해킹 독학한 비전공자, AI까지 동원…개인정보 820만건 빼내 협박

체포되는 해킹 조직원. 〈사진=서울경찰청 제공/연합뉴스〉

인공지능(AI)으로 해킹해 개인정보를 빼돌리고 업체들을 협박한 일당이 경찰에 붙잡혔습니다.

서울경찰청 사이버수사과는 정보통신망법상 정보통신망침해와 공갈 등 혐의로 총책인 32살 A씨를 지난 23일 공소청에 구속 송치했다고 오늘(26일) 밝혔습니다. 같은 혐의로 입건된 일당 6명은 불구속 상태로 조사받고 있습니다.

A씨 일당은 지난해 9월부터 최근까지 학원과 병원, 골프장, 대학교 등 90여곳에서 개인정보 820만건과 사내 자료를 빼돌린 혐의를 받습니다. 피해 업체에 협박 이메일을 보내 돈을 요구한 혐의도 있습니다.

경찰에 따르면 A씨는 정보기술(IT) 비전공자로 블로그 등을 통해 해킹 기술을 독학했습니다. 2019년부터 2022년까지는 보안업체에서 모의해킹 업무를 맡으며 경험을 쌓았습니다.

범행 초기에는 웹사이트 취약점을 찾는 해킹 도구를 사용했습니다. 그러다 지난 8월 말부터 생성형 AI를 활용해 해킹 대상을 무차별적으로 넓힌 것으로 조사됐습니다.

전체 피해 업체 가운데 AI를 이용해 해킹한 곳은 60곳으로 파악됐습니다. 최근 금융권 개인정보 유출에 사용된 'AI 자율 침투 테스트 시스템'도 범행에 활용된 것으로 조사됐습니다.

A씨 일당이 해킹 피해 업체에 보낸 협박 메일 재구성. 〈사진=서울경찰청 제공/연합뉴스〉

일당은 빼돌린 정보를 앞세워 피해 업체를 협박했습니다. 정보 유출이 외부에 알려지면 기업 이미지가 나빠지고 정부가 과징금을 부과할 수 있다는 취지였습니다.

해킹에 이어 협박까지 받은 업체는 38곳입니다. 일당이 요구한 금액은 모두 3억6000만원으로 집계됐습니다.

경찰은 지난 6월 피해 업체 한 곳의 진정을 받고 수사에 착수했습니다. 전국에서 비슷한 신고가 잇따르자 지난 8월부터 서울경찰청 사이버수사과로 사건을 모아 수사를 이어갔습니다.

지난 7월부터 피해 업체 임직원을 전화나 문자로 협박한 공범 5명을 순차적으로 검거했습니다. 이후 피해 업체 서버 접속 기록 등을 분석해 A씨 신원을 특정하고 지난 15일 체포했습니다.

경찰은 일당이 빼돌린 개인정보를 회수했습니다. 다크웹 유출 등 2차 범죄가 있었는지도 수사하고 있습니다.

경찰은 "생성형 AI를 악용한 대규모 해킹 및 개인정보 탈취 범행 관련 국내 첫 피의자 검거 사례"라며 "전문 해커 조직이 아닌 개인도 AI의 도움을 받으면 대규모 해킹이 가능해졌다"고 설명했습니다.