개인정보 820만건 탈취·협박 사건, 90여곳 중 AI 해킹은 몇 곳?

학원·병원·골프장·대학교·대기업 계열사 등 90여곳에서 개인정보 820만건과 사내 자료를 빼돌린 혐의를 받는 32세 A씨가 구속 송치됐다. 서울경찰청은 A씨가 10월 23일 송치됐다고 26일 밝혔다. 전체 피해 업체 가운데 생성형 AI를 이용한 해킹이 확인된 곳은 60곳이다.

A씨는 정보기술 비전공자로 블로그 등을 통해 해킹 기술을 독학했고, 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 했다. 범행 초기에는 웹사이트 취약점을 찾아내는 도구를 쓰다가, 2026년 8월 말부터 생성형 AI를 활용해 공격 대상을 넓힌 것으로 조사됐다.

최근 금융권 개인정보 유출에 사용된 ‘AI 자율 침투 테스트 시스템’도 이번 범행에 활용된 것으로 경찰은 파악했다.

A씨 일당은 자료를 빼낸 뒤 유출 사실이 알려지면 기업 이미지가 실추되고 정부 과징금이 부과될 수 있다는 취지로 협박했다. 해킹과 협박 피해를 본 업체는 38곳으로, 요구한 금액은 총 3억6천만원이며 보도에 따르면 실제로 뜯어낸 돈은 3억원이다. 따라서 개인정보 탈취 피해 90여곳과 금전을 요구받은 38곳은 구분된다.

수사는 6월 피해업체 한 곳의 진정으로 시작됐다. 유사 신고가 잇따르자 경찰은 8월부터 사건을 서울청 사이버수사과로 모았고, 협박에 가담한 공범 5명을 7월부터 차례로 검거했다. 서버 로그 등을 분석해 A씨를 특정한 뒤 10월 15일 체포했으며, A씨와 함께 입건된 6명은 불구속 상태로 조사하고 있다.

경찰은 탈취한 정보를 회수했으며 다크웹 유출 등 2차 범죄 여부를 수사 중이다. 수사에는 고성능 AI 컴퓨터와 외부 유출을 막는 내부망 AI 분석체계도 활용됐다.