블로그 보고 'AI해킹 독학'...개인정보 820만건 털었다

생성형 AI(인공지능)를 이용해 국내 기업과 병원, 학원 등 90여개 업체를 해킹하고 개인정보 820만여건을 탈취한 일당이 경찰에 붙잡혔다. 생성형 AI를 악용한 대규모 해킹범죄 피의자를 검거한 국내 첫 사례다. 붙잡힌 총책이 IT(정보기술) 비전공자로 드러나면서 AI를 활용하면 누구나 손쉽게 대규모 해킹범죄를 저지를 수 있다는 우려가 커졌다.

서울경찰청 사이버수사과는 정보통신망법 위반과 공갈 등 혐의로 총책 A씨(32)를 구속송치하고 공범 6명을 불구속 상태로 수사 중이라고 26일 밝혔다.

경찰에 따르면 A씨 일당은 지난해 9월부터 이달까지 생성형 AI 등을 활용해 국내 업체 90여곳의 전산시스템에 침입, 총 820만건 이상의 개인정보와 사내자료 등을 유출한 혐의를 받는다. 피해업체에는 학원과 병원, 골프장, 대기업 계열사, 제2금융권 등이 포함됐다. 구체적으로 △보험판매업체 3곳(322만건) △상조회사 3곳(143만건) △골프장 21곳(120만건) △학원 12곳(99만건) 등에서 개인정보가 유출됐다.

이들은 38개 업체를 상대로 이메일로 협박해 현재까지 총 3억6000만원 상당의 금전을 요구한 것으로 파악됐다. 이들은 개인정보 유출 사실이 외부에 알려지면 기업 이미지가 실추되고 과징금 부과와 고객들의 손해배상 청구소송으로 이어질 수 있다며 피해업체를 압박한 것으로 조사됐다.

경찰은 보복을 우려해 신고하지 않은 피해업체가 더 있을 것으로 보고 추가 업체와 요구금액에 대한 수사도 진행 중이다.

이번 수사는 지난 6월 피해업체 1곳의 진정으로 시작됐다. 이후 동일수법의 피해신고가 전국에서 잇따르며 지난 8월 서울청 사이버수사대가 책임수사관서로 지정돼 사건을 병합수사해왔다. 경찰은 피해업체 임직원에게 전화·문자 등을 이용해 협박한 공범 5명을 지난 7~9월에 순차검거했다. 이어 텔레그램을 통해 이들에게 범행을 교사한 공범 B씨(24)의 신원을 특정해 이달 초에 검거했다.

경찰은 '내부망 생성형 AI 분석체계'를 구축해 3가지 AI 분석도구를 개발, 이번 검거에 활용했다. 해당 도구는 △수사자료 통합분석도구 △수사자료 위키도구 △정보통신망 침해로그 분석도구에 해당한다.

수사팀은 이를 바탕으로 증거를 분석해 피의자들을 수사에 착수한 지 4개월 만에 모두 검거했다. 특히 수사자료 통합분석도구를 활용해 주범인 A씨와 B씨를 판별한 것으로 파악됐다.

총책 A씨는 IT 비전공자로 드러났다. 블로그 등을 통해 해킹기술을 독학해 범행에 활용한 것으로 조사됐다. 2019년부터 2022년까지 3년간은 보안업체에서 모의해킹 업무를 수행한 경력도 있다.

A씨는 범행 초기 웹사이트의 보안 취약점을 찾는 탐색도구와 자동화 도구 등을 직접 조작, 개인정보를 빼돌렸다. 그러다 지난 8월부터는 생성형 AI를 본격적으로 활용하면서 범행규모를 급격히 키웠다. 경찰 조사결과 A씨가 해킹한 국내 업체 90여곳 가운데 60곳은 생성형 AI를 활용해 뚫었다. A씨가 AI를 이용해 이들 업체를 해킹하는 데 걸린 기간은 40일 남짓이었다.

기존 해킹방식은 공격대상의 취약점을 파악한 뒤 상황에 맞는 도구를 직접 찾아 적용해야 했다. 반면 생성형 AI는 목표를 입력하면 필요한 도구를 찾아내고 문제해결 과정까지 제시할 수 있다. 해킹에 필요한 시간과 기술적 부담이 줄어들면서 공격 대상과 범위도 확대될 수 있다는 의미다.

특히 A씨가 이번 범행에 AI 자율침투 테스트 시스템 '아르텍스'(ARTEX)와 코딩 에이전트 도구를 결합해 활용했다는 점에서 우려를 키운다. 최근 국내외에서 아르텍스를 악용한 해킹사례가 이어지기 때문이다. 대표적으로 지난 9월 국내 금융권을 대상으로 발생한 대규모 개인정보 유출사건에도 아르텍스가 사용된 것으로 알려졌다. 미국 마이크로소프트는 지난 21일 중국과 연계된 해킹조직이 아르텍스를 활용해 전세계 수백 개 기관을 공격했다고 밝혔다.

경찰 관계자는 "이번 사건은 전문 해커조직이 아닌 개인도 AI의 도움을 받으면 다수 기업을 상대로 한 대규모 해킹이 가능해졌다는 점에서 AI가 사이버테러 범죄의 진입장벽을 낮추고 있는 것을 보여준 사례"라고 말했다.