AI 자율침투 시스템 동원해 820만 건 탈취
생성형 인공지능(AI) 기술을 악용해 국내 기업 90여 곳에서 약 820만 건에 달하는 사내 자료와 개인정보를 빼돌린 뒤 금전을 갈취하려 한 일당이 경찰에 검거됐다. 서울경찰청 사이버수사과는 정보통신망법 위반과 공갈 및 공갈미수 등의 혐의를 적용해 총책인 32세 A씨를 지난 23일 구속하여 송치했다고 26일 발표했다. A씨는 신고가 접수된 15개 업체로부터 약 90만 건의 개인정보를 탈취하고 이를 빌미로 기업들에 돈을 요구한 혐의를 받고 있다. 피해 기업 중에는 지난 8월 해킹 사고와 관련해 관계 기관에 조사를 의뢰했던 롯데케미칼도 포함된 것으로 확인됐다.
독학으로 습득한 해킹 기술의 위험성
A씨는 전문적인 IT 전공자나 보안 전문가는 아니었으나, 과거 보안 업체에서 모의해킹 업무를 수행한 경력이 있는 것으로 드러났다. 그는 블로그와 유튜브 채널의 영상들을 참고해 생성형 AI를 활용한 해킹 기법을 독학으로 익혔으며, 최근 금융권의 대규모 해킹 사건에 등장했던 ‘AI 자율침투 테스트 시스템’까지 범행에 동원했다.
텔레그램 기반의 조직적 협박 수법
범행은 보안 메신저인 텔레그램을 매개로 조직적으로 이루어졌다. A씨는 직접 해킹을 실행하고 피해 기업들에 협박성 이메일을 발송하는 총책 역할을 수행했다. 공범인 24세 B씨는 텔레그램을 통해 모집한 5명의 가담자를 활용해 기업들을 압박했다. 이들은 전화와 문자를 통해 정보 유출 사실이 알려질 경우 기업 이미지 훼손은 물론, 당국의 조사나 과징금 부과, 고객들의 소송 등으로 이어질 수 있다는 점을 강조하며 협박을 이어갔다.
광범위한 피해 규모와 확산 우려
경찰의 조사 결과, 이들이 탈취한 데이터는 최소 90개 업체에서 추출한 820만 건에 이르는 것으로 파악된다. 피해 대상에는 롯데케미칼을 비롯해 대학, 병원, 골프장, 학원 등 다양한 분야의 업체들이 포함됐다. 이들은 현재까지 38개 업체를 상대로 총 3억 6,000만 원 규모의 금전을 요구한 것으로 드러났다. 한편, 기업용 소프트웨어 기업인 더존비즈온에서도 해킹 사고가 잇따르자 정부는 민관합동조사단을 구성해 조사에 착수했다. 회계와 인사정보를 관리하는 업체의 특성상 고객사로 인한 2차 피해 가능성도 제기되는 상황이다.