해커가 개인정보 820만 건 빼내…AI 활용 뒤 달라진 해킹 수법은

서울경찰청은 생성형 인공지능(AI) 등을 이용해 국내 업체 90여 곳에 침입하고 개인정보와 사내 자료 820만 건을 빼낸 혐의로 총책 A씨를 구속 송치했다고 2026년 10월 26일 밝혔다.

공범 6명은 불구속 수사 중이다. 경찰은 A씨가 IT 비전공자였지만 AI를 활용해 여러 업체를 빠르게 해킹한 점에 주목했다.

경찰에 따르면 A씨 등은 2025년 9월부터 2026년 10월까지 업체 시스템에 침입해 자료를 탈취했다.

A씨가 정보를 빼내면 공범들은 전화와 문자메시지로 업체를 협박해 금품을 요구했다.

예체능을 전공한 A씨는 유튜브와 블로그로 해킹 기술을 익혔고, 2019년부터 2022년까지 보안업체에서 모의 해킹 업무를 했다.

A씨는 범행 초기에 웹사이트 취약점을 찾는 자동화 도구를 쓰다가 2026년 8월부터 생성형 AI를 본격적으로 활용했다.

해킹에는 대규모 언어모델 기반 AI 코딩 에이전트와 중국산 AI 자율 침투 테스트 시스템 ‘아르텍스(ARTEX)’가 동원됐다.

경찰은 아르텍스가 최근 대규모 금융권 해킹에도 활용된 시스템이라고 설명했다.

A씨가 AI를 활용한 기간 중 지난 한 달 반 사이에 피해를 본 업체는 90여 곳 가운데 60곳이었다.

경찰 설명에 따르면 A씨는 하루 한 곳 이상을 해킹한 셈이다.

피해 업체는 대기업 계열사와 상조업체, 대학, 학원, 병원, 골프장 등이다.

일당은 금품을 받을 가능성이 높다고 본 38곳에 총 3억6000만 원 상당을 요구했다.

실제 돈을 건넨 것으로 확인된 업체는 한 곳으로, 지급액은 약 30만 원이다.

피해 사실을 신고한 업체는 90여 곳 중 15곳이었으며, 경찰은 금품을 지급하고도 신고하지 않은 업체가 더 있는지 수사 중이다.

유출 정보에는 이름·전화번호·주소·주민등록번호가 포함됐다.

가장 많이 유출된 곳은 상조업체로 개인정보 122만 건이 빠져나갔고, 학원과 병원에서는 미성년자 정보나 진료 상담 내역도 유출됐다.

경찰은 현재까지 개인정보의 외부 유포 등 2차 피해는 없는 것으로 보고 있다.

수사에는 경찰의 내부망 생성형 AI 분석체계도 쓰였다.

경찰은 이를 통해 수사자료 52만 건과 피해 업체 침해 로그 24억7000만 줄을 분석해 수사 착수 4개월 만에 A씨 일당을 검거했다고 밝혔다.