Surfshark는 안전한가? 보안, 개인정보 보호 및 감사 분석

Surfshark는 안전한가? 직접적인 평가

Surfshark는 신뢰도 점수 85/100을 획득했습니다. 네덜란드 관할권 하에서 운영되며 AES-256-GCM 암호화를 사용하고 엄격한 무로그 정책을 유지하며 Deloitte가 감사했다고 밝혔습니다. 100개 이상 국가에 3,200개 이상의 서버를 갖추고 있으며 킬 스위치 보호, DNS 유출 방지 및 RAM 전용 서버 인프라를 제공합니다. Surfshark는 대부분의 사용자에게 안전합니다.

관할권 및 데이터 요청의 의미

Surfshark는 2021년 법적 본사를 영국령 버진아일랜드에서 네덜란드로 이전했습니다. 네덜란드는 EU 내에 위치하지만 VPN 제공자에게 특정한 이점을 제공합니다. 네덜란드 법은 VPN 회사에 사용자 데이터 보유를 요구하지 않습니다.

네덜란드는 9 Eyes 정보 공유 동맹에 속합니다. 이는 일부 개인정보 보호 옹호자들의 우려를 초래합니다. 그러나 동맹 멤버십은 제공자가 정부가 요청할 수 있는 데이터를 저장할 경우에만 중요합니다. 검증된 무로그 정책은 이 위험을 완전히 무효화합니다.

네덜란드 당국이 유효한 법적 요청을 발행하면, Surfshark는 보유하고 있는 것만 제출할 수 있습니다. 투명성 보고서에 따르면, Surfshark는 정부 요청을 받았고 데이터 전송 없이 준수했습니다. 회사는 물리적으로 열람 기록, 연결 타임스탬프 또는 IP 주소 로그를 제공할 수 없습니다.

독립적 감사 이력

Deloitte 무로그 보증

Surfshark는 2023년 1월에 공개되고 2025년 6월에 보고된 Deloitte의 두 가지 무로그 보증 감사를 받았다고 주장합니다. Surfshark는 두 감사를 모두 의뢰했으며, 2025년 보고서는 스트리밍 인프라를 포함한 명시된 범위 제외 사항이 있는 시점 기준입니다. 2023년 보고서는 공개적으로 찾을 수 없었으므로, 무로그 보증을 Surfshark 자신의 진술로 취급하십시오.

보안 테스트

Cure53은 독일의 사이버보안 회사로, 2018년 11월 Surfshark의 Chrome 및 Firefox 확장 프로그램을 검토했습니다(5일간의 화이트박스 침투 테스트 및 코드 감사). 보안 관련 발견 사항 2가지를 보고했습니다: 확장 프로그램 외부의 낮은 심각도 문제 1건과 정보 수준의 약점 1건. SecuRing은 Surfshark의 웹, 데스크톱 및 모바일 앱과 브라우저 플러그인에 대한 침투 테스트(2025년 2월 24일4월 3일)를 수행했으며, 중대한 취약점을 발견하지 못했습니다. 또한 네트워크 인프라 테스트(2025년 12월 1일10일)에서는 중대 위험 취약점은 발견되지 않았지만, 중간 수준의 위험 발견 사항 1건(부적절한 SSL/TLS 설정)이 있었습니다. Surfshark의 Android 앱은 2025년 1월 Google의 MASA 평가도 통과했습니다. 이러한 감사들은 모두 Surfshark의 의뢰 및 비용으로 수행되었습니다.

이러한 감사가 의미하는 바

Surfshark는 대부분의 제공업체보다 더 많은 독립적 보안 문서를 공개하지만, 모든 문서는 Surfshark가 의뢰한 것입니다. 보안 테스트(Cure53, SecuRing, Google MASA)는 기술적 방어를 검토하는 반면, Deloitte 무로그 작업은 Surfshark의 로깅 관행에 대한 자체 설명입니다.

로깅 정책 세부 사항

Surfshark의 개인정보 보호 정책은 회사가 수집하는 것과 수집하지 않는 것을 정확히 명시합니다. 이 구분은 어떤 마케팅 주장보다 더 중요합니다.

Surfshark가 저장하지 않는 것

• 열람 기록 또는 트래픽 대상
• VPN에 연결하는 데 사용된 IP 주소
• 연결 또는 연결 해제 시간을 표시하는 세션 타임스탬프
• 네트워크 트래픽 볼륨 또는 대역폭 소비
• 연결된 동안 수행된 DNS 쿼리

Surfshark가 수집하는 것

Surfshark는 계정 관리를 위해 이메일 주소와 암호화된 암호를 저장합니다. 제3자 결제 제공자가 처리한 청구 정보를 수집합니다. 회사는 성능 개선을 위해 익명화된 진단 데이터와 충돌 보고서를 수집합니다.

Surfshark는 또한 집계된 연결 빈도 데이터를 추적합니다. 이는 사용자가 하루에 몇 번 연결하는지 알고 있지만 언제 또는 어디서인지는 알 수 없습니다는 의미입니다. 이 데이터는 개별 열람 세션 또는 방문한 웹사이트를 식별할 수 없습니다.

RAM 전용 서버 인프라

모든 3,200개 이상의 Surfshark 서버는 휘발성 RAM 메모리에서만 실행됩니다. 이는 모든 서버가 재부팅 시 모든 데이터를 자동으로 제거한다는 의미입니다. 물리적 서버 압수도 사용 가능한 정보를 생성하지 않을 것입니다. 이 아키텍처는 Surfshark 무로그 주장을 정책 기반이 아닌 기술적으로 시행 가능하게 만듭니다.

암호화 표준 및 프로토콜

Surfshark는 AES-256-GCM 암호화를 기본 암호로 사용합니다. 이 표준은 전 세계 기밀 정부 통신을 보호합니다. 현재 컴퓨팅 기술로 AES-256을 깨뜨릴 수 있는 알려진 공격은 없습니다.

사용 가능한 프로토콜

프로토콜	속도	보안 수준	최적 용도
WireGuard	가장 빠름	높음	일상적인 열람, 스트리밍
OpenVPN UDP	중간	매우 높음	최대 호환성
OpenVPN TCP	느림	매우 높음	제한적인 네트워크
IKEv2	빠름	높음	모바일 장치

WireGuard는 대부분의 Surfshark 앱에서 기본 프로토콜로 사용됩니다. OpenVPN과 비교할 수 있는 보안을 유지하면서 대략 40% 더 빠른 속도를 제공합니다. Surfshark는 정적 IP 할당 주변의 알려진 개인정보 보호 제한을 해결하기 위해 WireGuard 상단에 이중 NAT 시스템을 추가합니다.

OpenVPN은 20년 이상의 추적 기록을 선호하는 사용자를 위해 계속 사용 가능합니다. UDP 및 TCP 변형 모두 데이터 채널 암호화 옆에 4096비트 RSA 핸드셰이크 키를 사용합니다.

킬 스위치 동작 및 DNS 유출 보호

Surfshark는 Windows, macOS, iOS, Android 및 Linux 애플리케이션에 킬 스위치를 포함합니다. VPN 연결이 예기치 않게 끊어지면 기능이 모든 인터넷 트래픽을 차단합니다. 이는 짧은 연결 해제 중에 실제 IP 주소가 유출되는 것을 방지합니다.

킬 스위치는 데스크톱 플랫폼에서 시스템 수준에서 작동합니다. 패킷이 암호화되지 않은 상태로 탈출하기 전에 네트워크 어댑터에서 트래픽을 가로챕니다. 모바일 구현은 OS 제약 조건 내에서 유사한 보호를 달성하기 위해 플랫폼별 API를 사용합니다.

DNS 유출 보호

Surfshark는 네트워크의 모든 서버에서 개인 DNS를 실행합니다. 모든 DNS 쿼리는 Surfshark 제어 리졸버로의 암호화된 터널을 통해 라우팅됩니다. 이는 ISP와 같은 제3자 DNS 제공자로부터의 DNS 유출 위험을 제거합니다.

dnsleaktest.com 및 ipleak.net의 독립적인 테스트는 Surfshark의 모든 프로토콜 옵션에서 일관되게 DNS 유출이 없음을 보여줍니다. IPv6 유출 보호는 기본적으로 활성화되어 IPv4 VPN 터널을 우회할 수 있는 IPv6 트래픽을 차단합니다.

과거 보안 사건

Surfshark는 2025년 초 현재 확인된 데이터 유출 또는 서버 침해를 겪지 않았습니다. Surfshark 인프라와 관련된 공개 유출 데이터베이스에 사용자 데이터가 나타나지 않았습니다.

2020년에 보안 연구원들은 Surfshark의 Windows 애플리케이션의 잠재적 취약점을 지적했습니다. 문제는 이론적으로 권한 상향을 허용할 수 있는 오래된 OpenSSL 라이브러리를 포함했습니다. Surfshark는 공개 후 48시간 이내에 패치를 출시했습니다. 야생에서의 악용은 문서화되지 않았습니다.

Cure53의 2018년 확장 프로그램 검토에서는 두 가지 보안 관련 발견 사항을 보고했는데, 하나는 낮음(Low) 심각도이고 하나는 정보 제공 목적이었습니다. Surfshark는 버그 바운티 프로그램이 문제를 조기에 포착하는 데 도움을 주었다고 평가합니다. 회사는 취약점을 책임감 있게 공개하는 외부 연구자에게 보상을 지급합니다.

Surfshark 특정 고유 보안 기능

CleanWeb

CleanWeb은 DNS 수준에서 광고, 추적자 및 악성코드 도메인을 차단합니다. 2023년에 사용자 기반 전체에서 10억 개 이상의 추적 시도를 방지했습니다. 기능은 별도의 브라우저 확장 설치 없이 작동합니다.

MultiHop (이중 VPN)

MultiHop은 동시에 서로 다른 국가의 2개 VPN 서버를 통해 트래픽을 라우팅합니다. 이는 두 번째 암호화 계층을 추가하고 트래픽 연관 공격을 상당히 어렵게 만듭니다. 사용자는 사전 설정 서버 쌍에서 선택하거나 사용자 정의 조합을 만들 수 있습니다.

Nexus 기술

Surfshark Nexus는 사용자를 단일 서버가 아닌 전체 서버 네트워크에 연결합니다. 트래픽은 한 서버를 통해 진입하고 SDN 라우팅을 사용하여 다른 서버를 통해 탈출할 수 있습니다. 이는 4,500+개 이상의 서버 전체에서 레이턴시를 줄이면서 IP 회전 및 로드 분배를 개선합니다.

Alternative ID

Alternative ID는 사용 가능한 이메일 주소와 온라인 페르소나를 생성합니다. 사용자는 실제 개인 정보를 노출하지 않고 서비스에 등록할 수 있습니다. 이 기능은 연결 수준 개인정보 보호에만 초점을 맞춘 경쟁자와 Surfshark를 분리합니다.

회전 IP

Surfshark는 VPN 세션을 연결 해제하지 않고 5~10분마다 보이는 IP 주소를 변경합니다. 연결이 활성 상태로 유지되면서 디지털 지문이 지속적으로 변합니다. 이는 웹사이트 전체에서 장기 추적을 상당히 어렵게 만듭니다.

이 페이지의 리소스

저희 연구의 차트 및 참고 이미지를 무료로 확인하고 공유하세요.

• 

• Is Surfshark Safe? Security, Privacy & Audit AnalysisPDF · 0.8 MB

자주 묻는 질문

전체안전 및 개인정보 보호작동 방식설정 및 지원

Surfshark는 정말 안전하게 사용할 수 있나요?

네, Surfshark는 VPN.com 신뢰 점수 85/100을 획득했습니다. 네덜란드 관할권에서 운영되며 AES-256-GCM 암호화를 사용하고, Surfshark는 Deloitte가 무로깅 정책을 감사했다고 말합니다. 4,500+개 이상의 서버 네트워크 전반의 RAM 전용 서버와 작동하는 킬 스위치와 결합하면, Surfshark는 대부분의 사용자에게 안전합니다.

Surfshark의 네덜란드 관할권이 정부 데이터 요청에 무엇을 의미하나요?

네덜란드는 9 Eyes 정보 공유 동맹에 속함에도 불구하고 VPN 회사에 사용자 데이터 보유를 요구하지 않습니다. Surfshark는 2021년 영국령 버진아일랜드에서 네덜란드로 법적 본사를 이전했습니다. 투명성 보고서는 정부 요청을 받았지만 데이터 전송 없이 준수했음을 보여줍니다. 검증된 무로그 정책이 전달할 것이 없기 때문입니다.

Deloitte가 Surfshark의 로그 미저장 정책에 대해 무엇이라고 말했나요?

Surfshark는 Deloitte가 2023년 1월에 발표되고 2025년 6월에 보고된 로그 미저장 보증 감시를 수행했다고 말합니다. 2025년 보고서는 Surfshark의 IT 시스템과 운영이 Surfshark 자체의 로그 미저장 정책 설명과 일치하는 모든 중요한 측면에서 준비되어 있다고 결론지었습니다. 이는 특정 시점의 평가이며, 스트리밍 인프라 및 기타 영역을 제외하고 있으며, Surfshark가 의뢰했습니다. 2023년 보고서는 공개적으로 찾을 수 없었습니다.

Cure53는 Surfshark 감사에서 무엇을 발견했나요?

Cure53은 독일 사이버보안 회사로서, 2018년 11월 Surfshark의 Chrome 및 Firefox 확장 프로그램을 검토했으며 두 가지 보안 관련 발견사항을 보고했습니다: 확장 프로그램 자체 외부의 낮은 심각도 문제 하나와 정보성 약점 하나입니다. 별개로, SecuRing의 2025년 Surfshark 앱 및 네트워크 인프라 침투 테스트는 중대한 취약점을 발견하지 못했습니다.

Surfshark는 실제로 사용자로부터 어떤 정보를 수집하나요?

Surfshark는 계정 관리를 위해 이메일 주소와 암호화된 암호를 저장하며, 제3자 결제 제공자를 통해 처리되는 청구 세부 정보도 수집합니다. 또한 익명화된 진단 데이터, 충돌 보고서, 집계된 연결 빈도 데이터를 수집합니다. 즉, 하루에 몇 번 연결하는지는 알지만 언제, 어디서, 어떤 사이트를 방문했는지는 알 수 없습니다. 열람 기록, IP 주소, DNS 쿼리는 절대 저장되지 않습니다.

Surfshark의 RAM 전용 서버 인프라는 사용자 데이터를 어떻게 보호하나요?

Surfshark의 4,500+개 이상 서버는 모두 하드 디스크가 아닌 휘발성 RAM에서만 실행되며, 재부팅 시 모든 데이터를 자동으로 삭제합니다. 따라서 서버를 물리적으로 압수하더라도 사용 가능한 로그, 연결 기록 또는 IP 이력이 전혀 남지 않습니다. 이러한 아키텍처는 Surfshark의 무로그 주장을 단순한 정책 약속이 아니라 기술적으로 강제 가능하게 만듭니다.

어떤 암호화와 프로토콜이 Surfshark의 보안 주장을 뒷받침하나요?

Surfshark는 비교 가능한 보안을 유지하면서 OpenVPN보다 대략 40% 더 빠르게 실행되는 WireGuard와 쌍을 이루는 AES-256-GCM 암호화를 기본으로 합니다. Surfshark는 정적 IP 개인정보 보호 제한으로 알려진 것을 해결하기 위해 WireGuard 상단에 이중 NAT 시스템을 계층화합니다. OpenVPN UDP/TCP와 IKEv2도 사용 가능하며, 둘 다 AES-256 데이터 채널 암호화와 함께 4096비트 RSA 핸드셰이크 키를 사용합니다.

Surfshark의 킬 스위치가 실제로 작동하는지 어떻게 확인할 수 있나요?

Surfshark 서버에 연결된 상태에서 Wi-Fi를 강제로 차단하거나 이더넷을 분리하면, 작동하는 킬 스위치는 암호화되지 않은 연결로 돌아가는 대신 모든 인터넷 트래픽을 즉시 중단합니다. Windows, macOS, Linux에서 스위치는 네트워크 어댑터 수준에서 작동하며, iOS와 Android는 OS 제약 조건 내에서 유사한 보호를 달성하기 위해 플랫폼별 API를 사용합니다.

Surfshark가 데이터 유출을 겪은 적이 있나요?

아니요, Surfshark는 2025년 초 현재 확인된 데이터 유출이나 서버 침해를 겪지 않았으며, 인프라와 관련된 공개 유출 데이터베이스에 나타난 사용자 데이터가 없습니다. 2020년 연구원들은 Windows 앱의 오래된 OpenSSL 라이브러리에서 이론적으로 권한 상향을 허용할 수 있는 문제를 지적했습니다. Surfshark는 공개 후 48시간 이내에 이를 패치했으며 문서화된 악용은 없습니다.

Surfshark의 MultiHop과 Nexus 기능의 차이점은 무엇인가요?

MultiHop은 트래픽을 동시에 2개의 서로 다른 국가 VPN 서버를 통해 라우팅하며, 두 번째 암호화 계층을 추가하여 트래픽 연관 공격을 훨씬 더 어렵게 만듭니다. Nexus는 대신 SDN 라우팅을 사용하여 전체 Surfshark 서버 네트워크에 사용자를 연결하며, 트래픽이 한 서버를 통해 진입하고 다른 서버를 통해 탈출할 수 있으므로, 4,500+개 이상의 서버 네트워크 전체에서 IP 회전과 로드 분배를 개선합니다.

이 모든 암호화 및 개인정보 보호 기술이 Surfshark를 느리게 만드나요?

크게 그렇지 않습니다. Surfshark는 AES-256-GCM 암호화와 WireGuard 위의 이중 NAT 계층을 실행함에도 불구하고 공개된 제3자 테스트를 집계한 당사 Trust Score에서 22개 중 #3를 기록합니다. WireGuard 자체는 OpenVPN보다 약 40% 빠르면서 비슷한 수준의 보안을 유지하므로, 추가된 개인정보 보호 계층이 실제 처리량을 의미 있게 감소시키지 않습니다.

Surfshark의 보안이 기대에 미치지 못하면 환불받을 수 있나요?

네, Surfshark는 모든 요금제에 30일 환불 보장을 제공하므로 kill switch, RAM 전용 서버, no-logs 정책을 약속하기 전에 한 달 동안 테스트할 수 있습니다. 이는 가장 저렴한 $2.49/월(장기 요금제)부터 번들 보안 제품군까지 어느 요금제를 선택하든 적용됩니다.

하나의 계정으로 더 많은 기기를 보호하면 노출이 증가하나요?

아니요. Surfshark는 단일 계정에서 무제한 동시 기기 연결을 허용하며, 각 기기는 동일한 무로그 정책과 RAM 전용 서버 인프라의 이점을 누립니다. Surfshark는 어떤 서버에도 브라우징 기록, IP 주소 또는 세션 타임스탬프를 저장하지 않으므로, 하나의 계정으로 더 많은 기기를 추가해도 추가적인 데이터 발자국이 생기지 않습니다.

Surfshark에서 DNS 유출이 의심되면 어떻게 해야 하나요?

연결된 상태에서 dnsleaktest.com 또는 ipleak.net에서 확인을 실행하세요. 독립적인 테스트는 Surfshark의 모든 프로토콜 옵션에서 일관되게 DNS 유출이 없음을 보여줍니다. Surfshark는 모든 DNS 쿼리를 모든 서버의 자체 개인 DNS 리졸버로의 암호화된 터널을 통해 라우팅하며, IPv6 유출 보호는 기본적으로 활성화되어 IPv6 트래픽이 IPv4 터널을 우회하는 것을 차단합니다.