2026년 8월 5일, 미국 상원 상무위원회는 다섯 개의 "어린이" 인터넷 법안에 대한 심사를 진행했습니다. 네 개의 법안이 통과되었습니다: Kids Online Safety Act, CHATBOT Act, 에드워드 마키 상원의원의 Youth AI Privacy Act, 그리고 태미 덕워스 상원의원의 Children's Artificial Intelligence Toy Safety Act입니다. 다섯 번째 법안인 SCREEN Act는 15표 대 13표로 통과되지 않았지만, 위원회를 통과하지 못했습니다: 투표 시점에 회의에 정족수가 없었습니다.
프록시 산업에 있어 이는 중요한 뉴스입니다. SCREEN Act는 미국의 첫 번째 연방 법안으로, 법안 텍스트에 "알려진 VPN 주소"라는 범주를 명시하고 이에 대해 연령 확인을 요구합니다. 연방 차원에서 절차가 지연되는 동안, 주 차원에서는 유사한 규정이 이미 시행되고 있습니다: 유타주 법안 SB 73은 2026년 5월 6일 발효되었습니다.
SCREEN Act가 IP 주소에 요구하는 사항
SCREEN Act는 S. 737로, 119회 의회에서 제정된 법안으로, 전체 이름은 Shielding Children's Retinas from Egregious Exposure on the Net Act입니다. 저자는 마이크 리 상원의원이며, 공동 후원자는 존 커티스, 짐 뱅크스, 제임스 랭포드입니다. 이 법안은 2025년 2월 26일에 제출되었고, 2026년 8월까지 진행되지 않았습니다.
법안의 메커니즘은 다음과 같습니다. 서비스는 사용자의 IP 주소를 통해 위치를 확인하여 "기술적 검증 조치"를 적용해야 하며, 사용자가 미국 외부에 있는 경우를 제외합니다. 법안의 별도 조항은 알려진 VPN 주소에서 발생하는 트래픽을 검증해야 한다고 요구합니다. 단순히 "나는 18세 이상입니다"라는 체크박스는 충분하지 않습니다: 법안은 자가 선언만으로는 부족하며, 실제 신원에 연결된 방법이 필요하다고 명시하고 있습니다.
전자 프론티어 재단은 2026년 7월 31일 분석에서 두 가지 부작용을 지적했습니다. 첫 번째는 범위입니다: 문구가 작성된 방식 때문에, 거의 모든 서비스가 포함되며, 여기에는 Netflix, Reddit, Discord, Bluesky가 포함됩니다. 두 번째는 데이터 저장입니다: 수집된 문서에 대한 보호 요구 사항이 약하게 정의되어 있어, 기업은 이를 합리적이라고 판단할 경우 무한정 보관할 수 있습니다.
유타: 이미 시행 중인 법
연방 법안은 현재로서는 의도일 뿐입니다. 그러나 SB 73 "온라인 연령 확인 수정안"은 유타주 스펜서 콕스 주지사가 2026년 3월 19일에 서명하였고, VPN 관련 부분은 5월 6일에 시행되었습니다.
유타주는 사용자에 대한 VPN 금지 대신 사이트의 책임을 통해 접근했습니다. SB 73에 따르면, 사용자가 유타에 물리적으로 존재하는 경우, 그 사용자는 유타에서 접속하는 것으로 간주됩니다. 이는 사용자의 IP가 어떤 프록시나 VPN으로 숨겨져 있더라도 마찬가지입니다. 검증 책임은 방문자가 지리적 위치를 변경하더라도 사이트에 남아 있습니다. 또한, 미성년자에게 해로운 자료가 상당 부분 포함된 사이트는 VPN을 통한 검증 우회 방법을 게시할 수 없습니다.
NordVPN은 이 구조를 "책임의 함정"과 "준수의 불가해한 패러독스"라고 명명했습니다. 논리는 간단합니다: 사이트가 VPN 뒤에 있는 사람의 실제 위치를 신뢰할 수 없고, 법이 이를 요구하는 경우, 사이트는 두 가지 선택지를 갖습니다 — 모든 VPN 및 프록시로 표시된 IP를 차단하거나, 전 세계 모든 방문자에게 검증을 요구하는 것입니다. 두 가지 옵션 모두 원래의 과제를 훨씬 초과합니다.
유타주는 이러한 법이 처음으로 제정된 주가 되었습니다. 위스콘신주는 SB 130 / AB 105에서 VPN에 대한 직접적인 금지를 규정하려 했으나, 2026년 2월 공개 비판 이후 상원 의원인 반 반가르드는 이 조항을 삭제하였고, 법안은 주지사에게 이 조항 없이 제출되었습니다. 자유 발언 연합에 따르면, 연령 확인 법안은 25개 주에서 통과되었으며, 약 15개 주에서 여전히 검토 중입니다.
알려진 VPN 주소 목록은 어떻게 구성되는가
이 법안에서 가장 흥미로운 점은 그들이 스스로 설명하지 않는 기술에 의존한다는 것입니다. "알려진 VPN 주소"는 법적 사실이 아니라 상업적 IP 평판 데이터베이스의 문자열입니다. IPQualityScore, IPinfo 및 ipgeolocation.io와 같은 서비스는 이러한 목록을 판매하며, 여러 층에서 수집됩니다.
- ASN 매핑. 범위는 지역 인터넷 등록 기관의 데이터와 비교됩니다: 이 주소가 호스팅 제공업체의 것인지, 가정용 제공업체의 것인지.
- 공개된 클라우드 범위. AWS, DigitalOcean, OVH 등은 자신의 네트워크를 공개합니다. 상업적 VPN 서버는 거의 항상 이러한 곳에 위치하며, 가정용 라인에는 위치하지 않습니다 — 따라서 데이터 센터 풀은 기본적으로 의심스럽습니다.
- 역 DNS 및 이름 패턴. 전형적인 PTR 레코드는 ASN만큼 인프라를 드러냅니다.
- 행동 신호. 하나의 주소에서 다양한 사용자의 비정상적인 밀도, IP의 지리적 위치와 시간대 및 클라이언트 언어의 불일치.
공급업체의 주장에 따르면, 알려진 상업적 VPN 엔드포인트에 대해 이러한 시스템은 95% 이상의 정확도를 제공하며, 거짓 긍정 비율은 1% 미만입니다. 이는 좋게 들리지만, 이 1%가 국가의 전체 트래픽에 곱해질 때 상황은 달라집니다.
목록이 실패하는 곳
IP 평판에서의 거짓 긍정은 드문 일이 아니라 구조적 특성입니다. 일반적인 오류의 출처는 다음과 같습니다:
- 주소 재사용. 지난 달 VPN 엔드포인트가 있던 IP가 이번 달에는 일반 비즈니스에 할당되었습니다. 구식 블랙리스트에는 여전히 표시되어 있습니다.
- CGNAT 제공업체. 운영자는 하나의 주소 뒤에 수천 명의 가입자를 숨기며, 비정상적인 ASN 패턴은 분류기가 가정용 사용자를 프록시로 잘못 인식하게 만듭니다.
- 모바일 제공업체. 일부 모바일 트래픽은 데이터 센터 인프라와 인접한 인프라를 통해 라우팅되어 의심을 받습니다.
- 기업 VPN. 기술적으로 소비자 VPN과 구별할 수 없습니다: 동일한 터널, 동일한 호스팅 출구 주소입니다.
현재 이러한 목록은 안티 프로드 도구로 사용되며, 오류는 하나의 추가 캡차에 해당합니다. 컴플라이언스 도구로 변할 경우, 오류는 접근 거부로 이어지며, 사이트는 이를 해결할 동기가 없습니다. 왜냐하면 누락에 대한 벌금이 부과되기 때문이지, 과잉 방지에 대한 벌금은 없기 때문입니다. 이러한 이유로 규제 압력은 항상 더 공격적인 차단으로 기준을 이동시킵니다. 사이트가 주소를 분류하는 방법과 가정용 트래픽과 인프라 트래픽을 구별하는 기준에 대한 자세한 분석은 IP-인텔리전스 및 레지던셜 프록시 탐지에 대한 자료에서 다루었습니다.
법의 대상이 아닌 사람들에게 미치는 영향
형식적으로 SCREEN Act와 SB 73은 성인 콘텐츠에 대해 작성되었습니다. 사실상 이들은 전체 인터넷의 차단 경제를 변화시킵니다 — 왜냐하면 사이트는 "법 준수를 위한" 탐지 레이어와 "모든 나머지"를 위한 별도의 레이어를 구축하지 않기 때문입니다. 사이트는 하나의 IP 평판 데이터베이스를 구매하고 이를 전체 트래픽에 적용합니다.
그 결과, 인프라 주소에서 운영되는 모든 것이 영향을 받습니다:
- 데이터 수집 및 모니터링. 가격 파싱, 지역별 검색 결과 확인, 재고 추적 — 데이터 센터 풀은 역사적으로 가장 저렴한 솔루션이었습니다.
- 로컬 검색 결과 및 광고 확인. 에이전시는 특정 주 또는 국가의 사용자 시각에서 페이지를 봐야 하며; 공격적인 VPN 필터가 이를 깨뜨립니다.
- 멀티 계정 및 SMM. 플랫폼은 새로운 법 없이도 "프록시"라는 신호를 등록 및 로그인 시 위험 신호로 해석합니다.
- 기업 터널의 일반 사용자. 업무용 VPN에 접속한 직원은 사이트에서 위치를 숨기는 사람과 동일하게 보입니다.
프록시 유형 선택에 대한 의미
주요 실용적 결론: 인프라 주소와 가입자 주소 간의 격차는 계속해서 커질 것이며, 이는 트래픽의 품질이 아니라 IP의 출처에 의해 결정됩니다.
데이터 센터 프록시는 가장 먼저 목록에 올라가며 거의 자동으로 포함됩니다: 그들의 ASN은 공개적으로 알려져 있으며, 범위는 호스팅 제공업체에 의해 공개됩니다. 이는 여전히 주소 유형에 무관심한 사이트에 가장 빠르고 저렴한 옵션입니다 — 내부 API, 충성도 있는 출처의 파싱, 부하 테스트. 그러나 VPN 검증이 있는 곳에서 이를 사용하는 것은 점점 더 의미가 없어집니다.
레지던셜 프록시는 가정용 제공업체의 실제 가입자 라인을 통해 진행됩니다: ASN에 따라 일반 ISP에 속하며, "알려진 VPN 주소" 범주에는 포함되지 않습니다. 이는 IP 출처 검증이 강화되는 곳에서 작업 가능한 옵션이 됩니다.
모바일 프록시는 수십 명과 수백 명의 가입자가 자연스럽게 하나의 주소에 위치하는 모바일 제공업체의 풀을 기반으로 합니다. 이러한 주소를 차단하는 것은 사이트에 가장 큰 비용이 발생합니다: 거짓 긍정의 비용은 단일 방문자가 아니라 전체 풀에 의해 측정됩니다.
이와 동시에 어떤 주소 유형도 탐지의 다른 신호를 무효화하지 않습니다 — TLS 지문, 브라우저 행동, 헤더 및 시간대의 일관성. IP 변경은 문제의 한 부분만 해결합니다; 나머지 부분이 어떻게 생겼는지에 대해서는 영국의 VPN 제한 이니셔티브에 대한 분석에서 다루었습니다.
미국 외부의 상황은 어떻게 변화하고 있는가
미국의 이야기는 전체적인 변화의 일부입니다. 호주는 2025년 12월 10일 16세 미만 아동을 위한 소셜 미디어 금지를 시작하였고, 말레이시아는 2026년 6월 1일 이를 따랐으며, 브라질의 규정은 2026년 3월에 시행되었습니다. 터키는 2026년 4월 15세 미만 사용자에 대한 접근을 제한했습니다. 유럽 의회 연구 서비스는 연령 확인을 우회하기 위해 VPN 사용이 눈에 띄게 증가하고 있음을 기록하였으며, 영국에서는 VPN 서비스 자체에 대한 접근을 연령 검열로 제한하는 아이디어가 논의되고 있습니다.
전체적인 방향성이 보입니다: 처음에 규제 기관은 연령 확인을 요구하고, 그 다음에는 IP 변경으로 이를 우회하는 것을 발견하며, 다음 단계로는 IP 변경 자체를 차단하려고 합니다. 이때 법적 언어는 항상 기술보다 뒤처지며 — "알려진 VPN 주소"는 아무도 공개하거나 이의를 제기할 필요가 없는 상업적 데이터베이스에 대한 언급으로 남아 있습니다.
결론
8월 5일 SCREEN Act의 실패는 절차의 연기일 뿐이며, 방향 전환이 아닙니다: 법안은 다수의 지지를 얻었지만 불참으로 인해 통과되지 않았습니다. 유타에서 이미 사용자가 VPN에 대해 사이트에 책임이 있는 실제 선례가 만들어졌으며, 2026년 5월 6일부터 이 법의 논리는 사이트들이 표시된 주소를 전면 차단하도록 압박하고 있습니다.
프록시를 사용하는 사람들에게는 실용적인 결론이 있습니다: 인프라 주소는 가격이 하락하고 위험이 증가하며, 접근의 신뢰성은 IP의 물리적 출처에 점점 더 의존하게 됩니다. 풀의 선언된 속도가 아니라 그 출처와 IP 평판 데이터베이스에서 어떻게 보이는지를 확인해야 합니다 — 왜냐하면 이제 법이 이를 참조하고 있기 때문입니다.
```