유타의 법원: IP에 의한 지리적 위치는 정확하지 않음

2026년 9월 24일 유타의 연방 판사 데이비드 바를로우는 VPN이나 프록시를 통해 방문자의 실제 위치를 확인하도록 요구하는 SB 73 법안의 일부를 중단시켰습니다. 법원의 주요 주장은 거의 공학적으로 표현되었습니다: 현재 IP에 의한 완벽한 지리적 위치 확인은 존재하지 않으며, 법은 바로 그것을 요구했습니다. 10월 말에는 영국의 Ofcom이 VPN 식별에 대한 권고안을 발표할 예정입니다. 아래에서는 법원이 내린 결정, 영국의 입장과의 차이점, 그리고 지리적 서비스, 스크래핑 및 프록시와 관련하여 일하는 사람들에게 어떤 변화가 있는지 살펴보겠습니다.

유타 법원의 결정

소송은 Aylo(포르노허브 및 기타 성인 사이트의 소유자)가 제기했으며, 사건 번호는 Aylo Freesites Ltd v. Utah, № 2:26-cv-00340입니다. 타격을 입은 조항은 2026년 개정안에 추가된 78B-3-1002(3)입니다. 이 조항은 VPN이나 프록시로 위치가 숨겨져 있더라도 유타에 물리적으로 있는 방문자를 주 주민으로 간주했습니다. 이러한 사용자는 사이트가 책임져야 했습니다.

법원은 예비 금지 명령을 발부했습니다. 주요 논거는 다음과 같습니다:

규정에 "합리적인 노력"에 대한 조항이 없다. 형식적으로 사이트는 놓친 사용자에 대해 책임이 있으며, 즉 모든 사용자를 오류 없이 지리적으로 확인해야 합니다. 그러나 양측 모두 완벽한 지리적 위치 확인이 불가능하다는 데 동의했습니다.
주 외부에서의 상업적 부담. VPN을 통해 유타 주민과 시애틀 또는 상하이 주민을 정확히 구별할 수 없으므로, 사이트는 전 세계 모든 방문자의 연령을 확인해야 했습니다. 법원에서는 Aylo가 2800만 사용자를 인증해야 했다고 언급했습니다. 법원은 이것이 미국 헌법의 이른바 "휴면 상업 조항"을 위반할 가능성이 있다고 판단했습니다.
주에서는 미성년자를 보호하기 위한 덜 부담스러운 방법이 있다.

유타는 법이 완벽함을 요구하는 것이 아니라 합리적인 조치를 요구한다고 반박했습니다: VPN의 사용 가능성을 계산할 수 있으며, 위치는 장치 설정과 계정 활동에서 파악할 수 있습니다. 법원은 법률의 텍스트를 분석하고 있으며, 법무장관이 제안하는 적용 방식이 아니라는 점을 강조했습니다.

유효한 사항

성인 사이트의 주요 의무는 "합리적인 방법"으로 연령을 확인하는 것입니다.
이러한 사이트가 VPN을 우회하는 방법을 설명하는 것을 금지하는 조항은 Aylo가 이의를 제기하지 않았으며, 그대로 유지됩니다.
9월 1일 발표된 R152-78B 시행 규칙은 법원의 금지 명령이 유효한 동안 적용할 수 없습니다.
양측은 유타 주 의회의 2027년 세션이 끝날 때까지 소송을 연기하기로 합의했습니다: 법이 개정될 것으로 예상됩니다.

맥락: 성인 콘텐츠에 대한 연령 확인 법은 미국의 27개 주에서 통과되었지만(2026년 8월 기준), 유타만이 사이트에 VPN을 통해 사용자를 확인하도록 직접적으로 요구하려고 했습니다. 이 조항이 법원에 제출되기 전 어떻게 보였는지, 그리고 왜 사이트들이 IP를 대량 차단하도록 유도했는지에 대해서는 SCREEN Act와 Utah SB 73에 대한 기사에서 다루었습니다.

왜 IP가 사람의 위치를 말하지 않는가

법원의 결론은 기술적으로 정확하며 성인 사이트를 넘어섭니다. IP 지리적 위치 확인은 데이터베이스에 기반한 확률적 평가이지 측정이 아닙니다. 사이트는 요청이 들어온 주소만 볼 수 있습니다. 트래픽이 VPN이나 프록시를 통해 이동한다면, 이는 중간 서버나 다른 장치의 주소입니다.

VPN 없이도 정확도가 낮습니다. MaxMind(최대 규모의 지리 데이터베이스 중 하나)에 따르면, 미국의 경우 50km 반경 내에서 약 60%의 IP 주소가 정확하게 식별되며, 또 다른 33%는 도시와 연결되지만 50km 이상 벗어나는 경우가 많고, 7%는 도시 수준의 데이터가 전혀 없습니다. 이 회사는 또한 미래의 정확성을 보장하지 않는다고 명시하고 있습니다.

오류는 여러 층에서 발생합니다:

등록 지역에 대한 블록 연결. 제공자는 한 도시에서 서브넷을 등록할 수 있지만, 다른 도시의 가입자에게 이를 배포할 수 있습니다.
모바일 NAT. 이동통신 사업자는 하나의 공용 IP 아래 여러 가입자가 있으며, 인터넷 접속은 종종 다른 지역의 노드를 통해 이루어집니다.
기업 네트워크 및 클라우드. 유타에 있는 직원이 사무실 VPN을 사용하면 캘리포니아 본사나 데이터 센터의 사용자처럼 보입니다.
데이터베이스 업데이트 지연. 서브넷은 제공자와 국가 간에 이동하며, 데이터베이스는 이를 몇 주 후에 따라잡습니다.

따라서 "정확히 확인하라"는 요구는 네트워크 물리학에 부딪힙니다. 유타 법원은 본질적으로 VPN에 대한 결정에서 이를 기록한 첫 번째 법원이 되었습니다.

영국은 다른 길을 간다

영국에서는 Online Safety Act에 따른 연령 확인이 2025년 7월 25일부터 시행되며, 벌금은 최대 £1800만 또는 전 세계 수익의 10%에 달합니다. 사용자 반응은 즉각적이었습니다: 영국에서 Proton VPN 등록이 규칙 시행일에 1400% 증가했으며, 이 애플리케이션은 잠시 동안 영국 App Store에서 ChatGPT를 초과했습니다.

당국의 입장은 미국보다 신중합니다:

2026년 7월 15일 기술 장관 리즈 켄달은 의회에서 정부가 VPN을 금지하지 않을 것이라고 발표했습니다.
Ofcom은 법이 VPN 차단을 요구할 권한을 부여하지 않는다고 명시합니다.
2026년 7월 보고서에서 규제 기관은 어떤 연령 확인 방법도 완전히 우회를 배제하지 않으며, 애플리케이션 스토어와 장치 수준의 통제를 포함한 다단계 접근 방식을 권장합니다.
또한 Ofcom은 2026년 10월 말까지 서비스가 VPN 사용을 식별하고 방지하기 위해 무엇을 할 수 있는지에 대한 권고안을 발표하라는 지시를 받았습니다.

즉, 영국 모델은 "벌금 위협 아래 완벽하게 지리적 위치를 확인하라"가 아니라 "합리적인 조치를 취하라"는 것입니다. 업계 분석가들은 서비스에 대해 세 가지 상태의 모델을 설명하고 있습니다: 사용자가 영국에서 확실히 온 경우(요구 사항 적용), 확실히 영국이 아닌 경우(법적 위반), "위치를 확인할 수 없는 경우" — 이 그룹의 모든 사람에게 연령을 확인하는 등의 별도의 위험 결정이 필요합니다.

사이트가 VPN 및 프록시를 어떻게 식별할 것인가

미국 법원이나 영국 규제 기관은 사이트가 의심스러운 트래픽을 계속 표시할 것이라는 점을 부인하지 않습니다. 일반적인 신호 세트는 다음과 같습니다:

호스팅 ASN. 클라우드 및 데이터 센터의 주소(AWS, Hetzner, OVH, M247 등)는 첫 번째로 표시됩니다: 일반 가정 사용자는 이들에서 접속하지 않습니다.
VPN 서버 목록. 많은 VPN이 서버 주소를 공개하며, 나머지는 서비스에 연결하여 쉽게 수집할 수 있습니다.
IP의 사용자 밀도. 짧은 시간 내에 하나의 주소에서 수백 개의 다른 계정이 발생하면 출구 노드가 드러납니다.
불일치. 브라우저의 시간대, 시스템 언어, 키보드 레이아웃, 결제 카드의 로케일와 IP 국가 간의 불일치.
행동 및 계정 신호 — 유타가 법원에서 언급한 바로 그것입니다.

중요한 것은 이러한 모든 방법이 확률을 제공할 뿐, 증거를 제공하지 않는다는 것입니다. 잘못된 경고는 불가피합니다: 기업 VPN을 사용하는 직원, 이동통신 가입자, 여행자 및 비즈니스를 위해 지리적 위치가 필요한 자동화 시스템이 포함됩니다.

지리적 서비스를 사용하는 비즈니스에 대한 의미

이 결정은 성인 사이트에 관한 것이지만, 그 영향은 더 넓습니다. IP에 의한 지리적 위치 확인은 가격 책정, 콘텐츠 라이센스, 사기 방지, 광고 검증 및 결과 모니터링에 사용됩니다. 몇 가지 실용적인 결론이 있습니다.

서비스 소유자라면

하나의 지리 데이터베이스에 의존하지 마십시오. VPN 없이도 미국의 매 세 번째 주소는 잘못된 도시와 연결될 수 있습니다. 법적 결과가 있는 결정에는 어떤 "합리적인 조치"를 취했는지 기록이 필요합니다.
"모른다"는 세 번째 상태를 설정하십시오. 이진적 "우리 지역 / 아닌 지역"은 모바일 및 기업 트래픽에서 잘 작동하지 않습니다.
여러 출처를 비교하십시오. 서로 다른 데이터베이스는 동일한 주소에 대해 다르게 나올 수 있습니다. IPQS, Scamalytics, IPinfo 및 기타 체크기들이 어떻게 다른지 우리는 실제 주소를 비교하여 분석했습니다.

지역별 데이터 수집 또는 광고 검증을 하는 경우

데이터 센터 주소가 가장 먼저 차단될 것입니다. 연령 확인 법안과 규제 기관의 권고는 사이트가 호스팅 ASN을 전체적으로 차단하도록 유도하고 있습니다. 현지 사용자의 시각으로 사이트를 보아야 하는 작업에는 국가 및 도시 선택이 가능한 주거용 프록시가 적합합니다: 주소는 필요한 지역의 가정 제공자에게 속합니다.
모바일 주소는 차단에 더 강하지만 도시 정확도는 떨어집니다. NAT로 인해 사이트는 많은 가입자에게 동일한 주소를 보여주므로 이를 차단하는 것은 비용이 많이 듭니다. 지역이 중요하고 정확한 도시가 아니라면, 모바일 프록시는 신뢰할 수 있는 옵션입니다.
여러 데이터베이스에서 IP의 위치를 확인하십시오. 사이트가 체크기와 다른 데이터베이스를 사용할 수 있으며, 다른 지역을 표시할 수 있습니다. 대규모 수집 전에 테스트 요청을 실행하고 대상 사이트가 제공하는 로컬 버전을 비교하십시오.
IP와 일치하는 브라우저 지문을 유지하십시오. 시간대, 언어 및 로케일은 출구 국가와 일치해야 합니다: 불일치는 IP보다 더 자주 감지됩니다.

앞으로의 계획

주목해야 할 가까운 사건은 다음과 같습니다:

2026년 10월 말 — VPN 식별에 대한 Ofcom의 권고안. 주요 질문: 구체적인 기술적 방법이 포함될 것인지, 아니면 "합리적인 조치"의 공식만 남을 것인지입니다.
2027년 유타 주 의회 세션 — 법이 아마도 합리적인 노력에 대한 조항을 포함하여 개정될 것입니다. 그러면 논쟁은 "완벽함을 요구할 수 있는가"에서 "합리적인 것으로 간주할 수 있는 것은 무엇인가"로 이동할 것입니다.
다른 주들 — EFF는 유사한 이니셔티브에 대해 이의를 제기할 것이라고 이미 발표했지만, 연령 확인 법안은 계속해서 확장되고 있습니다.

결론

유타 법원은 네트워크 엔지니어들이 오래전부터 알고 있던 사실을 확립했습니다: IP는 위치에 대한 힌트일 뿐, 증거가 아닙니다. 입법자들은 사이트에 합리적인 조치를 요구할 수 있지만, 완벽한 지리적 위치 확인은 요구할 수 없습니다. 이는 비즈니스에 두 가지를 의미합니다. 서비스 소유자는 오류에 대한 여유를 두고 지리적 논리를 구축해야 하며, "모른다"는 세 번째 상태를 설정해야 합니다. 그리고 현지 결과에 대한 정직한 접근이 필요한 사람들은 주소 품질을 더욱 엄격하게 관리해야 할 것입니다: 규제 기관의 압박 속에서 사이트는 데이터 센터를 더 자주 차단하고 주거용 및 모바일 IP를 우선적으로 신뢰할 것입니다.