개인정보 820만건 빼낸 해킹 사건, AI 활용 뒤 무엇이 달라졌나

생성형 AI를 이용해 국내 업체 90여 곳에 침입하고 개인정보와 사내 자료 820만건을 빼낸 일당이 경찰에 붙잡혔다.

서울경찰청은 2026년 10월 26일 총책 A씨를 구속 송치하고 공범 6명을 불구속 수사 중이라고 밝혔다.

예체능 전공자로 IT 비전공자인 A씨가 AI 도구를 범행에 활용했다는 점에서, 해킹에 필요한 인력과 시간이 달라진 양상이 드러났다.

A씨 등은 지난해 9월부터 2026년 10월까지 정보를 탈취한 혐의를 받는다.

예체능을 전공한 A씨는 유튜브와 블로그로 해킹 기술을 익혔고, 2019~2022년 보안업체에서 모의 해킹 업무를 했다.

범행 초기에는 웹사이트의 약점을 찾아주는 자동화 도구를 사용하다가 올해 8월부터 생성형 AI를 본격적으로 활용했다.

LLM 기반 AI 코딩 에이전트와 중국산 AI 자율 침투 테스트 시스템 ‘아르텍스’도 동원됐다.

경찰에 따르면 피해 업체 90여 곳 가운데 60곳은 AI를 활용한 지난 한 달 반 사이에 해킹당했다.

피해 업종은 대기업 계열사부터 상조업체·대학·학원·병원·골프장까지 다양했다.

탈취된 정보에는 이름과 전화번호, 주소, 주민등록번호가 포함됐고, 학원과 병원에서는 미성년자 정보와 진료 상담 내역 같은 민감한 자료도 유출됐다.

가장 큰 피해를 입은 상조업체에서는 개인정보 122만건이 빠져나갔다.

경찰은 현재까지 외부 유포 등 2차 피해는 확인되지 않았다고 밝혔다.

일당은 금품을 요구할 업체 38곳을 골라 모두 3억6000만원 상당을 요구했지만, 실제 돈을 건넨 것으로 확인된 곳은 약 30만원을 전달한 업체 한 곳이다.

피해 사실을 신고한 업체도 90여 곳 중 15곳뿐이었다.

경찰은 돈을 지급하고도 신고하지 않은 업체가 더 있을 가능성을 수사하고 있다.

경찰은 수사 과정에서 자체 개발한 ‘내부망 생성형 AI 분석체계’를 사용했다.

수사자료 52만건과 피해 업체 침해 로그 24억7000줄을 분석해 수사 착수 4개월 만에 일당을 검거했다.

범행에 AI가 쓰인 데 맞서 수사기관도 대량의 자료를 AI로 분석한 사례다.