금융사에 병원까지…비전공자도 90여곳 뚫었다, 문턱 낮아진 AI 해킹

AI(인공지능) 발달로 IT(정보기술) 비전공자도 손쉽게 대규모 해킹 범죄를 저지를 수 있다는 우려가 커지고 있다. 실제 최근 AI로 90여개 국내 기업 등을 해킹해 총 820만건의 개인정보를 유출해 경찰에 붙잡힌 총책도 IT 비전공자로 드러났다. AI가 사이버범죄의 진입 장벽을 낮추면서 범행 속도와 피해 규모도 빠르게 확대되고 있다.

26일 경찰에 따르면 서울경찰청 사이버수사과는 병원과 대학, 골프장 등 국내 업체 90여곳의 개인정보·사내 자료를 유출하고 협박한 총책 A씨(32)를 정보통신망법 위반과 공갈 등 혐의로 지난 23일 구속 송치했다. 공범 6명은 불구속 상태로 수사 중이다.

경찰에 따르면 총책 A씨는 IT 비전공자다. 블로그 등을 통해 해킹 기술을 독학해 범행해 활용한 것으로 조사됐다. 2019년부터 2022년까지 3년간은 보안업체에서 모의해킹 업무를 수행한 경력도 있다.

A씨는 범행 초기 웹사이트의 보안 취약점을 찾는 탐색 도구와 자동화 도구 등을 직접 조작해 개인정보를 빼돌렸다. 그러다 지난 8월부터는생성형 AI를 본격적으로 활용하면서 범행 규모를 급격히 늘렸다.

경찰 조사 결과 A씨는 해킹한 국내 업체 90여곳 가운데 60곳을 생성형 AI를 활용해 뚫었다. A씨가 AI를 이용해 이들 업체를 해킹하는 데 걸린 기간은 40일 남짓이었다.

기존 해킹 방식은 공격 대상의 취약점을 파악한 뒤 상황에 맞는 도구를 직접 찾아 적용해야 했다. 반면 생성형 AI는 목표를 입력하면 필요한 도구를 찾아내고 문제 해결 과정까지 제시할 수 있다. 해킹에 필요한 시간과 기술적 부담이 줄어들면서 공격 대상과 범위도 확대될 수 있다는 의미다.

실제 피해업체의 업종도 다양했다. A씨의 이번 범행을 통해 △보험판매업체 3곳(322만건) △상조회사 3곳(143만건) △골프장 21곳(120만건) △학원 12곳(99만건) 등에서 개인정보가 유출됐다. 병원과 대기업 계열사 등도 피해를 입었다. 전체 피해업체는 90여곳으로, 탈취된 개인정보는 820만건이 넘는다.

범행 대상을 고르는 방식도 단순했다. A씨는 포털사이트 검색에 노출된 업체 가운데 금전을 지급할 여력이 있다고 판단되는 곳을 골라 해킹한 것으로 조사됐다.

A씨가 이번 범행에 AI 자율 침투 테스트 시스템 '아르텍스(ARTEX)'와 코딩 에이전트 도구를 결합해 적용했다는 점도 우려를 키운다. 최근 국내외에서 아르텍스를 악용한 해킹 사례가 이어지고 있기 때문이다.

대표적으로 지난 9월 국내 금융권을 대상으로 발생한 대규모 개인정보 유출 사건에도 아르텍스가 사용된 것으로 알려졌다. 미국 마이크로소프트는 지난 21일 중국과 연계된 해킹 조직이 아르텍스를 활용해 전세계 수백개 기관을 공격했다고 밝혔다.

일본 요미우리신문에 따르면 현지 사이버보안업체 S&J는 아르텍스가 웹사이트의 취약점을 진단한 뒤 개인정보를 유출하기까지 단 15초가 걸렸다는 실험 결과를 발표하기도 했다.

경찰 역시 이번 수사에 자체 개발한 AI 분석 도구를 활용했다. 서울경찰청은 국가수사본부의 지원을 받아 수사자료가 외부로 전송되지 않는 '내부망 생성형 AI 분석체계'를 구축했다. 이를 기반으로 △수사자료 통합분석 도구 △수사자료 위키 도구 △정보통신망 침해로그 분석 도구 3가지를 개발했다.

특히 수사자료 통합분석 도구에는 약 53만건의 정보를 한꺼번에 입력해 범행 정보 간 연관성을 분석하고 용의자군을 추려내는 데 활용했다. 경찰은 이를 통해 총책 A씨와 주요 공범 B씨를 특정하는 등 수사 착수 4개월 만에 일당 7명을 모두 검거했다. 총책 A씨와 주요 공범 B씨 역시 해당 도구를 통해 판별해냈다.

서울경찰청 관계자는 "AI를 악용한 범죄는 기존 수사 방식만으로 대응하는 데 한계가 있다"며 "앞으로 수사 현장에 AI 도입을 확대해 지능화되는 사이버범죄에 적극 대응할 방침"이라고 말했다.