AI 해킹 일당 검거, 비전공자는 어떻게 약 820만건을 빼냈나

생성형 인공지능(AI)으로 국내 업체 90여 곳을 해킹해 개인정보와 사내 자료 약 820만건을 탈취한 일당이 검거됐다.

생성형 AI를 악용한 대규모 해킹 범죄 피의자가 국내에서 붙잡힌 첫 사례다.

서울경찰청은 총책인 32세 남성 A씨를 구속해 송치했고, 공범 6명은 불구속 상태로 수사하고 있다.

범행은 지난해 9월부터 올해 10월까지 약 13개월 이어졌다.

IT 비전공자인 A씨는 블로그와 유튜브로 해킹을 독학했지만, 보안업체에서 모의해킹을 한 경력이 있었다.

처음에는 웹사이트 취약점을 찾는 자동화 도구를 쓰다가 생성형 AI를 활용해 공격 규모를 키웠고, 특히 8월 31일부터 이달까지 약 60개 업체를 해킹한 것으로 조사됐다.

최근 금융권 해킹 사건에도 쓰인 것으로 알려진 AI 자율 침투 테스트 도구 ‘아르텍스(ARTEX)’도 범행에 동원됐다.

피해 업체에는 대학과 대기업 계열사뿐 아니라 병원, 학원, 골프장, 상조회사도 포함됐다.

개인정보 유출을 알리면 기업 이미지가 나빠지고 과징금이나 고객의 손해배상 소송으로 이어질 수 있다는 점을 내세워 이메일로 돈을 요구했다.

경찰이 확인한 협박 피해 업체는 38곳, 요구액은 총 3억6000만원이다.

실제 지급이 확인된 곳은 한 곳으로, 지급액은 30만원이었다.

90여 업체 중 피해를 신고한 곳은 15곳이며, 나머지 75곳은 신고하지 않은 상태로 확인됐다.

수사는 6월 피해 업체 한 곳의 진정서 제출로 시작됐다.

경찰은 7~9월 공범 5명을 차례로 검거했고, 10월 초 텔레그램으로 범행을 지시한 24세 남성을 붙잡은 뒤 해킹 기록 등을 분석해 A씨를 특정했다.

A씨는 10월 15일 체포돼 17일 구속됐고, 23일 송치됐다.

수사팀은 국가수사본부의 지원으로 자체 개발한 AI 분석 도구를 활용해 통화·계좌 자료 약 52만건과 수천만 줄의 해킹 기록을 살폈다.

경찰은 이를 통해 수사 착수 약 4개월 만에 일당 7명을 모두 검거했으며, 추가 피해와 범죄수익 등을 계속 수사한다고 밝혔다.