생성형 AI(인공지능)을 이용해 국내 기업과 병원, 학원 등 90여개 업체를 해킹하고 개인정보 820만여건을 탈취한 일당이 경찰에 붙잡혔다. 생성형 AI를 악용한 대규모 해킹 범죄 피의자를 검거한 국내 첫 사례다.
서울경찰청 사이버수사과는 정보통신망법 위반과 공갈 등 혐의로 총책 A씨(32)를 구속 송치하고 공범 6명을 불구속 상태로 수사 중이라고 26일 밝혔다.
경찰에 따르면 A씨 일당은 지난해 9월부터 이달까지 생성형 AI 등을 활용해 국내 업체 90여곳의 전산시스템에 침입해 총 820만건 이상의 개인정보와 사내 자료 등을 유출한 혐의를 받고 있다. 피해업체를 상대로는 협박 이메일 등을 보내 금전을 요구한 혐의도 있다.
피해업체에는 학원과 병원, 골프장, 대기업 계열사, 제2 금융권 등이 포함됐다. 경찰은 피해가 신고된 15개 업체의 약 90만건에 개인정보 탈취 혐의로 A씨를 지난 23일 구속 송치했고, 아직 신고되지 않은 75개 피해업체에 대한 혐의도 추가 수사해 송치할 예정이다.
이들은 38개 업체를 상대로 협박해 현재까지 총 3억6000만원 상당의 금전을 요구한 것으로 파악됐다. 이들은 개인정보 유출 사실이 외부에 알려지면 기업 이미지가 실추되고 과징금 부과와 고객들의 손해배상 소송으로 이어질 수 있다며 피해 업체를 압박한 것으로 조사됐다.
경찰은 보복을 우려해 신고하지 않은 피해 업체가 더 있을 것으로 보고 추가 업체와 요구 금액에 대한 수사도 진행 중이다.
IT 비전공자가 AI로 90여개 업체 해킹…금융권 해킹 시스템도 활용
총책 A씨는 IT(정보기술) 비전공자로 블로그 등을 통해 독학으로 해킹 기술을 익혀 범행에 활용했다. 2019년부터 2022년까지 약 3년간 보안 업체에서 모의해킹 업무를 수행했다.
범행 초기에는 웹사이트 취약점을 찾아 주는 자동화 도구를 직접 조작해 해킹하다가 생성형 AI를 이용해 더넓은 범위의 업체를 무차별적으로 공격하기 시작한 것으로 드러났다. A씨는 최근 금융권 대상 개인정보 유출에 사용된 AI 자율 침투 테스트 시스템 '아르텍스' 등도 활용했다.
이번 수사는 지난 6월 피해업체 1곳의 진정으로 시작됐다. 이후 동일 수법의 피해 신고가 전국에 잇따르면서 지난 8월 서울청 사이버수사대가 책임수사관서로 지정돼 사건을 병합 수사해왔다.
경찰은 피해업체 임직원들에게 전화·문자 등을 이용해 협박한 공범 5명을 지난 7~9월 순차 검거했다. 이어 텔레그램을 통해 이들에게 범행을 교사한 공범 B씨(24)의 신원을 특정해 이달 초 검거했다. 경찰은 또 A씨의 주거지를 압수수색해 해킹에 사용된 컴퓨터와 해킹 도구, 협박용 계정 등 주요증거를 확보했다.
경찰은 '내부망 생성형 AI 분석체계'를 구축해 3가지 AI 분석 도구를 개발해 이번 검거에 활용했다. 해당 도구는 △수사자료 통합분석 도구 △수사자료 위키 도구 △정보통신망 침해로그 분석 도구에 해당한다.
수사팀은 이를 바탕으로 증거를 분석해 피의자들을 수사 착수 4개월 만에 모두 검거했다. 특히 수사자료 통합분석 도구를 활용해 주범인 A씨와 B씨를 판별한 것으로 파악됐다.
경찰 관계자는 "이번 사건은 전문 해커 조직이 아닌 개인도 AI의 도움을 받으면 다수 기업을 상대로 한 대규모 해킹이 가능해졌다는 점에서 AI가 사이버테러범죄의 진입 장벽을 낮추고 있는 것을 보여주는 사례"라고 말했다.
이어 "AI를 악용한 범죄는 기존 수사 방식만으로는 대응에 한계가 있다"며 "수사 현장에 AI 도입을 확대해 지능화되는 사이버범죄에 적극적으로 대응할 예정"이라고 덧붙였다.