AI로 독학한 해커, 820만 건 정보 탈취해 3억 6천만 원 요구

생성형 AI 악용한 대규모 해킹 조직 검거

서울경찰청 사이버수사과는 생성형 인공지능(AI) 기술을 악용해 기업 수십 군데를 해킹하고 수백만 건의 개인정보를 탈취한 일당 7명을 붙잡았다고 26일 발표했다. 이들은 탈취한 정보를 외부에 공개하겠다고 피해 기업들을 협박하며 금품을 갈취하려 한 혐의를 받고 있다. 특히 해킹을 주도한 총책 A씨는 IT 관련 전공자가 아님에도 불구하고 AI의 도움을 받아 해킹을 수행한 것으로 드러났다.

경찰에 따르면 이들은 지난해 9월부터 올해 10월까지 대학교, 골프장, 병원, 학원 및 대기업 계열사를 포함한 약 90여 개의 업체로부터 820만 건이 넘는 사내 자료와 개인정보를 빼돌렸다. 이들은 피해 업체에 문자나 이메일, 전화 등을 통해 정보를 유출하겠다는 협박과 함께 돈을 요구했다. 범죄 구조를 살펴보면 총책 A씨가 해킹을 전담했으며, B씨가 공범 모집과 협박용 메일 계정 관리를 맡았다. B씨가 포섭한 5명의 공범은 기업들을 직접 협박하는 역할을 수행했다. 경찰은 이번 사건이 생성형 AI를 이용한 대규모 개인정보 해킹 범죄 중 첫 번째 검거 사례라고 설명했다.

독학으로 해킹 기술 습득한 총책 A씨

조사 결과, 비전공자인 A씨는 블로그 등을 통해 해킹 기법을 스스로 익혔으며, 2019년부터 2022년 사이에는 보안 업체에서 모의 해킹 업무를 수행하며 실무 경험을 쌓아온 것으로 밝혀졌다. 지난해부터는 생성형 AI를 적극 활용해 다수의 기업에 무차별적인 해킹을 시도했다. A씨는 최근 금융권을 공격할 때 사용된 중국산 프로그램인 ‘아텍스’를 사용했으며, 전체 피해 업체 90곳 중 60곳이 AI를 이용한 공격에 뚫린 것으로 확인됐다.

유출된 정보에는 고객의 주소와 전화번호, 주민등록번호, 성명 등은 물론 피해 기업의 업무 자료와 임직원 정보가 포함되어 있다. 다만 카드 정보와 같은 금전 결제 관련 데이터는 유출되지 않은 것으로 경찰은 파악했다. A씨 일당은 총 38개 업체를 대상으로 3억 6,000만 원 상당의 금품을 요구했으나, 협상 과정에서 경찰에 적발되어 실제 피해액은 영세 업체 한 곳이 입금한 30만 원이 전부인 것으로 확인됐다.

급증하는 AI 기반 사이버 공격 위협

AI를 활용한 해킹 방식이 확산됨에 따라 관련 피해도 가파르게 증가하고 있다. 미국 IT 기업 IBM의 지난 7월 보고서에 따르면, 올해 2월까지 집계된 전 세계 데이터 유출 사고 중 25%가 AI 공격에 의한 것이었으며, 이는 전년 대비 56%나 급증한 수치다. 특히 AI를 이용한 해킹의 평균 피해액은 약 80억 원(600만 달러)으로, 일반적인 데이터 유출 사고 평균인 499만 달러를 상회하는 것으로 나타났다.

지난달 말 발생한 국내 금융사 16곳 대상의 해킹 사건 역시 AI를 이용한 공격임이 경찰 조사를 통해 밝혀졌다. 해당 사건으로 금융권의 개인정보 10만 건이 유출되었으며, 현재 이 사건은 경찰청 국가수사본부에서 수사를 진행 중이다.