경찰이 생성형 인공지능(AI)을 이용해 국내 업체 90여 곳을 해킹하고 개인정보 약 820만건을 빼돌려 금전을 요구한 총책을 체포했다. 사진은 서울경찰청 사이버수사과 오규식 경정이 26일 서울 종로구 서울경찰청에서 진행된 AI로 업체 90곳을 뚫어 개인정보 탈취해 금전을 요구한 일당 7명 검거 브리핑을 한 모습./뉴시스


생성형 인공지능(AI)을 이용해 국내 업체 90여 곳을 해킹하고 개인정보 약 820만건을 빼돌려 금전을 요구한 일당이 검거됐다.

26일 뉴시스에 따르면 서울경찰청 사이버수사과는 정보통신망법 위반(정보통신망 침입·비밀누설) 및 공갈·공갈미수 혐의로 총책인 32세 남성 A씨를 지난 15일 체포했다. 경찰은 A씨를 지난 17일 구속한 후 23일 송치했다. 범행에 가담한 것으로 조사된 공범 6명은 불구속 상태로 조사받고 있다.



이들은 지난해 9월부터 이번달까지 약 13개월 동안 국내 업체 90여 곳 전산망에 침입해 개인정보와 사내 업무자료 등 약 820만건을 탈취한 후 이를 유출하겠다고 협박하며 금전을 요구한 혐의를 받는다.

피해 업체에는 학원과 병원, 골프장, 대학, 상조회사, 대기업 계열사 등이 포함됐다. 이 중 15개 업체는 개인정보가 유출됐다며 피해를 신고했지만, 나머지 75개 업체는 아직 신고하지 않았다.

이들은 해킹한 업체에 개인정보를 탈취했다는 내용이 담긴 이메일을 보내 금전을 요구한 것으로 알려졌다. 개인정보가 유출될 경우 기업 이미지가 실추되고 당국의 과징금 부과와 고객들 손해배상 소송으로 이어질 수 있다는 점을 이용해 압박한 것으로 보인다.



경찰이 현재까지 확인한 협박 피해 업체는 38곳이며 일당이 요구한 금액은 총 3억6000만원에 달한다. 실제 금전을 지급한 것으로 확인된 업체는 1곳으로 피해액은 30만원으로 확인됐다.

A씨는 IT 비전공자로, 블로그와 유튜브 등을 통해 해킹 기술을 독학한 것으로 파악됐다. 다만 보안업체에서 모의해킹 업무를 수행한 경력이 있어 웹사이트 해킹에 관한 지식을 갖춘 것으로 조사됐다. A씨는 범행 초기 웹사이트 보안 취약점을 찾아내는 자동화 도구를 사용했지만, 이후 생성형 AI를 활용하면서 해킹 규모를 크게 늘렸다. 또 범행에는 최근 금융권 해킹 사건에서도 사용된 것으로 알려진 AI 자율 침투 테스트 도구 '아르텍스'가 활용됐다.

생성형 AI를 악용한 대규모 해킹 범죄 피의자가 국내에서 검거된 것은 이번이 처음이다. 이번 수사는 지난 6월 피해 업체 한 곳이 진정서를 제출하면서 시작됐다. 경찰은 지난 7월부터 9월까지 협박에 가담한 공범 5명을 순차적으로 검거했다. 이어 이번달 초 텔레그램을 통해 범행을 지시한 24세 남성 B씨를 검거했다. 이후 피해 업체들의 해킹 기록 등을 분석해 총책 A씨 신원을 특정하고 지난 15일에 체포에 성공했다.