생성형 AI를 활용한 해킹으로 국내 업체 90여 곳의 개인정보 820만여 건을 빼낸 일당이 피해 업체에 보낸 협박 이메일./서울경찰청


생성형 AI를 이용한 해킹으로 개인정보 820만건을 빼낸 뒤 피해 업체로부터 금품을 요구한 일당이 경찰에 붙잡혔다. 총책은 IT 비전공자였지만 AI의 도움을 받아 대규모 해킹 범죄를 저질렀다. 경찰은 자체 개발한 AI 도구로 방대한 증거를 분석해 꼬리를 잡았다. AI가 해킹의 '창과 방패'로 첨예하게 맞서고 있는 것이다.

서울경찰청 사이버수사과는 정보통신망법 위반 및 공갈 등 혐의로 해킹 총책 A씨(32)를 구속 송치하고 공범 6명을 불구속 수사하고 있다고 26일 밝혔다. A씨 등은 지난해 9월부터 이달까지 AI 등을 이용해 국내 업체 90여 곳의 시스템에 침입해 개인정보와 사내 자료 820만건을 빼낸 혐의다. A씨가 해킹을 통해 정보를 빼내면, 공범들은 전화와 문자메시지로 업체를 협박해 금품을 뜯어내려 했다.



경찰에 따르면 예체능 전공자인 A씨는 유튜브와 블로그를 통해 해킹 기술을 독학했다. 2019년부터 2022년까지 보안업체에서 모의 해킹 업무를 수행했다. 해킹 범행에는 대규모 언어모델(LLM) 기반 AI 코딩 에이전트와 함께 중국산 AI 자율 침투 테스트 시스템인 '아르텍스'(ARTEX)가 동원됐다. 아르텍스는 최근 대규모 금융권 해킹에 활용된 시스템이다.

A씨는 범행 초기 웹사이트의 약점을 찾아주는 자동화 도구를 쓰다가 올해 8월부터 생성형 AI를 본격적으로 이용했다. A씨가 해킹에 성공한 90여 곳 중 60곳이 AI를 활용한 지난 한 달 반 사이에 피해를 입었다. 경찰은 "예전 같으면 이 정도 대규모 해킹을 하려면 해킹 그룹이 있어야 했다. 지금은 AI를 활용해 단 시간 내에 해킹에 성공한다. (A씨의 경우) 하루 1곳 이상 해킹을 한 셈"이라고 말했다.

정보 유출 피해를 본 업체는 대기업 계열사부터 상조업체, 대학, 학원, 병원, 골프장 등 다양했다. A씨 등은 돈을 지급할 가능성이 높은 업체 38곳을 선정해 총 3억6000만원 상당의 금품을 요구했다. 하지만 실제 일당에게 돈을 건넨 것으로 확인된 업체는 1곳으로, 약 30만원을 전달했다고 한다. 경찰은 금품을 줬지만 신고하지 않은 업체가 더 있는 것으로 보고 수사 중이다. 피해 사실을 신고한 업체는 90여 곳 중 15곳에 그쳤다.



유출된 개인정보는 이름과 전화번호, 주소, 주민등록번호 등이다. 가장 큰 피해를 입은 곳은 상조업체로 개인정보 122만건이 탈취됐다. 학원과 병원에선 미성년자 정보나 진료 상담 내역 등 민감 정보도 빠져나갔다. 경찰은 탈취된 개인정보의 외부 유포 등 2차 피해는 아직 없는 것으로 보고 있다.

서울경찰청은 '내부망 생성형 AI 분석체계'를 이번 수사에 활용했다고 밝혔다. 이 분석 체계를 활용해 수사자료 52만건, 피해 업체 침해 로그 24억7000줄을 분석해 수사 착수 4개월 만에 A씨 일당을 검거했다는 것이다. 경찰 관계자는 "AI 범죄에는 AI 기술로 맞설 수밖에 없다. 지능화되는 사이버 범죄에 AI를 적극 활용하고 있다"고 말했다.