생성형 AI로 기업 정보 탈취 후 금전 갈취
생성형 인공지능(AI) 기술을 독학해 대기업 계열사를 포함한 국내 90여 개 업체로부터 약 820만 건에 달하는 사내 자료와 개인정보를 빼돌린 뒤, 이를 빌미로 금전을 요구한 일당이 경찰에 검거됐다. 서울경찰청 사이버수사과는 정보통신망법 위반 및 공갈, 공갈미수 등의 혐의를 적용해 총책 A(32)씨를 지난 23일 구속 송치했다고 26일 밝혔다. A씨는 신고가 접수된 15개 업체에서만 약 90만 건의 개인정보를 탈취한 뒤 업체들을 상대로 돈을 요구한 혐의를 받고 있다. 피해 기업 중에는 지난 8월 해킹 사고와 관련해 관계 기관에 조사를 의뢰했던 롯데케미칼도 포함된 것으로 확인됐다.
유튜브로 익힌 해킹 기술과 조직적 협박
A씨는 전문적인 IT 전공자나 보안 전문가는 아니었으나, 유튜브와 블로그 영상 등을 참고해 생성형 AI를 활용한 해킹 기법을 스스로 터득한 것으로 드러났다. 특히 최근 금융권의 대규모 해킹 사건에서 활용된 것으로 알려진 'AI 자율침투 테스트 시스템'이 이번 범행에도 사용된 것으로 파악됐다. A씨는 보안 메신저인 텔레그램을 기반으로 범죄 조직을 운영하며, 직접 해킹을 수행하고 피해 기업에 협박성 이메일을 발송하는 총책 역할을 수행했다. 공범인 B(24)씨는 텔레그램을 통해 모집한 5명의 가담자와 함께 전화 및 문자 메시지를 이용해 기업들을 압박했다. 이들은 정보 유출이 알려질 경우 기업 이미지 실추는 물론, 당국의 조사와 과징금 부과, 고객 소송 등의 문제가 발생할 수 있다는 점을 강조하며 협박을 이어갔다.
광범위한 피해 규모와 추가 보안 위협
경찰 조사 결과, 이들이 탈취한 데이터는 최소 90개 업체에 걸쳐 약 820만 건에 이르는 것으로 추정된다. 피해 대상에는 롯데케미칼 외에도 대학, 병원, 골프장, 학원 등 다양한 분야의 업체들이 명단에 올라 있다. 이들은 현재까지 38개 업체를 대상으로 총 3억 6,000만 원 규모의 금전을 요구해 온 것으로 파악됐다. 한편, 기업용 소프트웨어를 제공하는 더존비즈온에서도 해킹 사고가 잇따라 발생함에 따라 정부가 민관합동조사단을 구성해 정밀 조사에 착수했다. 회계 및 인사 정보를 관리하는 업체의 특성상 고객사로의 2차 피해 확산 가능성도 제기되고 있어 보안 우려가 커지는 상황이다.