서울경찰청 사이버수사과는 생성형 인공지능(AI)을 이용해 국내 업체 90여곳을 해킹하고 개인정보 등 820만여건을 빼낸 뒤 금품을 요구한 혐의(정보통신망법 위반·공갈 등)로 총책 A(32)씨를 지난 23일 구속 송치하고 공범 6명을 불구속 송치했다고 26일 밝혔다.

경찰에 따르면 이들은 지난해 9월부터 올해 10월까지 약 13개월간 학원·병원·골프장·대학·상조회사·대기업 계열사 등 90여곳의 전산망에 침입해 개인정보와 내부 업무자료 약 820만건을 빼돌린 혐의를 받는다. 수사는 지난 6월 한 피해업체의 신고로 시작됐고, 공범 5명은 7월부터 9월까지 순차적으로 붙잡혔다.

독학한 해킹 기술에 생성형 AI를 더했다

IT 비전공자인 A씨는 인터넷 블로그와 유튜브로 해킹 기법을 독학했고, 2019년부터 2022년까지 한 보안업체에서 모의해킹 업무를 맡은 경력이 있다. 범행 초기에는 웹사이트 취약점을 찾는 자동화 도구를 썼지만, 지난 8월 말부터 생성형 AI 기반 침투 도구를 활용해 범행 규모를 키웠다. 8월31일부터 10월13일까지 44일 동안에만 60여곳이 추가로 뚫렸다.

이들은 피해 업체에 이메일과 전화, 문자메시지로 "돈을 주지 않으면 확보한 개인정보를 유출하겠다"고 협박한 혐의도 받는다. 경찰이 확인한 협박 피해업체는 38곳, 요구 금액은 총 3억6000만원이다. 실제 금품을 지급한 업체는 1곳으로 피해액은 30만원이었다.

경찰은 경찰청 국가수사본부 지원으로 구축한 내부망 AI 분석체계에 통화·계좌내역 등 수사자료 약 52만건과 수천만 줄의 해킹 기록을 입력해 용의자를 특정했다고 설명했다. 생성형 AI를 악용한 대규모 해킹 범죄로 피의자가 구속된 것은 국내에서 이번이 처음이다.

자료