비전공자가 AI로 개인정보 820만건 해킹…“AI가 사이버범죄 문턱 낮춰”

서울경찰청, 총책 구속 송치·공범 6명 수사
학원·병원·골프장·대학 등 90여 곳 침입

게티이미지뱅크

생성형 인공지능(AI)을 이용해 국내 업체 90여곳을 해킹하고 개인정보 등 820만여건을 빼돌린 30대 남성이 경찰에 붙잡혔다. 인공지능을 이용한 대규모 개인정보 해킹 피의자가 검거된 국내 첫 사례로, 피의자는 정보기술(IT) 비전공자였다. 인공지능 발달로 해킹 문턱이 낮아지며 전문가가 아니어도 손쉽게 대규모 개인정보를 빼돌릴 수 있는 위험한 현실이 실제 사례로 확인된 셈이다.

서울경찰청 사이버수사과는 정보통신망법 위반과 공갈·공갈미수 혐의로 총책 ㄱ(32)씨를 구속 송치하고 공범 6명을 수사 중이라고 26일 밝혔다. ㄱ씨 등은 지난해 9월부터 이달까지 학원과 병원, 골프장, 대학, 상조회사, 대기업 계열사 등 국내 업체 90여곳의 전산망에 침입해 개인정보와 내부 자료 820만여건을 빼돌린 혐의를 받는다. 이들은 이 가운데 38개 업체에 유출 사실을 알리며 총3억6000만원을 요구한 것으로 조사됐다. 실제 돈을 건넨 것으로 확인된 업체는 1곳으로, 피해액은 30만원이다.

주범인 ㄱ씨는 2019~2022년 보안업체에서 모의해킹 업무를 수행한 경력이 있지만, 정보기술 관련 공식 학력은 없는 비전공자였다. 전문가가 아닌 ㄱ씨가 수백만건에 이르는 개인정보를 빼돌린 수단은 온라인에서 독학한 해킹 지식과 인공지능이었다. ㄱ씨는 범행 초기 누리집 취약점을 찾아주는 자동화 도구를 이용하다가, 올해 8월부터는 생성형 인공지능을 본격적으로 활용해 다수 업체를 무차별적으로 공격하기 시작했다고 한다.

ㄱ씨는 특히 최근 금융권의 대규모 개인정보 유출에 사용된 것으로 알려져 논란이 된 아르텍스(ARTEX: 에이아이 자율 침투 테스트 시스템)를 범행에 이용한 것으로 조사됐다. 애초 전산 시스템의 취약점을 발견하기 위해 만들어진 아르텍스는, 누구나 이용할 수 있는 값싼 비용과 쉬운 접근성이 ‘역이용’되며 국내외 곳곳에서 해킹 범죄에 악용된 바 있다.

이들은 해킹으로 확보한 개인정보 일부를 업체에 보낸 뒤, 정보 유출 사실이 알려지면 기업 이미지가 실추되고 과징금 부과와 손해배상 소송까지 이어질 수 있다고 압박한 것으로 조사됐다. 일부 업체가 요구에 응하지 않자 임직원에게 전화와 문자메시지로도 협박을 이어갔다. 공범들은 텔레그램에서 ‘30초 전화 아르바이트’ 등의 모집 글을 보고 가담했으며, 협박 전화 등을 하며 한 통에 1만∼3만 원을 받기로 한 것으로 조사됐다.

전문가들은 인공지능 발달로 해킹 문턱이 낮아지며 향후 범죄의 빈도와 강도가 전례 없는 수준에 이를 수 있다고 경고한다. 최병호 고려대학교 인공지능연구소 교수는 “해킹 경험이 있는 사람은 인공지능을 활용하면 범행이 더 수월해지고, 관련 지식이 아예 없는 사람도 기획력만 있으면 해킹을 시도할 수 있는 환경”이라며 “감당할 수 없을 정도로 해킹 범죄가 늘어날 수 있다”고 짚었다. 이어 “(막는 쪽에서도) 에이아이를 활용해 실시간으로 끊임없이 공격과 취약점을 분석해야 하는 만큼, 보안과 경찰 수사에 막대한 부담이 될 수 있다”고 말했다.

경찰은 탈취된 개인정보가 담긴 저장장치는 확보했지만, 외부 유출 여부는 추가로 조사 중이다. 경찰은 아직 신고되지 않은 피해 업체 75곳에 대한 수사와 범죄수익 추적을 이어갈 방침이다.

경찰 관계자는 “전문 해커 조직이 아닌 개인도 인공지능의 도움을 받으면 다수 기업을 상대로 한 대규모 해킹이 가능해졌다는 점에서, 인공지능이 사이버 테러 범죄의 진입 장벽을 낮추고 있음을 보여주는 사례”라며 “수사 현장에 인공지능 도입을 확대해 지능화되는 사이버 범죄에 적극적으로 대응할 예정”이라고 밝혔다.

장현은 기자 mix@hani.co.kr 김지윤 기자 june26@hani.co.kr