AI로 개인정보 90곳 해킹…820만건 빼내고 "돈 안 주면 유출" 협박까지

학원·병원·골프장·대기업 계열사까지 무차별 해킹
38개 업체에 3억6000만원 요구…총책 구속 등 7명 검거

[파이낸셜뉴스] 생성형 인공지능(AI)으로 학원과 병원, 골프장 등 국내 업체 90여곳을 해킹하고 개인정보 820만여건을 빼낸 뒤 돈을 요구한 일당이 경찰에 붙잡혔다. IT 비전공자 출신 총책은 생성형 AI를 활용하면서 공격 대상을 빠르게 넓힌 것으로 조사됐다.

26일 서울경찰청 사이버수사과는 정보통신망법 위반과 공갈 혐의로 총책 A씨(32) 등 7명을 검거했다고 밝혔다. A씨는 구속됐으며 나머지 6명은 불구속 상태로 수사를 받고 있다.

이들은 지난해 9월부터 이달까지 국내 업체 90여곳의 시스템에 침입해 개인정보와 사내 자료를 빼낸 뒤 "돈을 주지 않으면 정보를 유출하겠다"고 협박한 혐의를 받는다. 피해 업체에는 학원과 병원, 골프장, 대기업 계열사 등이 포함됐다. 개인정보 유출 사실이 알려질 경우 기업 이미지 훼손과 과징금, 손해배상 소송으로 이어질 수 있다는 점도 압박 수단으로 삼았다.

A씨는 블로그 등을 통해 해킹 기술을 독학했고 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 한 것으로 파악됐다. 범행 초기에는 웹사이트 취약점을 찾는 자동화 도구를 사용했지만 올해 8월부터 생성형 AI와 AI 자율 침투 시스템을 활용하면서 공격 범위를 넓혔다. 경찰은 전체 피해 업체 90여곳 가운데 약 60곳이 AI를 활용한 공격으로 해킹된 것으로 보고 있다.

경찰이 디지털 포렌식 자료와 A씨 진술 등을 분석한 결과 탈취한 개인정보는 약 820만건에 달했다. 이들은 38개 업체를 상대로 총 3억6000만원 상당을 요구했지만, 신속한 검거로 받아낸 금액은 30만원에 그쳤다. 경찰은 협박을 받고도 신고하지 않았거나 돈을 지급한 뒤 피해 사실을 알리지 않은 업체가 더 있을 가능성도 확인하고 있다.

경찰은 지난 6월 피해 업체 한 곳의 신고를 받고 수사에 착수했다. 이후 전국에서 같은 수법의 신고가 잇따르자 지난 8월 사건을 병합해 수사했고, 7~9월 협박에 가담한 공범 5명을 차례로 검거한 데 이어 텔레그램으로 범행을 지시한 공범도 이달 초 붙잡았다.

총책 A씨는 피해 업체의 접속기록 등을 추적한 끝에 지난 15일 체포됐다. 경찰은 A씨 주거지를 압수수색해 해킹에 사용한 컴퓨터와 해킹 도구, 협박용 계정 등도 확보했다.

A씨는 우선 신고가 접수된 15개 업체에서 약 90만건의 개인정보를 빼낸 혐의로 지난 23일 구속 송치됐다. 경찰은 아직 신고되지 않은 나머지 75개 안팎 업체에 대한 혐의도 추가 수사할 예정이다.
경찰은 이번 사건이 생성형 AI를 악용한 대규모 해킹과 개인정보 탈취 사건에서 피의자를 검거한 국내 첫 사례라고 밝혔다. 전문 해커 조직이 아닌 개인도 AI를 활용하면 짧은 기간 다수 업체를 공격할 수 있다는 점에서 사이버 범죄의 진입 장벽이 낮아지고 있다는 설명이다.

경찰은 추가 피해 업체와 공범을 확인하는 한편 범죄수익도 계속 추적할 방침이다.

[email protected] 최승한 기자