281개의 무료 안드로이드 VPN 앱 트래픽 유출 암호화되지 않은 데이터 사용자 추적 문제가 발견

오늘은 281개의 무료 안드로이드 VPN 앱 트래픽 유출 암호화되지 않은 데이터 사용자 추적 문제가 발견된 내용에 대해서 글을 적어 보겠습니다.
연구원들은 구글 플레이 스토어에서 가장 인기 있는 무료 VPN 앱 281개를 새로운 테스트 시스템으로 분석한 결과 많은 앱들이 사용자들이 VPN을 설치하는 가장 기본적인 이유 즉 트래픽을 비공개로 안전하게 보호하는 기능을 제대로 수행하지 못하는 것으로 나타났다.
하나 이상의 문제가 있는 것으로 표시된 앱들은 24억 회 이상 설치되었음
문제는 복잡한 것이 아니라 기본적인 것들이며 
29개의 앱은 암호화된 터널 외부로 사용자 트래픽이 유출되도록 허용하는데 여기에는 사용자가 방문하는 웹사이트를 드러내는 DNS 조회 정보도 포함되며 61개의 앱은 일부 데이터를 평문으로 전송하므로 해당 네트워크의 트래픽을 감시하는 사람은 누구나 읽을 수 있는 문제가 발생합니다.
그중 5개는 앱의 구성 파일을 암호화되지 않은 상태로 전송하므로 네트워크상의 공격자가 연결을 자신이 제어하는 서버로 리디렉션할 수 있는 문제도 발생합니다.
해당 시스템은 MVPNalyzer 미시간 대학교, 뉴멕시코 대학교 그리고 인도 델리 공과대학교의 연구원들이 2026년 2월 NDSS 보안 콘퍼런스에서 발표
이는 동일 연구소에서 이전에 데스크톱 VPN 소프트웨어에 대해 수행했던 VPNalyzer 연구의 모바일 버전이며 연구원들은 이를 안드로이드 VPN 앱을 체계적이고 반복적으로 검사하기 위해 구축된 최초의 프레임워크라고 설명을 하고 있습니다.
VPN은 사용자의 인터넷 트래픽을 암호화된 터널로 감싸 인터넷 서비스 제공업체나 네트워크상의 도청하는 것을 사용자의 활동을 볼 수 없도록 합니다.
하지만, 그 대가로 VPN 앱은 사용자의 모든 활동을 볼 수 있게 됩니다.

[소프트웨어 팁] - 노드 VPN 오류 HTTP 451 해결 방법 및 3개월 무료 추가 혜택

노드 VPN 오류 HTTP 451 해결 방법 및 3개월 무료 추가 혜택

즉 누군가를 신뢰해야 할 필요성이 사라지는 것이 아니라 인터넷 서비스 제공업체에서 앱 개발자에게로 신뢰의 책임을 옮기는 것입니다. 
가장 심각한 결함 터널 점거
가장 심각한 문제는 암호화 없이 구성 파일을 다운로드하는 5개의 앱과 관련이 있습니다.

노드 VPN

파일은 앱이 연결할 서버를 알려주는데 만약 이 파일이 암호화되지 않은 상태로 전송된다면 동일 네트워크(예: 공용 Wi-Fi 운영자)에 있는 공격자가 전송 중에 파일을 변조하여 앱이 자신이 제어하는 서버를 가리키게 할 수 있습니다.
이에 해당하는 VPN은 다음과 같습니다.
BambooVPN: Turbo Fast VPN (free(.vpn(.unblock(.proxy.bamboovpn)
VPN Pro (com(.nebulatech.voocvpnpro)
Free VPN (com(.appoxide.freevpn)
Hexa VPN (com(.secure.vpn.proxy)
101 VPN (com.shwe.vpn101)
정보 유출
29개 앱 중 24개는 DNS 트래픽이 유출되어 사용자가 방문한 사이트가 로컬 네트워크에 노출
이러한 앱들만 해도 약 3억 6천만 건의 설치 수를 기록
6개는 터널 외부로 전체 브라우징 트래픽이 유출되었고 4개는 암호화 없이 터널을 운영 일부 앱은 여러 가지 방식으로 문제가 발생
169개의 앱은 VPN 외에는 트래픽을 위장하려는 시도를 전혀 하지 않았기 때문에 네트워크 사업자나 정부 검열 기관이 기본적인 도구로 이를 탐지하고 차단할 수 있습니다.
해당 앱들 중 거의 3분의 2는 차단을 우회하거나 제한된 콘텐츠를 해제한다고 광고하지만 실제로는 아무런 조치도 취하지 않습니다.
VPN 사용 자체가 위험한 국가에 거주하는 사람에게 VPN 사용자라는 사실이 쉽게 드러나는 것은 VPN 사용자가 의도 한 바와 정반대되는 상황
검증 부실
108개 앱에 포함된 OpenVPN 설정 파일을 분석했는데, 이는 앞서 언급한 실시간 트래픽 테스트와는 별개의 검증 작업
약 89%는 두 가지 인증 방식을 결합하는 대신 비밀번호 또는 인증서 중 하나만 사용
거의 5분의 1은 오래된 Blowfish 암호와 Triple DES를 포함한 취약하거나 구식 암호화를 사용
취약점 CVE-2016-6329 및 CVE-2016-2183 존재
작년 모바일 보안 회사인 짐페리움(Zimperium) 테스트한 약 800개의 무료 VPN 앱 중 3개에서 하트블리드(Heartbleed) 취약점이 있는 OpenSSL 라이브러리 버전이 여전히 포함되어 있다고 보고
사용자가 할일 간단합니다.
신뢰할 수 있는 VPN을 구매해서 사용하는 방법뿐입니다.
NordVPN (노드 VPN),ExpressVPN (익스프레스 VPN) 이유 노로그 정책 들을 제공하고 있으며 전 세계 거의 모든 OTT(넷플릭스, 디즈니+ 등의 지역 제한을 해제 가능하기 때문
그냥 NordVPN (노드 VPN),ExpressVPN (익스프레스 VPN) 중 하나를 구매해서 사용하는 것이 제일 좋음