블로그로 해킹 독학 IT 비전공자…AI동원해 개인정보 820만 건 빼냈다

독학으로 익힌 해킹 기술에 생성형 인공지능(AI)까지 동원해 업체 90여 곳에서 개인정보 820만 건을 빼돌린 일당이 경찰에 붙잡혔습니다.

서울경찰청 사이버수사과는 정보통신망 침해와 공갈 등 혐의로 총책인 32세 A씨를 지난 23일 공소청에 구속 송치했다고 26일 밝혔습니다. 같은 혐의로 입건된 일당 6명은 불구속 상태로 조사받고 있습니다.

A씨 일당은 지난해 9월부터 최근까지 학원과 병원, 골프장, 대학교, 대기업 계열사 등 90여 곳을 해킹해 개인정보 820만 건과 사내 자료를 빼돌린 혐의를 받습니다.

이들은 탈취한 정보를 빌미로 피해 업체에 협박 이메일을 보내 금전을 요구한 혐의도 받고 있습니다.

A씨는 IT 비전공자로, 범행 전 블로그 등을 통해 해킹 기술을 독학한 것으로 조사됐습니다. 이후 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 맡으며 경험을 쌓았습니다.

범행 초기에는 웹사이트 취약점을 찾는 해킹 도구를 사용했지만, 지난 8월 말부터 생성형 AI를 동원하면서 공격 대상을 넓힌 것으로 경찰은 파악했습니다.

전체 피해 업체 가운데 AI를 활용해 해킹한 곳은 60곳으로 집계됐습니다. 최근 금융권 개인정보 유출에 사용된 'AI 자율 침투 테스트 시스템'도 범행에 활용된 것으로 조사됐습니다.

개인정보를 빼돌린 뒤에는 유출 사실이 알려질 경우 발생할 피해를 거론하며 업체들을 압박했습니다.

기업 이미지가 실추되고 정부의 과징금이 부과될 수 있다는 취지로 협박하며 돈을 요구한 것입니다. 해킹에 이어 협박까지 당한 업체는 38곳이며, 일당이 요구한 금액은 모두 3억 6,000만 원입니다.

경찰 수사는 지난 6월 피해 업체 한 곳이 진정을 제기하면서 시작됐습니다. 이후 전국에서 비슷한 수법의 신고가 잇따르자 지난 8월부터 서울경찰청 사이버수사과로 사건을 모아 수사했습니다.

경찰은 피해 업체 임직원을 전화와 문자로 협박한 공범 5명을 지난 7월부터 차례로 검거했습니다. 이어 피해 업체의 서버 접속 기록 등을 분석·추적해 A씨의 신원을 확인하고 지난 15일 체포했습니다.

일당이 탈취한 개인정보도 회수했습니다. 경찰은 해당 정보가 다크웹 등에 유출됐는지 등 2차 범죄 여부를 추가로 수사하고 있습니다.

수사 과정에는 경찰의 AI 분석체계도 활용됐습니다. 경찰청 국가수사본부는 AI 악용 해킹 범죄에 대응하기 위해 서울경찰청에 고성능 AI 컴퓨터를 지원했으며, 경찰은 수사자료가 외부로 유출되지 않는 내부망 분석체계를 구축했다고 설명했습니다.

경찰은 이번 사건을 생성형 AI를 악용한 대규모 해킹·개인정보 탈취 범행의 국내 첫 피의자 검거 사례라고 밝혔습니다.

그러면서 전문 해커 조직이 아닌 개인도 AI의 도움을 받으면 대규모 해킹이 가능해졌다고 설명했습니다.