비전공자도 AI로 820만 명 정보 탈취, 해킹 상향 평준화의 경고

AI 에이전트가 열어준 대규모 해킹의 시대

IT 분야의 전문 지식이 없는 비전공자가 인공지능(AI) 기술을 악용해 대기업을 포함한 여러 기관으로부터 수백만 건의 개인정보를 빼돌린 사건이 발생했다. 이번 사건은 전문 해커가 아닌 일반 개인이 AI를 도구로 삼아 대규모 해킹 범죄를 수행한 첫 번째 사례라는 점에서 시사하는 바가 크다. 특히 목표가 주어지면 스스로 계획을 수립해 행동하는 'AI 에이전트'의 도움을 받을 경우, 일반인도 대기업의 보안 서버를 무력화하여 막대한 피해를 입힐 수 있다는 사실이 이번 사건을 통해 입증되었다.

90개 기관 뚫고 820만 건 탈취한 일당 검거

경찰은 생성형 AI를 활용해 대기업 계열사를 비롯해 대학, 병원 등 총 90곳의 기관에서 820만 건에 달하는 개인정보를 탈취한 일당 7명을 검거했다고 26일 발표했다. 이들은 탈취한 정보를 바탕으로 피해 업체들을 협박해 금전을 요구하려 했던 것으로 드러났다. 해킹을 진두지휘한 총책은 유튜브나 블로그 등을 통해 관련 기술을 독학했으며, 부족한 지식은 AI를 활용해 보완했다. 범행 과정에서 이들은 최근 금융권 해킹에 사용된 것으로 알려진 중국계 개방형 AI 도구인 '아르텍스(ARTEX)'를 사용한 것으로 파악되었다.

상향 평준화된 해킹 기술과 느린 대응 체계

최근 발생하는 해킹 범죄의 가장 위협적인 특징은 AI 에이전트의 등장으로 인해 해킹 역량이 놀라울 정도로 상향 평준화되었다는 점이다. 과거에는 고도의 숙련도를 갖춘 해커만이 견고한 보안망을 돌파할 수 있었으나, 이제는 AI 에이전트의 조력을 받는다면 누구나 광범위한 해킹을 시도할 수 있게 되었다. 특히 응답 속도가 빠른 AI를 활용함에 따라 범죄 수법 또한 매우 기민해졌다. 이번 사건의 일당 역시 40일이라는 짧은 기간 동안 60곳을 해킹할 만큼 신속한 움직임을 보였다. 이는 최근 PHP 프로그래밍 언어의 결함이 발견되자마자 이를 즉각 악용한 북한 해킹 조직 '라자루스'의 사례와도 맥을 같이 한다.

정부와 기업의 보안 투자 및 제도 개선 시급

이처럼 갈수록 정교하고 빨라지는 해킹 위협에 비해 기업과 정부의 대응 속도는 여전히 뒤처지고 있다. 금융권을 살펴보면 은행권의 보안 관련 투자가 여전히 미흡한 실정이며, 수사기관 역시 사건의 수사 주체를 확정하지 못한 채 3주간 서로 책임을 미루며 골든타임을 허비했다. 생성형 AI가 인간의 업무와 일상 전반에 근본적인 변화를 일으킨 것처럼, 범죄 역량 또한 AI 도입 전후로 확연한 격차를 보이고 있다. 따라서 정부와 학계, 산업계는 대응책 마련을 위한 인력과 비용 투자를 대폭 늘리는 한편, 보안 강화를 위한 제도적 개선 논의를 신속히 진행해야 한다.