딥시크 보안 논란, 무엇이 사실인가 — ‘숨겨진 코드’부터 각국 규제까지

2025년 1월 27일, 중국 스타트업 딥시크(DeepSeek)의 추론 모델 R1이 화제가 되자 엔비디아 주가는
하루 만에 약 17%, 시가총액 5,890억 달러가 증발했다. 미국 증시 사상 하루 손실
기록이었다.¹ 그런데 성능·비용 충격의 여진이 채 가시기도 전에,
이번에는 딥시크의 보안·개인정보 문제가 전면에 떠올랐다. 이 글은 “딥시크가 위험하다”는
단정을 반복하는 대신, (1) 실제로 무엇이 발견됐는지, (2) 그 발견이 어디까지 검증됐는지,
(3) 각국이 어떻게 대응했는지를 보안 연구기관의 원자료와 규제 당국 발표를 근거로 순서대로 정리한다.

딥시크 보안 논란, 핵심만 먼저 정리하면

논란은 크게 세 갈래다. 첫째, 캐나다·미국 보안업체 Feroot Security가 딥시크 웹
로그인 페이지에서 난독화된 코드를 발견했고, 이 코드가 중국 국영 통신사
차이나모바일(China Mobile)의 등록 시스템으로 사용자 정보를 보낼 수 있는 구조였다는
주장이다.² 둘째, 모바일 보안업체 NowSecure가 딥시크
iOS 앱을 감사한 결과 데이터를 암호화하지 않고 전송하는 등 다수의 결함을
확인했다.³ 셋째, 이 발견들을 계기로 이탈리아·한국·미국 등이 앱 차단이나
조사에 나섰다. 이 세 가지를 구분해서 봐야 “코드에 백도어가 있다”는 이야기와 “앱 보안이 부실하다”는
이야기가 뒤섞이지 않는다.

딥시크가 왜 이렇게 빠르게 주목받았는지의 배경은 앞서 다룬
저비용 AI 모델 딥시크의 산업 충격 글에서 정리했다.
이용자가 폭발적으로 늘어난 만큼, 수집되는 데이터의 흐름도 그만큼 넓어졌다는 점이 이번 논란의 출발점이다.

로그인 페이지의 난독화 코드, 무엇이 발견됐나

Feroot의 분석에 따르면, 문제의 코드는 변수·함수 이름을 의도적으로 뒤섞어 외부 분석을 어렵게 만드는
고도 난독화 방식으로 작성돼 있었다. Feroot는 AI 도구로 이 코드를 해독한 결과,
사용자 로그인 정보 등을 차이나모바일의 온라인 등록 사이트(CMPassport.com)로
보낼 수 있는 인증 관련 코드가 포함돼 있었다고 밝혔다.² 차이나모바일은
중국 정부가 소유·운영하는 통신사이며, 미국에서는 국가안보를 이유로 사업이 제한된 이력이 있다.

여기서 중요한 구분이 있다. Feroot가 확인한 것은 “그런 코드가 존재한다“는 사실과
그 코드가 특정 서버로 데이터를 보낼 기능적 가능성이다. 실제로 모든 사용자의 데이터가
상시로 전송됐는지, 어떤 조건에서 작동하는지까지 단정하기는 어렵다는 것이 연구진의 신중한 표현이었다.
의혹의 무게와 별개로, “가능성”과 “상시 전송의 확증”은 다른 층위의 주장이다.

독립 검증은 어디까지 이뤄졌나

단일 업체의 주장만으로는 신뢰하기 어렵다. 그래서 주목할 부분이 제3자 검증이다.
Feroot의 발견은 캘거리대학교의 조엘 리어든(Joel Reardon) 교수와 UC버클리의
세르주 에겔먼(Serge Egelman) 연구원 등 독립 보안 연구자들이 별도로 확인했고,
로그인 시스템에 차이나모바일과 연결된 인증 코드가 존재한다는 점에 대해서는 견해가 대체로
일치했다.² 복수의 전문가가 같은 코드를 관찰했다는 점은 “단순 오탐”
가능성을 낮춘다.

다만 이들도 코드가 어떤 데이터를, 어떤 빈도로 실제 전송하는지까지 완전히 규명한 것은
아니다. 웹·앱은 수시로 업데이트되므로, 특정 시점에 관찰된 코드가 이후에도 동일하게 유지된다는 보장은
없다. 이 논란을 인용할 때는 “발견 시점 기준”이라는 단서를 함께 두는 편이 정확하다.

앱 자체의 보안 결함 — 암호화 없이 전송되는 데이터

백도어 의혹과는 별개로, 딥시크 iOS 앱의 기본 보안 수준을 지적한 감사도 나왔다.
모바일 보안업체 NowSecure는 딥시크 앱이 iOS의 데이터 보호 기능인
ATS(App Transport Security)를 전역적으로 비활성화해 일부 데이터를 암호화되지 않은
채널로 전송한다고 밝혔다.³ 또한 이미 취약한 것으로 알려진
3DES(Triple DES) 암호화 알고리즘을 쓰면서 암호화 키를 코드에 하드코딩하고,
초기화 벡터를 재사용하는 등 기본 원칙에서 벗어난 구현이 확인됐다고 지적했다.

암호화 없는 전송은 공용 와이파이 같은 환경에서 통신 내용이 중간에서 열람될 위험을 키운다.
이는 특정 국가로의 데이터 이전 문제 이전에, 앱 보안의 기본기 자체가 부족하다는 뜻이다. 스마트폰 앱의
권한·데이터 보호가 왜 중요한지는
안드로이드의 앱 보안 강화 사례에서도 확인할 수 있다.
NowSecure는 기업 환경에서 이 앱을 제거할 것을 권고했다.

각국은 어떻게 대응했나 — 이탈리아·한국·미국

규제 대응은 의혹이 단순한 소문이 아님을 보여주는 지표다. 이탈리아 개인정보보호 당국
가란테(Garante)는 2025년 1월, 데이터 수집의 투명성 부족을 이유로 딥시크 챗봇을
차단했다.⁴ 한국 개인정보보호위원회는 2월 앱 마켓에서
딥시크 신규 다운로드를 중단시켰고, 이후 조사에서 딥시크가 이용자 정보를 이용자 동의 없이
국외(중국·미국)로 이전한 사실을 확인했다고 발표했다.⁵

이 밖에도 대만·호주·인도 등이 정부 기기에서의 사용을 제한하거나 조사에 착수했고, 미국에서는 정부
기기에서 딥시크 사용을 금지하는 초당적 법안이 논의됐다.² 각국의 초점은
“AI 성능”이 아니라 데이터가 어디로, 어떤 동의 절차로 흘러가는가에 맞춰져 있었다.

특히 한국 사례는 시사하는 바가 크다. 문제의 핵심은 데이터가 반드시 악용됐다는 확증이 아니라,
이용자에게 국외 이전 사실을 제대로 고지하고 동의를 받았는가라는 절차적 요건이었다.
개인정보 보호에서는 “무엇을 보냈나”만큼이나 “동의 없이 보냈나”가 위반 판단의 기준이 된다는 점을
보여준 사례다.

이 논란을 어떻게 읽어야 하나 — 한계와 균형

딥시크는 데이터 이전 의혹에 대해 자사 개인정보 처리방침 범위 내에서 처리한다는 취지로 대응해 왔고,
“정부에 데이터를 넘긴다”는 표현과 “넘길 수 있는 코드가 있다”는 표현은 법적으로 다른 층위다. 확증되지 않은
부분까지 단정하면, 오히려 검증된 사실의 신뢰까지 흐려진다. 균형 있게 정리하면 다음과 같다.

• 비교적 검증된 사실: 로그인 페이지에 차이나모바일과 연결된 인증 코드가 존재했고,
  iOS 앱이 암호화 없이 데이터를 전송하는 결함이 있었다(복수 연구자·업체 확인).
• 규제로 뒷받침된 사실: 한국 당국이 동의 없는 국외 이전을 확인했고, 여러 나라가
  차단·조사에 나섰다.
• 여전히 불확실한 부분: 전 사용자 데이터가 상시로 중국 정부에 전달됐는지, 코드가
  현재도 동일하게 작동하는지는 추가 검증이 필요하다.

이는 특정 서비스만의 문제라기보다, 국경을 넘나드는 AI 서비스 전반의 데이터 거버넌스 문제이기도 하다.
제로데이·랜섬웨어처럼 늘 새로운 위협이 등장하는 환경에서, 이용자 스스로의 점검 습관이 마지막 방어선이 된다.

결론 — 이용자가 점검할 관찰 지표

딥시크 사건은 “중국 AI는 위험하다”는 구호로 요약할 문제가 아니라, 어떤 서비스든 데이터를
어떻게 다루는지 확인하는 습관을 요구하는 사례다. AI 챗봇을 쓸 때 아래 항목을 점검해 보자.

1. 이 앱·서비스가 어느 국가 서버에 데이터를 저장·전송하는가(개인정보 처리방침 확인)
2. 통신이 암호화(HTTPS)되는가, 공용 와이파이에서 로그인해도 되는가
3. 업무·민감 정보(계정, 사내 문서, 코드)를 챗봇 입력창에 넣지 않는 원칙을 지키는가
4. 소속 조직·국가의 사용 제한·차단 조치가 있는지 확인했는가
5. 불필요한 앱 권한(위치·연락처 등)을 최소화했는가

규제와 검증은 계속 갱신되므로, 특정 서비스의 안전 여부는 “지금 시점의 발표”를 기준으로 재확인하는 것이
가장 안전하다.