가지 구체적인 이유에서 중요합니다.

의무적 데이터 보관 없음. 파나마에는 VPN 제공업체가 사용자 활동이나 연결 데이터를 저장하도록 요구하는 법이 없습니다. 유럽과 북미의 많은 국가는 6~24개월의 보관 기간을 의무화하고 있지만, 파나마는 그렇지 않습니다.

정보 공유 동맹 밖. 파나마는 Five Eyes, Nine Eyes, Fourteen Eyes 감시 협정 밖에 있습니다. 이 동맹들은 회원국 간에 정보 데이터를 공유합니다. 미국, 영국, 캐나다, 호주에 기반을 둔 VPN은 강제 공개 위험에 노출될 수 있습니다. NordVPN은 그렇지 않습니다.

데이터 요청에 대한 실질적 효과. 외국 법 집행기관은 자국 법 체계를 통해 파나마 기업에 기록 제출을 강제할 수 없습니다. 반드시 파나마 법원을 통해야 합니다. 설령 그렇게 하더라도 NordVPN은 제출할 로그를 보관하지 않습니다. 이 관할권은 기술적 장벽 위에 구조적 장벽을 추가합니다.

AES-256 암호화와 프로토콜 옵션

NordVPN은 모든 트래픽을 AES-256으로 암호화합니다. AES-256은 NIST가 FIPS 197[6]로 발표한 고급 암호화 표준의 키 길이입니다. 알려진 어떤 공격으로도 현실적인 시간 안에 AES-256을 무차별 대입으로 깰 수 없습니다. 현재의 컴퓨팅 성능으로는 수십억 년이 걸릴 것으로 추정됩니다.

NordLynx 프로토콜

NordLynx는 NordVPN의 기본 프로토콜입니다. 이는 WireGuard를 기반으로 하며, 약 4,000줄의 간결한 코드베이스를 통해 높은 속도를 제공합니다. WireGuard 단독으로는 개인정보 보호 측면의 한계가 있습니다. 서버에 고정 IP 주소를 저장해야 하기 때문입니다.

NordVPN은 이를 이중 NAT(네트워크 주소 변환) 시스템으로 해결했습니다. 이중 NAT는 각 세션에 동적 인터페이스 주소를 할당합니다. 세션이 끝나면 그 주소는 사라집니다. 이를 통해 WireGuard의 속도 이점을 얻으면서도 개인정보 보호 측면의 단점은 피할 수 있습니다.

NordLynx는 WireGuard를 기반으로 하여 프로토콜 오버헤드를 낮게 유지합니다. 실제 속도는 연결 환경과 서버 거리에 따라 달라집니다. 이 프로토콜은 병목 없이 스트리밍, 게이밍, 대용량 다운로드를 처리합니다.

OpenVPN

OpenVPN은 검증된 프로토콜을 선호하는 사용자를 위해 계속 제공됩니다. TCP와 UDP 모두에서 동작합니다. TCP는 제한적인 네트워크에서 안정성을 제공하고, UDP는 일반적인 용도에서 더 빠른 속도를 제공합니다. OpenVPN의 오픈소스 코드베이스는 20년 동안 보안 커뮤니티에 의해 광범위하게 감사되어 왔습니다.

IKEv2/IPsec

IKEv2/IPsec은 모바일 기기에서 잘 작동합니다. Wi-Fi와 셀룰러 네트워크를 전환할 때 빠르게 재연결됩니다. NordVPN은 이 프로토콜을 AES-256 암호화와 함께 제공합니다. 이 프로토콜은 네트워크를 자주 옮겨 다니는 사용자에게 적합합니다.

킬 스위치는 연결이 끊길 때 데이터 유출을 막습니다

VPN 연결은 끊어질 수 있습니다. 연결이 끊어지면 보호되지 않은 트래픽이 ISP로 새어 나갈 수 있습니다. NordVPN의 킬 스위치는 이를 방지합니다.

킬 스위치는 VPN 연결을 지속적으로 감시합니다. 터널이 끊어지면 모든 인터넷 트래픽을 즉시 차단합니다. VPN이 다시 연결될 때까지 어떤 데이터도 기기 밖으로 나가지 않습니다. NordVPN은 두 가지 킬 스위치 모드를 제공합니다.

앱 수준 킬 스위치. VPN 연결이 끊어지면 특정 앱의 인터넷 접속을 차단합니다. 다른 앱은 정상적으로 계속 작동합니다.

시스템 수준 킬 스위치. 기기 전체의 모든 인터넷 트래픽을 차단합니다. VPN 없이는 아무것도 통과하지 못합니다. 개인정보 보호가 중요한 작업에는 더 안전한 옵션입니다.

DNS 누출 방지는 쿼리를 비공개로 유지합니다

DNS 요청은 도메인 이름을 IP 주소로 변환합니다. 보호 장치가 없으면 VPN에 연결된 상태에서도 이 요청이 ISP로 누출될 수 있습니다. NordVPN은 모든 DNS 쿼리를 자체 암호화 DNS 서버를 통해 라우팅합니다.

이를 통해 ISP가 어떤 웹사이트를 방문하는지 보지 못하게 합니다. 또한 제3자 DNS 제공업체가 검색 패턴을 기록하는 것도 차단합니다. 독립적인 DNS 누출 테스트에서도 NordVPN의 보호 기능이 광고대로 작동한다는 결과가 꾸준히 확인되고 있습니다.

위협 보호는 악성코드와 트래커를 차단합니다

위협 보호(Threat Protection)는 네트워크 수준에서 작동합니다. 악성 도메인이 로드되기 전에 차단합니다. URL에서 추적 매개변수를 제거합니다. 악성코드 다운로드를 식별하여 중단합니다.

위협 보호는 VPN 서버에 연결되어 있지 않을 때도 작동합니다. 지원되는 플랫폼에서는 독립적인 보안 계층으로 기능합니다. 독립 보안 기관인 AV-TEST는 위협 보호의 악성코드 차단 기능을 인증했습니다.

이 기능은 다운로드 중 파일을 검사합니다. 끊임없이 업데이트되는 위협 데이터베이스와 URL을 대조합니다. 악성코드 배포 경로로 자주 쓰이는 침입성 광고도 차단합니다.

참고 자료

1. Z. Whittaker. 2019. NordVPN confirms it was hacked. TechCrunch (2019년 10월 21일). 2026년 10월 16일에 https://techcrunch.com/2019/10/21/nordvpn-confirms-it-was-hacked/에서 검색됨.보관됨: Wayback Machine 스냅샷
2. Cure53. 2023. Pentest Report Nordvpn Apps Addons. 2026년 10월 16일에 https://cure53.de/pentest-report_nordvpn-apps-addons.pdf에서 검색됨.보관됨: Wayback Machine 스냅샷
3. Cure53. 2023. Pentest Report Nordvpn Infra. 2026년 10월 16일에 https://cure53.de/pentest-report_nordvpn-infra.pdf에서 검색됨.보관됨: Wayback Machine 스냅샷
4. C. Castro. 2025. NordVPN reacts to results from its latest security audit. TechRadar (2025년 3월 7일). 2026년 10월 16일에 https://www.techradar.com/vpn/nordvpn-put-under-scrutiny-the-security-of-all-apps-here-are-the-results에서 검색됨.
5. M. Gill. 2026. Independent auditors confirm NordVPN never stores your data – for the 6th time. TechRadar (2026년 2월 3일). 2026년 10월 16일에 https://www.techradar.com/vpn/vpn-services/independent-auditors-confirm-nordvpn-never-stores-your-data-for-the-6th-time에서 검색됨.보관됨: Wayback Machine 스냅샷
6. N. I. O. S. A. Technology. 2023. Advanced Encryption Standard (AES). Federal Information Processing Standard (FIPS) 197. U.S. Department of Commerce. DOI: https://doi.org/10.6028/NIST.FIPS.197-upd1.보관됨: Wayback Machine 스냅샷

이 페이지의 리소스

저희 연구의 차트 및 참고 이미지를 무료로 확인하고 공유하세요.

• 

• NordVPN 보안PDF · 0.7 MB

자주 묻는 질문

전체안전 및 개인정보 보호작동 방식가격설정 및 지원

NordVPN는 실제로 안전하게 사용할 수 있나요?

네. NordVPN은 AES-256으로 트래픽을 암호화하고, 데이터 보관 의무가 없는 파나마 관할권에서 운영되며, Cure53이 앱과 인프라를 평가했고, Deloitte가 노로그 정책을 감사했다고 밝히고 있습니다. 유일한 보안 사고였던 2018년 핀란드의 단일 서버 침해에서는 훔칠 로그가 존재하지 않았기 때문에 사용자 자격 증명이나 검색 데이터가 전혀 노출되지 않았습니다.

NordVPN의 2018년 침해에서 정확히 무슨 일이 있었고, 지금 걱정해야 할까요?

공격자는 핀란드 데이터센터가 NordVPN의 모르는 사이에 활성 상태로 남겨둔 원격 관리 도구를 악용하여, 수천 대 중 한 대의 서버에 접근했습니다. 해당 서버에는 사용자 자격 증명, 검색 로그, 계정 데이터가 없었습니다. NordVPN은 2019년 10월에 이를 공개한 뒤, 전체 네트워크를 RAM 전용 서버로 전환하고, HackerOne 버그 바운티를 추가했으며, 정기적인 제3자 감사를 약속했습니다.

어떤 독립 기관이 NordVPN의 보안을 감사했나요?

Cure53은 NordVPN의 앱과 부가기능(2023년 2월자 보고서), 서버 및 인프라(2023년 2월), 앱, 확장 프로그램 및 기능(2024년 6~8월)을 평가했습니다. 별도로 NordVPN은 Deloitte 등으로부터 노로그 보증 점검을 의뢰했다고 밝히고 있지만, 저희는 이에 대한 공개적으로 읽을 수 있는 감사인 보고서를 찾지 못했습니다.

NordVPN는 왜 파나마에서 운영되며, 그 관할권은 실제로 무엇을 보호하나요?

NordVPN의 모회사인 Tefincom S.A.는 파나마에 기반을 두고 있습니다. 이 나라에는 의무적인 데이터 보관 법이 없고, Five Eyes, Nine Eyes, Fourteen Eyes 정보 공유 동맹 밖에 있기 때문입니다. 외국 법 집행기관은 기록을 강제로 얻기 위해 파나마 법원에 신청해야 하며, 그렇게 하더라도 NordVPN은 넘겨줄 로그를 보관하지 않는다고 밝히고 있습니다.

NordVPN는 어떤 암호화를 사용하며, 실제로 깨질 수 있나요?

NordVPN은 모든 프로토콜에서 NIST가 표준화한 고급 암호화 표준의 키 길이인 AES-256을 사용합니다. 알려진 어떤 방법으로도 현실적인 시간 안에 AES-256을 무차별 대입으로 깰 수 없습니다. 현재 추정에 따르면 최신 컴퓨팅 성능으로도 무차별 대입 시도에는 수십억 년이 걸리므로, 오늘날 키를 무차별 대입하는 것은 현실적인 공격이 아닙니다.

NordLynx란 무엇이며, WireGuard의 주요 개인정보 보호 결함을 어떻게 해결하나요?

NordLynx는 NordVPN의 기본 프로토콜입니다. 속도를 위해 WireGuard의 간결한 코드베이스를 기반으로 하지만, WireGuard의 핵심 약점, 즉 서버에 사용자별 고정 IP 주소를 저장해야 하는 문제를 해결하도록 수정되었습니다. NordVPN의 이중 NAT 시스템은 각 세션에 임시 주소를 할당하고, 연결이 끊어지면 그 주소가 사라지므로 지속적인 식별자를 남기지 않고도 WireGuard의 성능을 제공합니다.

연결이 끊어질 때 NordVPN의 킬 스위치는 실제로 데이터 유출을 어떻게 막나요?

NordVPN의 킬 스위치는 VPN 터널을 지속적으로 감시하며, 터널이 끊어지는 즉시 모든 인터넷 트래픽을 차단합니다. 따라서 연결이 복구될 때까지 보호되지 않은 상태로 기기를 벗어나는 데이터는 없습니다. 선택한 앱만 차단하는 앱 수준 모드와 기기의 모든 트래픽을 차단하는 시스템 수준 모드를 제공합니다. 후자는 금융 데이터 처리처럼 개인정보 보호가 중요한 세션에 더 엄격한 옵션입니다.

NordVPN는 ISP에 검색 내역이 노출될 수 있는 DNS 누출로부터 보호하나요?

네. NordVPN은 ISP의 기본 리졸버 대신 자체 암호화 DNS 서버를 통해 모든 DNS 쿼리를 라우팅하므로, 제공업체나 제3자 DNS 서비스가 어떤 사이트를 방문하는지 기록하지 못하도록 합니다. 연결된 상태에서 DNS 누출 테스트를 실행하여 작동 여부를 확인할 수 있습니다.

NordVPN의 위협 보호는 무엇을 차단하며, VPN이 연결되지 않은 상태에서도 작동하나요?

위협 보호는 악성 도메인이 로드되기 전에 차단하고, URL에서 추적 매개변수를 제거하며, 다운로드된 파일의 악성코드를 검사합니다. 모두 네트워크 수준에서 이루어집니다. VPN 서버에 연결되어 있지 않아도 독립적인 보안 계층으로 기능합니다. 독립 보안 기관인 AV-TEST가 악성코드 차단 기능을 인증했습니다.

비슷한 가격대에서 NordVPN의 보안은 ExpressVPN 및 ProtonVPN과 어떻게 비교되나요?

세 서비스 모두 비슷한 가격대에서 시작하며(NordVPN는 $3.09/월부터, ExpressVPN은 $2.99/월부터, ProtonVPN은 $3.49/월부터), 모두 30일 환불 보장을 제공합니다. 다만 감사의 깊이는 다릅니다. NordVPN의 Cure53 평가는 ExpressVPN의 KPMG 보증 보고서 및 Cure53 감사와 함께 비교할 수 있으며, ProtonVPN은 스위스 관할권에서 운영되고 노로그 정책은 Securitum의 감사를 받았다고 밝히고 있습니다. NordVPN는 공개된 제3자 테스트를 집계한 저희 신뢰 점수에서 22개 중 #1위이며, ExpressVPN은 #2위, ProtonVPN은 #5위입니다.

구매하기 전에 NordVPN의 보안 주장을 위험 부담 없이 테스트할 방법이 있나요?

네. NordVPN은 모든 요금제에 30일 환불 보장을 제공하므로, 결정을 내리기 전에 킬 스위치, DNS 누출 방지, 위협 보호를 직접 테스트할 수 있는 충분한 기간이 주어집니다. 이 기간 동안 NordVPN의 보안 기능이 직접 검증해 보았을 때 기대에 미치지 못하면, 장기 약정 없이 환불을 요청할 수 있습니다.

하나의 NordVPN 계정으로 여러 기기를 보호하면 개인정보 보호 기능이 약해지나요?

아니요. NordVPN 계정 하나로 10대의 기기를 동시에 연결할 수 있으며, 각 연결은 동일한 AES-256 암호화, 킬 스위치, DNS 누출 방지를 독립적으로 적용받습니다. 기기를 추가한다고 보안이 약해지지 않습니다. NordVPN의 노로그 정책은 기기 수와 관계없이 연결된 모든 기기에 균일하게 적용됩니다.

NordVPN의 킬 스위치가 실제로 보호해 주는지 신뢰하기 전에 어떻게 확인할 수 있나요?

NordVPN 서버에 연결한 뒤, 세션 도중 Wi-Fi를 끊거나 이더넷 케이블을 뽑아 연결을 강제로 끊어 보세요. 작동하는 킬 스위치는 보호되지 않은 연결로 되돌아가지 않고 모든 인터넷 트래픽을 즉시 차단합니다. NordVPN의 시스템 수준 킬 스위치는 기기의 모든 트래픽을 차단하고, 앱 수준 버전은 선택한 앱만 제한하므로, 의존하려는 모드를 테스트하세요.

NordVPN의 2018년 같은 서버 사고가 재발할까 걱정된다면 어떻게 해야 하나요?

사용자 측에서 할 조치는 거의 없습니다. NordVPN의 대응이 근본 원인을 해결했기 때문입니다. 회사는 재부팅할 때마다 데이터를 지우는 RAM 전용 서버로 전체 네트워크를 전환했고, 지속적인 취약점 테스트를 위해 HackerOne 버그 바운티를 추가했으며, 정기적인 제3자 감사를 약속했습니다. 걱정된다면 NordVPN이 공개한 투명성 보고서를 확인해 보세요. 넘겨줄 데이터가 없다는 내용을 볼 수 있습니다.