AI 악용 해킹에… 쇼핑몰서 학원까지 정보유출 상반기 432건

29CM-강남언니-정상어학원 등… 최근 한달에만 13곳서 정보 털려
AI로 취약점 공격, 해킹 문턱 낮아져
北조직 ‘김수키’도 AI 이용 정황
“사전 포착위해 보안체계 전환 필요”

올 상반기(1∼6월)에 접수된 개인정보 유출 신고가 지난해 연간 신고 건수에 육박한 것으로 나타났다. 패션 쇼핑 플랫폼부터 영어학원, 골프장까지 대규모 회원을 보유한 민간 업체에서 개인정보 유출 사고가 잇따르는 상황을 두고 수사 당국은 인공지능(AI)을 활용한 해킹의 확산을 주요 원인으로 보고 있다. 과거 높은 전문성과 비용이 필요했던 사이버 공격의 문턱이 낮아지면서 해킹 조직이 대규모언어모델(LLM)로 랜섬웨어를 스스로 제작·유포하는 사례까지 등장한 것. 전문가들은 AI를 이용한 공격을 사전에 걸러낼 수 있는 탐지 체계를 마련해야 한다고 제언했다.

● 반년 만에 지난해 맞먹는 개인정보 유출

10일 개인정보보호위원회에 따르면 올해 상반기 접수된 개인정보 유출 신고는 432건으로 지난해 연간 신고 건수(447건)와 비슷한 수준이다. 실제로 지난달부터 최근까지 개인정보 유출 사실이 알려진 기업이 최소 13곳에 달한다. 온라인 패션 플랫폼 29CM는 주문 정보를 조회하는 응용프로그램 인터페이스(API)에 외부의 비정상적인 접근이 발생해 일부 고객의 개인정보가 유출됐다고 밝혔다. 유출된 정보는 고객 이름 13만8841건과 이름, 이메일 주소, 휴대전화번호, 배송정보가 함께 유출된 2만1011건 등 총 15만9852건이다. 이 밖에도 미용의료 플랫폼 강남언니와 초중등 영어학원 정상어학원 등에서도 개인정보 유출 사고가 연달아 발생했다.

경찰도 관련 수사를 이어가고 있다. 최근 서울경찰청 사이버수사대는 경기 여주시의 솔모로컨트리클럽(솔모로CC)에서 발생한 개인정보 유출 사건 수사에 나섰다. 해커의 침입으로 이름과 휴대전화번호, 생년월일, 이메일 등 6개 항목의 개인정보 수만 건이 유출된 것으로 파악됐다. 솔모로CC는 지난달 13일 경기 여주경찰서에 해킹 피해를 신고했고, 사건을 넘겨받은 서울경찰청은 피해자 조사를 진행했다.

보안업계에서는 개인정보 유출 사고가 급증한 배경 중 하나로 해커들의 AI 활용을 꼽는다. 한국인터넷진흥원(KISA)은 ‘2025년 사이버 위협 동향 및 2026년 전망’ 보고서에서 AI 기반 사이버 위협을 올해 주요 위협 요인으로 지목했다. AI를 활용하면 공격 대상 정찰부터 취약점 탐지, 악성코드 개발까지 자동화할 수 있어 공격에 필요한 시간과 전문성이 훨씬 줄어든다는 것이다.

● AI로 취약점 찾아 공격… 해킹 문턱 낮아졌다

실제로 최근 카카오톡을 사칭한 피싱 사이트에 아이폰 이용자가 접속하는 것만으로 기기가 해킹당하는 신종 공격 방식이 발견됐다. 과거에는 여러 보안 취약점을 단계적으로 뚫어야 해 높은 전문성과 상당한 시간·비용이 필요했던 방식이다. 전문가들은 이 공격에 AI가 활용됐을 가능성을 높게 보고 있다. 장항배 중앙대 산업보안학과 교수는 “평소에는 큰 위험으로 보지 않았던 여러 취약점을 연결하는 등 사람이 쉽게 떠올리기 어려운 방식의 공격이 이뤄졌다는 점에서 AI가 활용됐을 가능성이 있다”고 설명했다.

북한 배후로 추정되는 해킹조직 ‘김수키’도 사이버 공격에 AI 에이전트를 활용한 정황이 포착됐다. 사람이 일일이 프로그래밍하는 대신 LLM을 활용해 랜섬웨어를 제작하는 사례도 나오고 있다. 보안업계에 따르면 올해 처음 보고된 랜섬웨어 ‘제이드퍼퍼’는 AI 에이전트가 스스로 기업 서버에 침투해 권한을 탈취하고 1300여 개 데이터를 암호화한 뒤 몸값을 요구하는 협박문까지 작성했다. 김종성 국민대 정보보안암호수학과 교수는 “며칠 걸리던 랜섬웨어 제작이 최근에는 몇 시간 안에도 가능해지고 있다”고 말했다.

전문가들은 AI를 이용한 공격을 사전에 포착할 수 있도록 보안 체계를 전환해야 한다고 지적한다. AI가 매번 새로운 형태로 악성코드를 생성해 낼 경우, 이미 알려진 악성코드의 패턴을 데이터베이스와 대조하는 기존 방식으로는 탐지가 어렵기 때문이다. 황석진 동국대 국제정보대학원 교수는 “앞으로는 AI를 활용해 공격자의 행동과 계정의 이상 징후를 미리 식별하는 예측·행위 기반 방어 체계로 전환해야 한다”며 “공격이 자동화·정교화하는 만큼 접속 때마다 사용자와 기기를 검증하는 ‘제로 트러스트’와 다중 인증 등의 방식을 도입할 필요도 있다”고 했다.

김다인 기자 daout@donga.com