VPN은 어떻게 나를 숨겨 주고, 어디까지 숨겨 줄까?

VPN은 내 인터넷 통신을 암호화된 터널에 넣어, 다른 서버를 거쳐 내보내는 우회 통로입니다. 터널 안의 내용은 중간에서 들여다볼 수 없고, 상대 사이트에는 내 IP 대신 VPN 서버의 IP가 찍힙니다.

예전에는 VPN이 주로 회사 내부망에 밖에서 접속할 때 쓰는 업무용 도구였습니다. 요즘은 카페 와이파이 보안, 해외 서비스 이용, 개인정보 보호를 내세운 상업용 VPN이 많아지면서 "VPN을 켜면 추적이 안 된다"는 말도 흔해졌습니다. 이 글에서는 VPN이 어떻게 보안을 지키는지, 왜 추적이 어려워지는지, 그리고 어디까지는 숨겨 주지 못하는지를 업로드·다운로드 예시와 함께 정리합니다.

핵심 요약

• VPN은 내 기기와 VPN 서버 사이를 암호화하고, 인터넷에 나가는 출구 IP를 VPN 서버 것으로 바꿉니다. 그래서 통신사·와이파이는 내가 어디에 접속하는지 모르고, 사이트는 내 실제 IP를 모릅니다.
• 하지만 로그인한 계정, 쿠키, 브라우저 특징, VPN 회사 자신의 기록은 VPN이 가려 주지 못합니다.
• 업로드·다운로드도 같습니다. 통신 구간은 가려지지만, 파일을 올린 계정이나 VPN 연결이 끊긴 순간의 실제 IP는 그대로 남을 수 있습니다.

VPN은 통신을 암호화된 터널에 넣고 출구를 바꿉니다

VPN이 하는 일은 크게 두 가지입니다.

첫째는 암호화입니다. VPN 앱을 켜면 내 기기에서 나가는 모든 통신이 VPN 서버까지 암호화된 상태로 이동합니다. 이 연결을 흔히 터널이라고 부릅니다. 터널을 만드는 방식(프로토콜)으로는 WireGuard, OpenVPN, IKEv2/IPsec이 많이 쓰입니다. 어느 쪽이든 중간에서 통신을 가로챈 사람은 의미 없는 암호문만 보게 됩니다.

둘째는 출구 바꾸기입니다. 터널을 지난 통신은 VPN 서버에서 풀린 뒤, VPN 서버의 이름으로 목적지 사이트에 전달됩니다. 사이트 입장에서는 VPN 서버가 접속한 것처럼 보입니다. 그래서 사이트의 접속 기록에는 내 IP가 아니라 VPN 서버의 IP가 남습니다.

구간마다 누가 무엇을 보는지 달라집니다

그림 1

"VPN을 켜면 추적이 안 된다"는 말은 정확히는 "구간마다 볼 수 있는 정보가 나뉜다"는 뜻입니다. VPN을 켜고 https://example.com에 접속하면 다음과 같이 됩니다.

• 통신사·카페 와이파이: 내가 어떤 VPN 서버와 통신한다는 사실, 그리고 언제 얼마나 많이 주고받는지만 봅니다. 어떤 사이트에 가는지, 무엇을 보내는지는 보지 못합니다.
• VPN 회사: 내 실제 IP와 내가 접속하는 사이트 주소를 모두 봅니다. 다만 사이트가 HTTPS를 쓰면 주고받는 내용까지는 보지 못합니다.
• 목적지 사이트: 접속자 IP로 VPN 서버를 봅니다. 하지만 내가 로그인하면 내 계정을, 쿠키와 브라우저 특징으로는 같은 사람이라는 것을 알 수 있습니다.

추적이 어려워지는 이유는 한 곳이 모든 정보를 갖지 못하기 때문입니다. 통신사는 목적지를 모르고, 사이트는 실제 IP를 모릅니다. 둘을 이어 붙일 수 있는 곳은 VPN 회사뿐입니다. 그래서 VPN의 보안은 결국 VPN 회사를 얼마나 믿을 수 있느냐로 모입니다.

VPN이 가려 주지 못하는 것도 많습니다

VPN은 통신 구간을 가리는 도구이지 나를 지워 주는 도구가 아닙니다. 다음은 VPN을 켜도 그대로 남거나 새어 나갈 수 있는 것들입니다.

• 로그인한 계정: Google, 네이버, 카카오에 로그인한 채로 쓰면 VPN IP와 관계없이 서비스는 내가 누구인지 압니다.
• 쿠키와 브라우저 지문: 쿠키, 화면 크기, 글꼴, 브라우저 설정 같은 정보를 조합하면 IP가 바뀌어도 같은 사람이라는 것을 알아낼 수 있습니다.
• VPN 회사의 기록: 많은 회사가 "기록을 남기지 않는다(노로그)"고 내세우고, 외부 감사를 받았다고 밝히는 곳도 있습니다. 그래도 결국 회사의 약속이고, 회사가 있는 나라의 법에 따라 자료 제출 요구를 받을 수 있습니다.
• 새는 길: VPN을 켜도 도메인 조회(DNS)가 통신사 쪽으로 따로 나가거나(DNS 누출), 브라우저의 실시간 통신 기능(WebRTC)이 실제 IP를 드러내는 경우가 있습니다.
• 연결이 끊기는 순간: VPN 연결이 잠깐 끊기면 그 사이 통신은 터널 밖으로 나갑니다. 이를 막는 기능이 킬 스위치로, 연결이 끊기면 인터넷 자체를 차단합니다.
• 결제 정보: 유료 VPN을 내 카드로 결제했다면 VPN 회사는 계정과 결제자를 연결할 수 있습니다.
• 악성 코드와 피싱: VPN은 통신을 감쌀 뿐, 가짜 사이트에 비밀번호를 입력하거나 악성 파일을 실행하는 것은 막지 못합니다.

업로드와 다운로드를 하면 이렇게 됩니다

그림 2

VPN을 켠 상태에서 파일을 주고받으면 구간마다 남는 흔적이 다릅니다.

• 클라우드에 파일 업로드: 통신사는 VPN 서버로 데이터가 얼마나 나갔는지만 봅니다. 클라우드 서비스는 VPN IP에서 올라온 파일로 기록하지만, 파일은 로그인한 내 계정에 저장됩니다. 누가 올렸는지는 계정으로 그대로 남습니다.
• 웹사이트에서 파일 다운로드: 사이트의 접속 기록에는 VPN 서버 IP가 남습니다. VPN 회사는 어느 사이트에서 받았는지는 알 수 있지만, HTTPS라면 파일 내용은 모릅니다.
• 토렌트(P2P) 주고받기: 토렌트는 다른 참여자와 직접 연결되므로 참여자들은 내 접속 IP를 봅니다. VPN을 켜면 그 IP가 VPN 서버 것이 되고, 저작권 침해 통지 같은 것도 VPN 회사로 갑니다. 하지만 킬 스위치 없이 연결이 끊기면 그 순간 실제 IP가 다른 참여자에게 노출될 수 있습니다.
• 메신저로 파일 보내기: 메신저 서버는 누가 누구에게 보냈는지 계정으로 알고 있습니다. VPN은 접속 IP만 바꿀 뿐입니다.

두 가지를 더 알아 두면 좋습니다. 먼저 속도입니다. 데이터가 VPN 서버를 한 번 돌아가고 암호화도 거치므로, 서버가 멀거나 붐비면 업로드·다운로드가 느려집니다. 다음은 파일 자체에 담긴 정보입니다. 스마트폰 사진에는 찍은 위치(GPS)와 기기 정보가 들어 있을 수 있는데, VPN은 이런 정보를 지워 주지 않습니다. 사진을 공개적으로 올리기 전에는 위치 정보를 따로 지워야 합니다.

VPN을 고를 때는 이것부터 확인하세요

VPN의 보안은 VPN 회사를 얼마나 믿을 수 있느냐에 달려 있으므로, 고를 때는 기능보다 운영 방식을 먼저 봐야 합니다.

• 기록 정책: 기록을 남기지 않는다고 밝히는지, 외부 감사를 받았는지 확인합니다.
• 킬 스위치와 DNS 누출 방지: 연결이 끊겼을 때 통신을 막는 기능과, 도메인 조회도 터널 안으로 보내는 기능이 있는지 봅니다.
• 무료 VPN은 조심: 서버 운영에는 돈이 드는데 무료라면 광고나 이용 데이터로 비용을 메울 수 있습니다.
• 회사 VPN은 회사가 봅니다: 회사에서 준 VPN은 회사 내부망에 접속하기 위한 것이라, 그 통신은 회사가 볼 수 있다고 생각해야 합니다.

마지막으로, 한국에서 VPN을 쓰는 것 자체는 불법이 아닙니다. 하지만 VPN을 켰다고 해서 불법인 행위가 합법이 되지는 않습니다.

구분	VPN이 가려 주는 것	VPN이 가려 주지 못하는 것
통신사·와이파이	접속하는 사이트, 주고받는 내용	VPN을 쓴다는 사실, 통신량과 시간
목적지 사이트	내 실제 IP	로그인한 계정, 쿠키, 브라우저 특징
VPN 회사	(가려지지 않음)	실제 IP와 접속 사이트 전부
업로드·다운로드	전송 구간의 내용과 출발지 IP	파일을 올린 계정, 파일 속 위치 정보, 연결이 끊긴 순간의 IP

정리하며

VPN은 통신을 암호화된 터널에 넣고 출구 IP를 바꿔서, 통신사는 목적지를 모르고 사이트는 내 실제 IP를 모르게 만듭니다. 그래서 공용 와이파이처럼 믿기 어려운 네트워크에서 통신을 보호하고, 사이트가 내 IP로 위치를 짐작하는 것을 막는 데 효과적입니다.

하지만 VPN이 바꾸는 것은 통신 경로뿐입니다. 로그인한 계정, 쿠키, 파일 속 정보, 그리고 모든 것을 볼 수 있는 VPN 회사는 그대로 남습니다. VPN을 켰다고 투명 인간이 되는 것이 아니라, 내 정보를 아는 사람이 통신사에서 VPN 회사로 바뀌는 것에 가깝다고 이해하는 것이 정확합니다.

한마디로 정리하면

VPN은 편지를 불투명한 봉투에 넣어 대행 사무소로 보내고, 대행 사무소가 자기 주소로 다시 부쳐 주는 서비스와 같습니다. 우체부(통신사)는 봉투 속을 볼 수 없고, 받는 사람(사이트)은 대행 사무소 주소만 봅니다.

하지만 편지 안에 내 이름을 써 넣으면(로그인) 받는 사람은 내가 누구인지 바로 압니다. 그리고 대행 사무소는 처음부터 보낸 사람과 받는 사람을 모두 알고 있습니다. 그래서 어느 대행 사무소를 믿고 맡길지가 가장 중요합니다.

VPN은 길을 가려 줄 뿐, 편지에 쓴 이름까지 지워 주지는 않습니다.