생성형 인공지능(AI)으로 기업 90여 곳을 해킹해 개인정보 820만 건 이상을 탈취한 30대 남성이 경찰에 붙잡혔다. 해커는 AI 해킹 도구를 활용해 하루 평균 1곳 이상의 업체를 해킹한 것으로 드러났다. 생성형 AI를 악용한 대규모 개인정보 탈취 사건의 범인이 검거된 것은 국내에서 처음이다.
서울경찰청 사이버수사과는 정보통신망법 위반과 공갈·공갈미수 혐의로 총책 A씨(32)를 구속 송치했다고 26일 밝혔다. A씨는 지난해 9월부터 올해 10월까지 학원과 병원, 골프장, 상조회사 등 90여 개 업체의 전산망에 침입해 820만 건 이상의 개인정보와 사내 업무자료를 탈취한 혐의를 받고 있다.
목표만 입력하면 알아서 해킹
예체능 전공자인 A씨는 2019~2022년 보안업체에서 모의해킹 업무를 수행했으며, 블로그와 유튜브 등을 통해 해킹 기술을 독학한 것으로 조사됐다. 범행 초기에는 웹사이트 취약점을 찾아주는 자동화 도구를 직접 조작했지만, 지난 8월 말부터 ‘아르텍스’를 본격적으로 활용했다. 아르텍스는 최근 국내 금융회사 해킹에 사용된 것으로 알려진 AI 기반 침투 도구다.아르텍스 도입 이후 해킹 속도는 크게 빨라졌다. A씨는 8월 31일부터 10월 13일까지 44일간 업체 60곳을 해킹했다. 하루 평균 1.3곳이 넘는 업체를 공격한 것이다. 기존 자동화 도구와 달리 아르텍스는 목표만 입력하면 스스로 공격 방법을 찾아내는 방식이다. 경찰은 AI를 활용하면 개인도 과거 전문 해커 조직이 수행하던 수준의 대규모 공격을 할 수 있다고 설명했다.
피해 업체에는 대기업 계열사와 지역 상호금융기관도 포함됐다. 탈취된 정보에는 주민등록번호와 주소, 전화번호뿐 아니라 미성년자 개인정보와 일부 병원의 진료·상담 내용도 있었다. 상조회사 한 곳에서는 개인정보 122만건이 탈취되기도 했다.
A씨는 해킹 이후 피해 업체에 개인정보 일부를 첨부한 협박 이메일을 보냈다. “귀사의 이미지 손실, 과징금, 고객 소송 등을 우습게 보지 마십시오”라며 금전을 요구한 것이다. 업체가 응하지 않으면 대표나 임직원에게 문자와 전화를 보내 협박을 이어갔다.
협박에는 별도로 모집한 아르바이트생도 동원됐다. 공범 B씨(24)는 텔레그램에 “간단 전화알바 하실 분 연락주세요. 통화 30초면 됩니다”라는 글을 올려 가담자 5명을 모집했다. 이들은 건당 1만~3만원을 받고 피해 업체에 전화를 걸어 금전 지급을 독촉했다.
일당이 피해 업체 38곳에 요구한 금액은 총 3억6000만원 상당으로, 가상자산 테더로 지급할 것을 요구했다. 현재까지 확인된 실제 갈취 금액은 30만원이다. 한 피해 업체가 감액을 요청하자 A씨는 “자료와 이 대화내역을 같이 유출해드리겠습니다”라고 협박하기도 했다.
수사 착수 4개월 만에 일당 검거
경찰은 지난 6월 피해 업체 한 곳의 진정서를 접수해 수사에 착수했다. 이후 전국에서 비슷한 수법의 피해 신고가 잇따르자 8월 서울경찰청 사이버수사과가 사건을 병합 수사했다. 경찰은 7~9월 협박 가담자 5명을 검거한 데 이어 이달 초 모집책 B씨를 붙잡았다. 이후 해킹 접속기록 등을 분석해 총책 A씨를 특정하고 지난 15일 체포했다. 서울 강남구 역삼동 주거지를 압수수색해 해킹에 사용된 컴퓨터와 저장장치 등을 확보하고 탈취된 개인정보도 회수했다.경찰에 피해를 신고한 업체는 현재까지 15곳에 불과하다. 경찰은 이들 업체의 개인정보 약 90만 건 탈취 혐의 등을 적용해 A씨를 송치하고 나머지 75개 업체에 대해서는 추가 수사를 벌이고 있다. 개인정보보호위원회, 한국인터넷진흥원(KISA) 등 관계 기관과 협력해 피해 업체의 개인정보 유출 신고 의무 이행 여부도 확인할 방침이다. 개인정보의 외부 유포와 2차 범죄 악용 여부는 아직 확인되지 않았다.
이번 수사에는 경찰이 자체 개발한 AI 분석 도구도 활용됐다. 서울경찰청은 약 53만 건의 수사자료와 1.3테라바이트(TB)의 해킹 접속기록을 AI로 분석해 총책과 공범을 특정했다. 이를 통해 통상 여러 팀이 투입되는 대규모 해킹 수사를 단일팀이 수행해 수사 착수 약 4개월 만에 일당을 검거했다.
오규식 서울경찰청 사이버범죄수사2대장은 “AI가 사이버테러 범죄의 진입 장벽을 낮추고 있어 경찰도 수사 현장에 AI를 적극 도입해 대응할 예정”이라며 “개인정보 유출 협박을 받은 기업은 범인과 협상하지 말고 즉시 경찰에 신고해야 한다”고 말했다.
진영기 기자 young71@hankyung.com
관련뉴스
