생성형 인공지능(AI)을 활용해 기업과 기관 90여곳을 해킹하고 개인정보 820만건을 탈취한 일당이 경찰에 붙잡혔다. IT 비전공자인 총책은 독학으로 해킹 기술을 익힌 뒤 AI를 활용해 공격 대상을 확대한 것으로 조사됐다.
서울경찰청 사이버수사과는 정보통신망법 위반과 공갈 등 혐의로 총책 A씨(32)를 지난 23일 구속 송치했다고 26일 밝혔다. 공범 6명은 불구속 상태로 수사를 받고 있다.
A씨 일당은 지난해 9월부터 학원·병원·골프장·대학교·대기업 계열사 등 90여곳을 해킹해 개인정보 820만건과 내부 자료를 탈취한 혐의를 받는다. 이 가운데 60곳은 생성형 AI를 활용해 공격한 것으로 파악됐다.
A씨는 IT 비전공자로 블로그 등을 통해 해킹 기술을 독학했으며, 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 담당했다. 초기에는 기존 취약점 탐지 도구를 사용했지만 지난 8월 말부터 생성형 AI를 활용해 공격 범위를 확대했다. 최근 금융권 개인정보 유출 공격에 사용된 'AI 자율 침투 테스트 시스템'도 범행에 활용된 것으로 조사됐다.
일당은 탈취한 정보의 유출 사실이 알려지면 기업 이미지가 실추되고 과징금이 부과될 수 있다고 협박하며 금전을 요구했다. 해킹과 협박 피해를 함께 본 업체는 38곳으로, 금전 요구액은 총 3억6000만원이다.
경찰은 지난 6월 피해업체의 진정을 접수한 뒤 수사에 착수했으며, 서버 로그 분석 등을 통해 총책을 특정해 지난 15일 체포했다. 탈취된 개인정보를 회수하고 다크웹 유출 등 2차 범죄 여부를 수사하고 있다.
경찰은 과거와 달리 전문 해커 조직이 아닌 개인도 AI의 도움을 받으면 대규모 해킹이 가능해졌다고 강조했다.
박진형 기자 jin@etnews.com
