생성형 AI가 열어준 대규모 해킹의 길

인공지능 기술을 악용해 국내 90여 개 기업과 의료기관, 교육 시설 등을 공격하고 820만 건이 넘는 방대한 개인정보를 빼돌린 해킹 일당이 경찰에 덜미를 잡혔다. 이는 생성형 AI를 범죄에 이용한 대규모 해킹 사건에서 피의자를 검거한 국내의 첫 번째 사례다. 특히 이번 사건의 주동자인 총책 A씨가 정보기술(IT) 분야의 전공자가 아니라는 사실이 밝혀지면서, AI 기술이 범죄의 기술적 장벽을 낮춰 누구나 대규모 사이버 공격을 감행할 수 있다는 경고등이 켜졌다.

서울경찰청 사이버수사과는 정보통신망법 위반 및 공갈 등의 혐의를 적용해 총책 A씨(32)를 구속하여 검찰에 송치했으며, 나머지 공범 6명에 대해서는 불구속 상태로 수사를 이어가고 있다고 26일 밝혔다. 조사 결과 A씨 일당은 지난해 9월부터 올 이달까지 생성형 AI 기술 등을 동원해 국내 90여 개 업체의 전산망에 침투했다. 이 과정에서 사내 자료와 개인정보를 총 820만 건 이상 유출한 혐의를 받고 있다. 피해 대상에는 대기업 계열사를 비롯해 제2금융권, 골프장, 병원, 학원 등이 대거 포함됐다. 구체적인 유출 규모를 살펴보면 보험판매업체 3곳에서 322만 건, 상조회사 3곳에서 143만 건, 골프장 21곳에서 120만 건, 학원 12곳에서 99만 건의 정보가 빠져나갔다.

협박을 통한 금전 갈취와 수사 과정

이들은 유출된 개인정보를 빌미로 38개 업체를 상대로 이메일을 보내 협박했으며, 현재까지 총 3억 6,000만 원 규모의 금전을 요구한 것으로 드러났다. 범행 수법은 기업의 이미지가 실추될 경우 발생할 과징금이나 고객들의 손해배상 청구 소송 등을 언급하며 피해 기업들을 압박하는 방식이었다. 경찰은 보복을 두려워해 신고하지 못한 추가 피해 사례가 존재할 가능성을 염두에 두고, 피해 업체 수와 요구된 금액에 대한 심층 수사를 진행 중이다.

이번 사건은 지난 6월 한 피해 업체가 진정서를 제출하며 수사가 시작됐다. 이후 전국 곳곳에서 유사한 수법의 피해 신고가 접수되자, 지난 8월 서울청 사이버수사대가 책임수사관서로 지정되어 사건들을 병합해 수사해왔다. 경찰은 지난 7월부터 9월 사이에 피해 기업 임직원들에게 전화나 메시지로 협박을 가한 공범 5명을 차례로 검거했다. 이어 텔레그램을 이용해 범행을 지시한 공범 B씨(24)의 신원을 파악해 이달 초 검거하는 데 성공했다.

AI 분석 도구를 활용한 4개월 만의 검거

경찰은 이번 수사에서 '내부망 생성형 AI 분석체계'를 구축하고, 이를 통해 개발한 세 가지 특화된 AI 분석 도구를 적극 활용했다. 해당 도구로는 수사자료 통합분석도구, 수사자료 위키도구, 정보통신망 침해로그 분석도구가 포함된다. 수사팀은 이 도구들을 통해 확보된 증거를 면밀히 분석한 결과, 수사 착수 4개월 만에 모든 피의자를 검거할 수 있었다. 특히 수사자료 통합분석도구는 주범인 A씨와 B씨를 가려내는 결정적 역할을 한 것으로 알려졌다.

기술적 장벽 허문 AI 해킹의 위험성

총책 A씨는 IT 비전공자임에도 불구하고 블로그 등을 통해 해킹 기술을 스스로 익혀 범행에 사용한 것으로 확인됐다. 그는 2019년부터 2022년까지 3년간 보안업체에서 모의해킹 업무를 수행한 경력이 있었다. 범행 초기에는 웹사이트의 보안 취약점을 찾는 자동화 도구와 탐색 도구를 직접 다루며 정보를 빼돌렸으나, 지난 8월부터는 생성형 AI를 본격적으로 도입하며 범죄 규모를 급격히 확장했다. 조사 결과 A씨가 공격한 90여 개 업체 중 60곳은 생성형 AI를 통해 침투했으며, 이 과정에 소요된 기간은 불과 40일 남짓이었다.

기존의 해킹 방식은 타겟의 취약점을 파악한 후 적절한 도구를 직접 찾아 적용해야 하는 번거로움이 있었다. 그러나 생성형 AI는 목표를 설정하면 필요한 도구를 찾아줄 뿐만 아니라 문제 해결 과정까지 제시할 수 있어, 해킹에 필요한 시간과 기술적 부담을 획기적으로 줄여준다. 특히 A씨가 AI 자율침투 테스트 시스템인 '아르텍스(ARTEX)'와 코딩 에이전트 도구를 결합해 사용했다는 점은 매우 우려스럽다. 아르텍스는 최근 국내외에서 악용 사례가 보고되고 있는데, 지난 9월 국내 금융권 개인정보 유출 사건에서도 사용된 것으로 알려졌으며, 마이크로소프트는 중국 연계 해킹 조직이 이를 통해 전 세계 수백 개 기관을 공격했다고 밝힌 바 있다. 경찰 관계자는 이번 사건이 전문 해커가 아닌 개인이라도 AI를 통해 다수 기업을 공격할 수 있음을 보여주며, AI가 사이버 테러의 진입장벽을 낮추고 있다고 지적했다.