[이슈밸리=박지영 기자] 정보기술(IT) 비전공자가 독학한 해킹 기술과 생성형 인공지능(AI)을 결합해 대기업 계열사와 학원, 병원 등 90여개 업체에서 820만건의 개인정보를 빼돌린 범죄 일당이 경찰에 붙잡혔다.
서울경찰청 사이버수사과는 정보통신망법상 정보통신망 침해 및 공갈 등의 혐의로 총책 A씨(32)를 지난 23일 공소청에 구속 송치하고 공범 6명을 불구속 입건해 수사 중이라고 26일 밝혔다.
생성형 AI를 악용한 대규모 해킹 및 개인정보 탈취 범행 피의자를 검거한 사례는 국내에서 이번이 처음이다.
A씨 일당은 지난해 9월부터 이달까지 약 13개월 동안 학원, 병원, 골프장, 대학교, 대기업 계열사 등 90여곳의 웹사이트를 해킹해 사내 업무자료와 개인정보 820만건을 훔친 혐의를 받는다.
피해 대상에는 미성년자의 개인정보가 포함된 학원을 비롯해 122만건이 빠져나간 상조업체와 지역 상호금융기관도 포함됐다.
A씨 일당은 훔친 정보를 빌미로 38개 피해 업체에 이미지 실추와 과징금 부과 가능성 등을 언급하는 협박 이메일을 보내며 총 3억6000만원의 금전을 요구했다. 이 과정에서 한 업체로부터 30만원을 수수했으며, 나머지 요구는 미수에 그쳤다.
예체능 계열 전공자인 A씨는 블로그와 유튜브 등을 통해 해킹 기술을 독학했으며 2019년부터 2022년까지 보안 업체에서 모의해킹 업무를 담당해 경험을 쌓았다.
범행 초기 취약점 탐색 도구를 직접 조작하던 A씨는 지난 8월 말부터 생성형 AI 코딩 에이전트와 AI 자율 침투 테스트 시스템을 도입해 범행 속도를 올렸다. 8월 31일부터 이달 13일까지 40여일 만에 AI를 활용해 무차별 해킹한 업체만 60곳에 달한다.
해당 AI 자율 침투 테스트 시스템은 최근 금융권 개인정보 유출 사건에 쓰인 도구와 동일한 종류로 확인됐다.
공범들은 텔레그램 구인 글을 통해 가담했으며, B씨(24)가 총책과 연락해 범행용 계정을 조달하고 공범을 모집하면 나머지 인원이 한 통당 1만~3만원을 받고 임직원 대상 전화나 문자 협박을 이행했다.
수사는 지난 6월 한 피해 업체의 진정 접수로 시작됐다. 전국에서 유사 피해가 잇따르자 경찰은 8월 서울청 사이버수사과로 사건을 통합해 수사를 진행했다.
경찰은 피해 업체의 서버 로그 자료와 함께 통화·계좌 내역 약 53만건을 자체 내부망 AI 수사 도구로 분석해 피의자들을 식별했다. 지난 7월부터 공범들을 순차 검거하고 이달 초 B씨를 잡은 데 이어 지난 15일 총책 A씨를 체포했다.
경찰은 A씨 주거지에서 대포폰과 라우터 등을 압수하고 탈취된 개인정보를 회수했으며 다크웹 유출 등 2차 범죄 여부와 범죄수익 추적 수사를 계속 이어가고 있다.
오규식 서울경찰청 사이버범죄수사2대장은 "AI를 악용한 범죄가 기존 수사 방식만으로 대응하기 어려운 수준으로 진화하고 있다"며 피해 발생 시 금전을 송금하지 말고 즉시 신고할 것을 당부했다.
