서울경찰청 사이버수사과는 지난 23일 독학한 해킹 기술과 인공지능(AI)을 활용해 학원·병원·골프장 등 90여개 업체로부터 개인정보 820만건을 빼돌린 총책 A씨를 정보통신망법상 정보통신망침해 및 공갈 등 혐의로 공소청에 구속 송치했다고 26일 밝혔다. 사진은 체포되는 해킹 조직원. [서울경찰청 제공. 재판매 및 DB 금지]

IT를 전공하지 않은 30대가 독학한 해킹 기술에 인공지능(AI)을 더해 학원·병원·골프장 등 90여 개 업체에서 개인정보 820만건을 빼돌렸다가 경찰에 붙잡혔다.

서울경찰청 사이버수사과는 정보통신망법상 정보통신망침해와 공갈 등 혐의로 총책 A씨(32)를 지난 23일 공소청에 구속 송치했다고 26일 밝혔다. 같은 혐의로 입건된 일당 6명은 불구속 상태로 조사를 받고 있다.

경찰에 따르면 A씨 일당은 작년 9월부터 최근까지 생성형 AI 등을 이용해 학원, 병원, 골프장, 대학교, 대기업 계열사 등 90여 곳이 가진 개인정보 820만건과 사내 자료를 빼냈다. 이어 피해 업체에 협박 이메일을 보내 돈을 요구한 혐의를 받는다.

A씨는 IT 비전공자로, 범행 전 블로그 등을 통해 해킹 기술을 독학했다. 2019년부터 2022년까지는 보안 업체에서 모의해킹 업무를 맡아 경험을 쌓았다. 범행 초기에는 웹사이트 취약점을 찾아 주는 해킹 도구를 썼고, 지난 8월 말부터는 생성형 AI를 이용해 훨씬 넓은 범위의 업체를 무차별적으로 해킹하기 시작했다고 경찰은 밝혔다. 피해 업체 중 AI로 해킹한 곳은 60곳이다. 최근 금융권 개인정보 유출에 쓰인 'AI 자율 침투 테스트 시스템'도 A씨의 범행에 활용된 것으로 조사됐다.

개인정보를 빼낸 뒤에는 협박이 이어졌다. 일당은 "정보 유출이 외부에 알려지면 기업 이미지가 실추되고 정부의 과징금 부과가 있을 수 있다"는 취지로 업체를 압박하며 금전을 요구했다. 이런 해킹과 협박 피해를 본 업체는 38곳, 요구한 금액은 3억6천만원이다.

수사는 지난 6월 피해 업체 한 곳의 진정으로 시작됐다. 비슷한 수법의 신고가 전국에서 잇따르자 경찰은 지난 8월부터 서울청 사이버수사과로 사건을 모아 수사했다. 우선 피해 업체 임직원에게 전화나 문자로 협박한 공범 5명을 지난 7월부터 차례로 검거했고, 피해 업체의 서버 로그 등을 분석·추적해 총책 A씨의 신원을 특정한 뒤 지난 15일 체포했다. 경찰은 A씨 일당이 빼돌린 개인정보도 회수했으며, 이 정보가 다크웹 등으로 유출됐는지 등 2차 범죄 여부를 계속 수사한다.

수사 과정에서는 AI 분석도 쓰였다. 앞서 경찰청 국가수사본부는 AI를 악용한 해킹 범죄 증가에 대비해 서울청에 고성능 AI 컴퓨터를 지원했고, 서울청은 수사자료가 외부로 새지 않는 내부망 AI 분석체계를 구축해 수사에 활용했다.

경찰은 "생성형 AI를 악용한 대규모 해킹 및 개인정보 탈취 범행 관련 국내 첫 피의자 검거 사례"라며 "전문 해커 조직이 아닌 개인도 AI의 도움을 받으면 대규모 해킹이 가능해졌다"고 설명했다.

“ 저작권자 ⓒ 퍼스널포커스 무단전재 및 재배포 금지 ”