생성형 AI 악용한 국내 첫 대규모 해킹 범죄 적발
생성형 인공지능(AI) 기술을 이용해 국내 기업과 병원, 학원 등 약 90여 개의 기관을 해킹하고 820만 건이 넘는 방대한 개인정보를 빼돌린 범죄 집단이 경찰에 의해 일망타진됐다. 이는 생성형 AI를 해킹 범죄에 악용한 피의자를 검거한 국내의 첫 번째 사례로, AI를 활용하면 누구나 손쉽게 대규모 해킹을 저지를 수 있다는 보안상의 심각한 우려를 낳고 있다.
서울경찰청 사이버수사과는 정보통신망법 위반 및 공갈 혐의로 총책인 32세 A씨를 구속 송치했으며, 나머지 공범 6명에 대해서는 불구속 상태로 수사를 이어가고 있다고 26일 발표했다. 조사 결과 A씨 일당은 지난해 9월부터 이번 달까지 생성형 AI 등을 동원해 국내 90여 곳의 전산망에 침투했다. 이들은 사내 자료와 함께 총 820만 건 이상의 개인정보를 유출한 혐서가 있다. 피해 대상에는 대기업 계열사를 비롯해 골프장, 병원, 학원, 제2금융권 등이 대거 포함됐다. 구체적인 피해 규모를 살펴보면 보험판매업체 3곳에서 322만 건, 상조회사 3곳에서 143만 건, 골프장 21곳에서 120만 건, 학원 12곳에서 99만 건의 정보가 유출된 것으로 확인됐다.
기업 이미지 볼모로 3억 6천만 원 요구
이들 범죄 집단은 38개 업체를 대상으로 이메일을 보내 협박하며 현재까지 총 3억 6,000만 원에 달하는 금전을 요구했다. 개인정보 유출 사실이 공론화될 경우 기업 이미지가 훼손될 뿐만 아니라, 막대한 과징금 부과와 고객들의 손해배상 청구 소송이 뒤따를 수 있다는 점을 이용해 피해 기업들을 압박한 것이다. 경찰은 보복이 두려워 신고하지 못한 추가 피해 업체가 존재할 가능성을 염두에 두고, 미신고 업체와 추가 요구 금액에 대한 수사를 확대하고 있다.
이번 사건은 지난 6월 한 피해 업체가 진정을 접수하며 수사의 물꼬를 텄다. 이후 전국에서 유사한 수법의 신고가 잇따르자, 지난 8월 서울청 사이버수사대가 책임수사관서로 지정되어 사건을 병합해 수사해 왔다. 경찰은 지난 7월부터 9월 사이 피해 기업 임직원에게 전화와 문자 등으로 협박을 가한 공범 5명을 차례로 검거했다. 이어 텔레그램을 통해 범행을 지시한 공범 B씨(24)의 신원을 파악해 이달 초 검거에 성공했다. 수사팀은 수사자료 통합분석도구, 위키도구, 정보통신망 침해로그 분석도구 등 자체 개발한 분석 도구를 활용해 증거를 분석했으며, 이를 통해 수사 착수 4개월 만에 주범인 A씨와 B씨를 가려내며 전원 검거했다.
비전공자도 AI로 가능해진 고난도 해킹
총책 A씨는 보안 전공자가 아닌 것으로 밝혀졌다. 그는 블로그 등을 통해 해킹 기술을 독학해 범행에 사용했으며, 2019년부터 2022년까지 3년 동안 보안업체에서 모의해킹 업무를 수행한 경력이 있는 것으로 나타났다. 범행 초기에는 웹사이트의 취약점을 찾는 탐색 도구와 자동화 도구를 직접 조작해 정보를 빼돌렸으나, 지난 8월부터는 생성형 AI를 본격적으로 도입하며 범행 규모를 급격히 키웠다. 조사 결과 A씨가 해킹한 90여 곳 중 60곳은 생성형 AI를 통해 단 40일 남짓한 기간 만에 뚫린 것으로 드러났다.
기존 방식은 공격 대상의 취약점을 파악한 후 적합한 도구를 직접 찾아 적용해야 하는 기술적 부담이 컸다. 그러나 생성형 AI는 목표를 입력하기만 하면 필요한 도구를 찾아내고 문제 해결 과정까지 제시할 수 있어 공격 시간과 기술적 장벽을 크게 낮춘다. 특히 최근 국내외에서 나타나는 '아르텍스(Artifacts)'와 코딩 에이전트 도구의 결합은 우려를 더한다. 지난 9월 국내 금융권 개인정보 유출 사건에서도 아르텍스가 사용된 것으로 알려졌으며, 마이크로소프트는 중국 연계 해킹 조직이 이를 활용해 전 세계 수백 개 기관을 공격했다고 밝혔다. 경찰 관계자는 이번 사건이 전문 해커가 아닌 개인도 AI의 도움으로 대규모 사이버 테러를 저지를 수 있음을 보여주는 사례라고 지적했다.