'모두의 AI 해킹' 시대 왔나…개인정보 820만건 탈취 일당 덜미

국내 업체 90여곳 대상 범행…보안업체서 3년간 모의해킹 경력

IT 비전공자가 독학한 해킹 기술에 생성형 인공지능(AI)을 더해 국내 업체 90여곳에서 개인정보 등 820만건을 빼낸 혐의를 받는 일당이 경찰에 검거됐다. 누구든지 AI를 이용해 해킹을 저지를 수 있다는 걸 보여준 사례로 평가된다.

서울경찰청 사이버수사과는 26일 정보통신망 침해와 공갈 등의 혐의로 총책 A씨(32)를 지난 23일 공소청에 구속 송치했다고 밝혔다. 

경찰은 신고가 접수된 15개 업체에서 개인정보 약 90만건을 탈취한 혐의를 우선 적용했다. 공범 6명은 불구속 상태로 송치했다. 경찰에 따르면 생성형 AI를 악용한 대규모 해킹 범죄 피의자를 국내에서 검거한 것은 이번이 처음이다.

서울경찰청 전경. (사진=박광하 기자)

A씨 일당은 지난해 9월부터 이달 초순까지 13개월 동안 학원, 병원, 골프장, 대학, 상조회사, 대기업 계열사 등의 전산망에 침입해 개인정보와 사내 자료를 빼냈다. 탈취 자료를 공개하겠다며 38개 업체에 3억 6000만원을 요구했다. 성과는 빈약했다. 돈을 낸 곳은 1곳, 액수는 30만원이다. 

피해를 신고한 업체는 15곳뿐이며 나머지 75곳가량은 아직 신고하지 않았다. 경찰이 파악한 유출 규모는 ▲보험판매업체 3곳 322만건 ▲상조회사 3곳 143만건 ▲골프장 21곳 120만건 ▲학원 12곳 99만건 등이다.

A씨는 혼자서 해킹을 익힌 IT 비전공자지만 2019년부터 3년간 보안업체에서 모의해킹 업무를 맡은 경력이 있다. 범행 초기에는 웹사이트 취약점 탐색 도구를 직접 다뤘다. 지난 8월 말부터 생성형 AI를 본격적으로 쓰면서 공격 대상이 무차별로 늘었다. 피해 업체 가운데 60곳은 생성형 AI로 뚫었고 여기에 걸린 기간은 40일 남짓이다.

A씨는 AI 자율 침투 테스트 도구인 아르텍스에 코딩 에이전트 도구를 결합해 썼다. 아르텍스는 중국에서 개발한 오픈소스로, 이달 초 신한은행, KB국민은행, 하나은행 등에서 잇따라 확인된 금융권 해킹에도 쓰인 것으로 알려졌다. 마이크로소프트는 지난 21일 중국과 연계된 해킹조직이 이 도구로 전 세계 수백 개 기관을 공격했다고 밝혔다.

수사는 지난 6월 피해 업체 한 곳이 진정서를 낸 것을 계기로 시작했다. 경찰은 7월부터 9월까지 공범 5명을 차례로 검거했고 이달 초 텔레그램으로 범행을 지시한 20대 B씨를 붙잡았다. 이어 해킹 기록을 분석해 총책을 특정하고 지난 15일 A씨를 체포했다. 경찰은 내부망 생성형 AI 분석체계를 구축해 수사에 활용했다.

서울경찰청은 "전문 해커 조직이 아니어도 AI의 도움을 받으면 대규모 해킹이 가능해졌다"며 "AI가 사이버 범죄의 진입 장벽을 낮추고 있다"고 설명했다.