개인정보 820만 건 탈취 일당 적발, AI로 침입한 방식은?

생성형 인공지능(AI)을 활용해 국내 업체들을 해킹하고 개인정보 등을 빼낸 혐의를 받는 일당이 경찰에 검거됐다.

경찰은 이들이 90여 곳을 대상으로 범행을 벌여 개인정보 등 820만 건을 탈취한 것으로 파악했다.

서울경찰청 사이버수사과는 정보통신망 침해와 공갈 등의 혐의로 총책 A씨(32)를 10월 23일 구속 송치했다고 26일 밝혔다.

경찰은 신고가 접수된 업체 15곳에서 개인정보 약 90만 건을 빼낸 혐의를 우선 적용했고, 공범 6명은 불구속 송치했다.

경찰에 따르면 생성형 AI를 악용한 대규모 해킹 범죄 피의자가 국내에서 검거된 것은 이번이 처음이다.

범행은 2025년 9월부터 2026년 10월 초순까지 13개월 동안 이어졌다.

피해 업종에는 학원·병원·골프장·대학·상조회사·대기업 계열사 등이 포함됐다.

경찰이 파악한 업종별 유출 규모는 보험판매업체 3곳 322만 건, 상조회사 3곳 143만 건, 골프장 21곳 120만 건, 학원 12곳 99만 건이다.

피해를 신고하지 않은 업체는 약 75곳으로 파악됐다.

일당은 자료 공개를 빌미로 38곳에 3억6000만원을 요구했지만, 실제 돈을 낸 곳은 한 곳으로 액수는 30만원이었다.

IT 비전공자인 A씨는 독학으로 해킹 기술을 익혔고, 2019년부터 3년간 보안업체에서 모의해킹 업무를 맡았다.

범행 초기에는 웹사이트 취약점 탐색 도구를 사용했으며, 2026년 8월 말부터 생성형 AI를 본격 활용했다.

피해 업체 가운데 60곳은 AI를 이용해 침입했으며, 해당 공격에는 40일 남짓 걸렸다.

A씨는 중국에서 개발된 오픈소스 침투 테스트 도구 아르텍스에 코딩 에이전트를 결합했다.

아르텍스는 10월 초 국내 금융권 해킹에서도 쓰인 것으로 알려졌고, 마이크로소프트는 10월 21일 중국 연계 해킹 조직이 이 도구로 전 세계 수백 개 기관을 공격했다고 밝혔다.

경찰 수사는 2026년 6월 피해 업체 한 곳의 진정서 접수로 시작됐다.

경찰은 7~9월 공범 5명을 검거하고, 10월 초 텔레그램으로 범행을 지시한 20대 B씨를 붙잡았다.

해킹 기록을 분석해 A씨를 특정한 뒤 10월 15일 체포했으며, 내부망 생성형 AI 분석체계도 수사에 활용했다.

서울경찰청은 전문 해커 조직이 아니어도 AI의 도움으로 대규모 해킹이 가능해졌다며, AI가 사이버 범죄의 진입 장벽을 낮추고 있다고 설명했다.