개인정보 820만 건 해킹 사건, AI는 공격과 수사에 어떻게 쓰였나

생성형 인공지능(AI)을 이용해 국내 업체 90여 곳에 침입하고 개인정보와 사내 자료 820만 건을 빼낸 일당이 검거됐다.

서울경찰청은 2026년 10월 26일 해킹 총책 A씨를 정보통신망법 위반 및 공갈 혐의로 구속 송치하고, 공범 6명을 불구속 수사 중이라고 밝혔다.

범행은 2025년 9월부터 2026년 10월까지 이어진 것으로 조사됐다.

예체능을 전공한 A씨는 유튜브와 블로그로 해킹을 독학했고, 2019년부터 2022년까지 보안업체에서 모의 해킹 업무를 했다.

범행에는 대규모 언어모델(LLM) 기반 AI 코딩 에이전트와 중국산 AI 자율 침투 테스트 시스템 ‘아르텍스’가 쓰였다.

아르텍스는 최근 대규모 금융권 해킹에도 활용된 시스템이다.

A씨는 범행 초기 웹사이트 취약점을 찾아주는 자동화 도구를 쓰다가 2026년 8월부터 생성형 AI를 본격적으로 이용했다.

경찰에 따르면 피해 업체 90여 곳 가운데 60곳은 AI를 활용하기 시작한 뒤 한 달 반 사이에 침해를 당했다.

경찰은 A씨가 하루 한 곳 이상 해킹한 셈이라며, 과거라면 이 정도 규모의 공격에 해킹 그룹이 필요했을 것이라고 설명했다.

피해 업체는 대기업 계열사와 상조업체, 대학, 학원, 병원, 골프장 등 다양했다.

탈취된 정보에는 이름·전화번호·주소·주민등록번호가 포함됐으며, 학원과 병원에서는 미성년자 정보와 진료 상담 내역도 빠져나갔다.

가장 큰 피해를 본 상조업체에서는 개인정보 122만 건이 탈취됐다.

경찰은 현재까지 탈취 정보의 외부 유포 등 2차 피해는 없는 것으로 보고 있다.

일당은 금품을 요구할 업체 38곳을 골라 총 3억6000만 원 상당을 요구했지만, 실제 돈을 건넨 것으로 확인된 곳은 한 업체로 지급액은 약 30만 원이었다.

피해 업체 90여 곳 중 경찰에 신고한 곳은 15곳이다.

경찰은 금품을 지급하고도 신고하지 않은 업체가 더 있을 것으로 보고 수사하고 있다.

수사기관도 AI를 활용했다.

서울경찰청은 ‘내부망 생성형 AI 분석체계’로 수사자료 52만 건과 피해 업체 침해 로그 24억7000만 줄을 분석해 수사 착수 4개월 만에 일당을 검거했다고 밝혔다.

경찰은 지능화되는 사이버 범죄에 대응하기 위해 AI 기술을 적극 활용하고 있다고 설명했다.