AI로 90곳 해킹 820만건 탈취…경찰, 여죄 수사 중

IT 비전공자인 32세 남성 A씨가 생성형 AI와 AI 자율 침투 테스트 도구 '아르텍스(ARTEX)'를 활용해 국내 업체 90여 곳을 해킹하고 개인정보 약 820만건을 탈취한 뒤 금전을 요구한 혐의로 경찰에 붙잡혔다. 서울경찰청 사이버수사과는 정보통신망법 위반(침입·비밀누설) 및 공갈·공갈미수 혐의로 총책 A씨 등 7명을 검거했다고 26일 밝혔다. 이들이 지난해 9월부터 이달까지 약 13개월간 침입한 업체에는 학원, 병원, 골프장, 대학, 상조회사, 대기업 계열사 등이 포함됐다. 범행 초기 자동화 도구를 사용하던 A씨는 생성형 AI를 활용하면서 해킹 규모를 늘렸고, 특히 지난 8월 31일 이후 약 60개 업체를 AI로 해킹한 것으로 조사됐다.

경찰은 국가수사본부 지원으로 구축한 '내부망 생성형 AI 분석체계'와 자체 개발한 AI 분석 도구를 수사에 투입했다. 경찰청 국가수사본부는 AI 상용화에 따른 해킹 범죄 증가를 우려해 고성능 AI컴퓨터를 서울경찰청에 지원했고, 서울경찰청은 이를 이용해 수사자료가 외부로 유출되지 않는 내부망 생성형 AI 분석체계를 구축했다. 수사팀은 이 체계에 통화·계좌 내역 등 수사자료 약 52만건과 수천만 줄의 해킹 기록을 입력해 핵심 용의자를 식별하고 해킹 수법을 분석했다. 그 결과 지난 6월 첫 피해 신고 이후 약 4개월 만에 일당 7명을 모두 검거할 수 있었다.

총책 A씨는 지난 15일 체포돼 17일 구속됐으며, 15개 업체의 개인정보 약 90만건을 탈취한 혐의로 23일 송치됐다. 범행에 가담한 공범 6명은 불구속 상태로 조사 중이며, 경찰은 이들을 조만간 송치할 방침이다. 경찰이 현재까지 확인한 협박 피해 업체는 38곳이며, 요구 금액은 총 3억6000만원에 달한다. 실제 금전을 지급한 업체는 1곳으로 피해액은 30만원이다. 이들은 해킹 사실이 알려질 경우 기업 이미지 실추와 당국의 과징금, 손해배상 소송이 이어질 수 있다는 점을 이용해 피해 업체를 압박한 것으로 조사됐다.

다만 피해 신고를 한 15개 업체 중 일부에서만 개인정보 유출이 확인됐고, 나머지 75개 업체는 아직 신고조차 하지 않은 상태여서 추가 피해 규모는 미확정이다. 경찰은 보복 우려로 신고하지 않은 피해 업체가 더 있는지 등 총책의 여죄를 수사 중이며, AI 기반 수사기법을 적극 활용해 추가 피해 업체와 범죄수익을 추적할 방침이다. 생성형 AI 악용 해킹 피의자가 국내에서 검거된 것은 이번이 처음으로, 경찰은 "전문 해커 조직이 아니어도 AI 도움을 받으면 대규모 해킹이 가능해졌다"며 AI가 사이버범죄의 진입장벽을 낮추고 있다고 평가했다.