‘누구나 해킹’ 현실화… 비전공자가 AI로 개인정보 820만건 탈취

생성형AI 악용 총책 국내 첫 검거
30대男, 해킹기술 독학으로 익혀
학원·병원·대학 등 90여곳 피해
“유출 알려지면 기업 이미지 실추”
업체 38곳 협박 3.6억원 요구도
警, 공범 5명 검거·2차 피해 수사

정보기술(IT) 비전공자가 해킹 기술과 인공지능(AI)을 독학해 학원·병원·골프장 등 90여개 업체로부터 개인정보 820만건을 빼돌리다 경찰에 검거됐다. 생성형 AI를 이용해 대규모 해킹 범행을 벌인 피의자가 국내에서 검거된 건 처음이다. 최근 금융권 대상 개인정보 유출에 사용된 ‘AI 자율 침투 테스트 시스템’도 해킹 범행에 이용한 것으로 파악됐다.

사진=게티이미지뱅크 제공

서울경찰청 사이버수사과는 정보통신망법상 정보통신망침해 및 공갈 등 혐의로 총책 A(32)씨를 지난 23일 공소청에 구속 송치했다고 26일 밝혔다.

A씨의 공범 6명은 불구속 상태로 경찰 수사를 받고 있다.

A씨 일당은 지난해 9월부터 최근까지 생성형 AI 등을 이용해 학원과 병원, 골프장, 대학교, 대기업 계열사 등 90여개 국내 업체가 보유한 개인정보 820만건과 사내 자료를 빼돌린 뒤, 피해 업체를 상대로 협박 이메일을 보내 금전을 요구한 혐의를 받는다.

A씨는 IT 비전공자로, 범행 전 블로그 등을 통해 해킹 기술을 혼자 익혔다. 2019년부터 2022년까지는 보안 업체에서 모의해킹 업무를 담당하며 경험을 쌓았다.

범행 초기 웹사이트의 취약점을 찾아 주는 해킹 도구를 이용하던 A씨는 지난 8월 말부터 생성형 AI를 이용해 더 넓은 범위의 업체를 무차별적으로 해킹하기 시작한 것으로 조사됐다. 피해 업체 중 AI를 활용해 해킹한 곳은 60곳이다.

특히 최근 금융권 대상 개인정보 유출에 사용된 ‘AI 자율 침투 테스트 시스템’도 A씨의 해킹 범행에 활용된 것으로 조사됐다.

A씨 일당은 해킹으로 개인정보를 빼돌린 이후 본격적인 금전 요구에 나섰다. ‘정보 유출이 외부에 알려지면 기업 이미지가 실추되고 정부의 과징금 부과, 고객들의 손해배상 소송으로 이어질 수 있다’는 취지로 압박하며 금전을 요구한 것이다.

자료=서울경찰청 제공

이 같은 방식으로 A씨 일당은 현재까지 38개 업체를 상대로 협박해 총 3억6000만원 상당의 금전을 요구한 것으로 파악됐다. 경찰은 정보유출 같은 보복을 우려해 협박을 받거나 금전을 지급하고도 신고하지 않은 피해업체가 있는지 확인 중이다. 이번 수사는 지난 6월 피해업체 한 곳의 진정으로 시작됐다. 경찰은 동일 수법의 범행 신고가 전국에서 잇따르자 지난 8월부터 서울청 사이버수사과로 사건을 모아 수사를 이어갔다.

경찰은 우선 피해업체 임직원을 전화나 문자로 협박한 공범 5명을 지난 7월부터 순차 검거했고, 피해업체의 서버 로그 자료 등을 분석·추적해 총책 A씨의 신원을 특정한 뒤 지난 15일 그를 체포했다. 아울러 A씨 일당이 탈취한 개인정보를 회수했다. 탈취한 정보의 다크웹 유출 등 2차 범죄 여부에 대한 수사도 이어간다.

서울 서대문구 경찰청 국가수사본부. 연합뉴스

앞서 경찰청 국가수사본부는 AI 이용 확산에 따라 이를 악용한 해킹 범죄가 늘어날 것에 대비해 서울청에 고성능 AI 컴퓨터를 지원했다.

아울러 수사자료가 외부로 유출되지 않는 내부망 AI 분석체계를 구축해 3가지 ‘AI 분석 도구’(수사자료 통합분석 도구·위키 도구, 정보통신망 침해로그 분석 도구)를 개발했다.

경찰 관계자는 “AI를 악용한 범죄는 기존 수사 방식만으로는 대응에 한계가 있는 만큼 수사 현장에 AI 도입을 확대해 지능화되는 사이버범죄에 적극 대응할 예정”이라며 “개인정보 유출 협박을 받은 기업은 범인과 협상하거나 돈을 보내지 말고 즉시 경찰에 신고해주실 것을 당부드린다”고 밝혔다.

경찰은 신한·KB국민·하나은행 등 금융사가 잇달아 AI 해킹 침해를 당한 ‘금융기관 해킹 사건’에 대한 수사도 이어나갈 전망이다. 앞서 경찰은 21일 서울지방중대범죄수사청에 이 사건을 통보했지만, 서울중수청은 수사 불개시 결정을 내렸다.

유경민 기자 yookm@segye.com