AI 악용해 개인정보 820만건 탈취, 비전공자 총책은 어떻게 침입했나

생성형 인공지능(AI)을 이용해 국내 업체들의 시스템에 침입하고 개인정보와 사내 자료를 빼낸 일당이 경찰에 붙잡혔다.

서울경찰청은 2026년 10월 26일 해킹 총책 A씨를 구속 송치하고 공범 6명을 불구속 수사 중이라고 밝혔다.

범행은 2025년 9월부터 이어졌으며, 피해 업체는 상조업체·대학·학원·병원·골프장 등 90여 곳에 이른다.

예체능을 전공한 A씨는 유튜브와 블로그로 해킹을 독학했고, 2019~2022년 보안업체에서 모의 해킹 업무를 했다.

범행 초기에는 웹사이트의 약점을 찾는 자동화 도구를 쓰다가 2026년 8월부터 생성형 AI를 본격 활용했다.

대규모 언어모델 기반 코딩 에이전트와 중국산 AI 자율 침투 테스트 시스템 ‘아르텍스’도 동원했다.

경찰은 침입에 성공한 업체 가운데 60곳이 AI를 사용한 최근 한 달 반 사이 피해를 입었다고 설명했다.

AI가 공격 속도를 바꾸면서 하루 한 곳 이상을 노릴 수 있었던 셈이다.

일당은 업체 38곳을 골라 총 3억6000만원 상당을 요구했다.

실제 돈을 건넨 것으로 확인된 곳은 한 곳이며, 전달액은 약 30만원이었다. 피해 업체 중 경찰에 신고한 곳은 15곳뿐이다.

경찰은 신고하지 않은 채 금품을 지급한 업체가 더 있을 가능성도 살피고 있다.

유출 정보에는 이름·전화번호·주소·주민등록번호가 포함됐다.

가장 큰 피해를 본 상조업체에서는 개인정보 122만건이 빠져나갔고, 학원과 병원에서는 미성년자 정보와 진료 상담 내역 같은 민감 정보도 유출됐다.

경찰은 현재까지 외부 유포 등 2차 피해는 확인되지 않았다고 밝혔다.

수사에는 서울경찰청의 ‘내부망 생성형 AI 분석체계’도 쓰였다.

경찰은 수사자료 52만건과 피해 업체 침해 로그 24억7000만 줄을 분석해 수사 착수 4개월 만에 일당을 검거했다.

범죄에 쓰인 AI뿐 아니라 방대한 로그를 추적하는 수사 도구로도 AI가 활용된 사례다.