딥시크, 암호화되지 않은 데이터 中 차이나모바일로 전송

중국의 저비용 고효율 생성형 AI '딥시크(DeepSeek)'에 대한 보안 우려로 여러 나라에서 사용을 금지하거나 자제를 권장하는 가운데 보안 전문 업체들이 딥시크가 사용자 데이터를 암호화하지 않은 채 전송한다고 문제를 제기했다.

PBS, 타임 등 외신에 따르면 딥시크 챗봇의 웹 로그인 페이지에는 매우 난독화된 컴퓨터 스크립트가 포함돼 있으며, 이를 해독하면 중국 국영 통신사인 차이나모바일(China Mobile)이 소유한 컴퓨터 인프라에 대한 연결이 표시된다. 이 코드에는 딥시크의 계정 생성 및 사용자 로그인 정보를 전송할 수 있는 컴퓨터 코드가 있다는 주장도 제기됐다.

딥시크는 '개인정보 보호정책' 페이지를 통해 사용자의 정보를 수집하고, 이렇게 수집한 데이터를 중국 본토 서버에 저장한다고 밝혔다. 하지만 보안 전문가들은 딥시크의 챗봇 웹 로그인 페이지에는 난독화된 컴퓨터 스크립트가 포함돼 있으며, 이를 해독하면 차이나모바일이 소유한 컴퓨터 인프라에 연결된다는 것을 밝혀냈다.

딥시크와 차이나모바일을 연결하는 이 코드의 존재는 캐나다의 사이버 보안 회사인 페루트 시큐리티(Feroot Security)가 처음 발견했으며, 다른 보언 업체들도 이를 확인했다. 페루트의 분석에 따르면 발견된 코드에는 차이나모바일의 인증 및 신원 관리 컴퓨터 시스템을 가리키는 링크가 있는 것으로 나타났으며, 이는 딥시크에 접속하는 일부 사용자의 로그인 프로세스의 일부일 수 있다는 의미다.
미국의 모바일 보안업체인 나우시큐어(NowSecure) 설립자 앤드루 후그(Andrew Hoog)는 "딥시크 iOS 앱에는 깊이 자리 잡은 보안 및 개인정보 보호 위험이 있음을 시사하는 여러 가지 특징이 있다"고 말했다. 그는 딥시크 앱이 사용자 기기에 대한 엄청난 양의 데이터를 수집한다며 보안을 이유로 딥시크 iOS 모바일 앱을 제거할 것을 촉구했다.

나우시큐어의 보고서에는 "딥시크의 iOS 앱은 민감한 데이터가 암호화되지 않은 채널을 통해 전송되는 것을 방지하는 iOS 플랫폼 보호 기능인 App Transport Security(ATS)를 비활성화한다"고 언급됐다.

이반 차리니(Ivan Tsarynny) 페루트 시큐리티 CEO는 "이런 일이 우연히 일어났다고 믿기 어렵다. 여기에는 특이한 것이 너무 많다. '연기가 나는 곳에 불이 난다'는 말을 아는가? 이 경우에는 연기가 많이 난다"며 개인정보 유출에 대한 우려를 강조했다.

그는 또 "(딥시크의 보안 우려는) 개인정보와 독점적인 정보가 노출될 수 있기 때문에 틱톡 이슈보다 훨씬 더 크다. 틱톡과 비슷하지만 훨씬 더 큰 규모이고 더 정확하다. 엔터테인먼트 비디오를 공유하는 것만이 아니다. 매우 개인적이고 민감한 비즈니스 정보를 포함할 수 있는 쿼리와 정보를 공유하는 것"이라고 덧붙였다.

딥시크의 보안 문제 외에도 이 회사가 사용자들로부터 수집한 데이터를 안전하게 보관하고 있지 않다는 보고가 또 등장했다. 사이버 보안 업체 위즈 리서치(Wiz Research) 연구원들은 딥시크에 연결된 공개적으로 액세스 가능한 데이터베이스를 발견했으며 , 이 데이터베이스에서 "상당한 양의 채팅 기록, 백엔드 데이터 및 로그 스트림, API 비밀, 운영 세부 정보를 포함한 민감한 정보"가 노출됐다고 밝혔다.

현재 미국 국방부, 나사(NASA), 해군이 딥시크에 대한 접근을 차단했으며 이탈리아와 대만도 보안 우려로 딥시크 사용 자제를 촉구했다.

국내에서도 외교부, 국방부, 산업통상자원부, 환경부, 과학기술정보통신부, 보건복지부, 금융위원회, 중소벤처기업부, 여성가족부 등이 정부망에서 딥시크 접속을 차단했다. 또 경찰, 고위공직자범죄수사처, 선거관리위원회, 서울시, 부산시, 주요 시중은행과 주요 기업들도 딥시크 접속을 금지했다.

딥시크는 현재 애플 앱스토어에서 셋째로 많이 다운로드된 무료 앱이고, 구글의 구글플레이에서는 무료 다운로드 1위 앱이다.


이상훈 글로벌이코노믹 기자 sanghoon@g-enews.com