AI로 개인정보 탈취하고 기업에 ‘돈 달라’ 협박···해킹 일당 첫 검거

경찰 로고. 경향신문DB

생성형 인공지능(AI)으로 개인정보를 탈취한 뒤 피해 업체를 상대로 금품을 요구한 해킹 조직 일당이 경찰에 붙잡혔다. IT 비전공자였던 조직의 총책은 최근 금융권 해킹에 사용된 수법 등을 이용해 AI로 기업을 해킹한 것으로 조사됐다. AI로 개인정보를 대규모 탈취한 피의자가 검거된 건 이번이 처음이다.

서울경찰청 사이버수사과는 정보통신망법 위반·공갈 등 혐의를 받는 해커 조직 총책·조직원 등 7명을 검거했다고 26일 밝혔다.

이들은 지난해 9월부터 지난 10월까지 생성형 AI를 이용해 국내 업체 90여곳의 시스템에 잠입해 820만건 이상의 개인정보·사내 자료를 빼낸 혐의를 받는다. 이들은 또 이메일이나 전화·문자로 ‘돈을 주지 않으면 확보한 개인정보를 유출시키겠다’고 협박한 것으로도 조사됐다.

이들은 해킹 사실이 알려지면 이미지 실추나 당국의 과징금 부과, 집단 손해배상 소송 등이 이어질 수 있다며 피해 기업을 협박한 것으로 파악됐다. 확인된 협박 피해 업체만 총 38곳으로, 이들이 요구한 돈은 총 3억6000만원 상당에 이른다고 경찰은 밝혔다. 경찰은 보복 우려로 신고하지 않은 피해 업체가 더 있는지 등 여죄를 수사 중이다.

총책 A씨는 IT 비전공자로, 인터넷 블로그 등으로 혼자 해킹 기술을 익힌 뒤 보안 점검을 위한 모의 해킹 업무를 수행한 전력이 있는 것으로 파악됐다. A씨는 처음에는 웹사이트 취약점을 찾는 자동화 도구를 사용하다가, AI를 이용해 더 많은 업체를 범행 표적으로 삼기 시작한 것으로 조사됐다. A씨는 최근 금융권 대상 해킹에 사용된 ‘AI 자율 침투 테스트 시스템’도 범행에 사용한 것으로 확인됐다.

경찰에 따르면 이번 사건은 생성형 AI를 악용한 대규모 해킹·개인정보 탈취 범행의 피의자를 검거한 첫 사례이다. 경찰은 “전문 해커 조직이 아니어도 AI 도움을 받으면 대규모 해킹이 가능해졌다”며 “AI가 사이버테러 범죄의 진입 장벽을 낮추고 있음을 보여주는 사례”라고 설명했다.

피해업체 1곳은 지난 6월 처음 경찰에 피해를 신고했다. 이후 동일 수법의 피해 신고가 전국에 잇따르자 경찰은 지난 8월 서울경찰청 사이버수사과를 책임수사관서로 지정하고 사건을 수사해왔다.

경찰은 조직원 5명을 지난 7월부터 지난달까지 차례로 검거했고, 텔레그램으로 범행을 교사한 공범 1명도 이달 초 검거했다. 경찰은 증거물 분석을 통해 직접 해킹을 한 총책 A씨 신원을 특정하고 지난 15일 그를 체포한 뒤 구속했다. A씨는 15개 업체의 개인정보 약 90만건을 탈취한 혐의로 지난 23일 공소청에 먼저 송치됐다. 경찰은 불구속 상태로 수사 중인 공범들도 조만간 송치할 방침이다.

앞서 경찰청 국가수사본부는 AI 상용화에 따른 해킹 범죄 증가 등을 우려해 고성능 AI컴퓨터를 서울경찰청에 지원했다. 서울경찰청은 이를 이용해 수사자료가 외부로 전송되지 않는 ‘내부망 생성형 AI 분석체계’를 구축하고 AI 분석 도구를 개발했다. 경찰 수사팀은 이 분석 체계를 이용해 관련 증거를 분석해 피의자들을 검거했다.

경찰 관계자는 “AI 악용 범죄는 기존 수사 방식만으로는 대응 한계가 있다”며 “수사 현장에 AI 도입을 확대해 지능화되는 사이버범죄에 적극 대응할 예정”이라고 말했다.