지난 26일 서울경찰청이 생성형 AI를 활용해 국내 업체 90여곳을 해킹하고 개인정보 820만건을 빼돌린 일당 7명을 검거했다고 밝혔습니다. IT 비전공자인 총책이 독학한 해킹 기술에 첨단 AI를 결합해 대규모 피해를 일으킨 이번 사건은 사이버 범죄의 문턱이 그만큼 낮아졌다는 강한 경고로 읽힙니다. AI 개인정보 탈취가 더 이상 영화 속 이야기가 아닌 현실의 위협이 된 것입니다.
서울경찰청 사이버수사과는 지난 23일 정보통신망법 위반과 공갈 혐의로 총책 A씨를 구속 송치하고 공범 6명을 불구속 입건했습니다. 이들은 지난해 9월부터 최근까지 학원, 병원, 골프장, 대학, 대기업 계열사 등 90여곳을 무차별적으로 공격했으며, 탈취한 개인정보와 사내 자료를 미끼로 기업을 협박해 금전을 요구한 것으로 드러났습니다. 경찰이 집계한 협박 피해 업체만 38곳이고, 요구 금액은 총 3억6000만원에 달합니다.
| 구분 | 내용 |
|---|---|
| 범행 기간 | 지난해 9월부터 이달까지 약 13개월 |
| 피해 업체 | 학원, 병원, 골프장 등 90여곳 |
| 탈취 정보 | 개인정보 및 사내 자료 약 820만건 |
| 협박 피해 | 38개 업체, 요구액 3억6000만원 |
| 실제 지급 | 1곳, 30만원 |
| 검거 인원 | 총책 등 7명 |
목차
생성형 AI가 부른 사이버 범죄 변화
총책 A씨는 IT 비전공자로 블로그와 유튜브를 통해 해킹을 독학했습니다. 이후 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 맡으며 실무 경험을 쌓았고, 범행 초기에는 웹사이트 취약점을 찾아주는 자동화 도구를 사용했습니다. 그런데 지난 8월 말부터 생성형 AI와 AI 자율 침투 테스트 시스템을 활용하면서 공격 범위가 급격히 넓어졌다고 경찰은 설명했습니다. 실제로 AI를 동원한 해킹 피해 업체만 약 60곳에 이릅니다.
이번 사건의 가장 큰 의미는 전문 해커 조직이 아니라 일반 개인도 AI의 도움만 있으면 대규모 해킹이 가능해졌다는 점입니다. 생성형 AI가 취약점 분석, 공격 코드 작성, 침투 시나리오 설계까지 스스로 처리하면서 시간과 기술의 벽이 허물어진 것입니다. AI 개인정보 탈취 범죄가 앞으로 더 정교해지고 빈번해질 수 있다는 우려가 나오는 이유입니다. 관련 보도에서도 확인할 수 있듯이 금융권 개인정보 유출 사고에 사용된 AI 자율 침투 도구까지 이번 범행에 동원되었습니다.
기업 이미지를 겨냥한 협박 수법
일당은 해킹으로 빼낸 개인정보를 미끼로 본격적인 금전 요구에 나섰습니다. 정보 유출이 외부에 알려지면 기업 이미지가 무너지고 정부 과징금과 고객 손해배상 소송까지 이어질 수 있다는 점을 집요하게 압박 수단으로 활용했습니다. 이런 위협에 못 이겨 실제로 돈을 건넨 업체도 있었지만, 경찰의 신속한 검거 덕분에 확인된 피해액은 30만원에 그쳤습니다.
피해 업체 가운데 15곳은 개인정보 유출 사실을 신고했지만, 나머지 75곳은 아직 신고조차 하지 않은 상태입니다. 협박을 받고도 회사 평판이 나빠질까 봐 침묵한 곳이 더 있을 수 있다는 뜻입니다. 조용히 돈을 지불하고 사건을 덮으려는 기업이 많아질수록 AI 개인정보 탈취 범죄는 더욱 기승을 부릴 수밖에 없습니다. 피해 사실을 숨기기보다 신속히 신고해야 범죄자를 끝까지 추적할 수 있습니다.
경찰의 AI 대응 수사가 만든 결과
이번 수사는 지난 6월 피해 업체 하나의 진정서에서 시작됐습니다. 경찰은 전국에서 비슷한 수법의 신고가 잇따르자 지난 8월 사건을 모아 집중 수사에 들어갔고, 7월부터 9월까지 협박을 담당한 공범 5명을 순차적으로 검거했습니다. 이후 텔레그램으로 범행을 지시한 공범까지 붙잡았고, 피해 업체의 접속 기록과 서버 로그를 분석해 총책의 신원을 특정했습니다.
눈여겨볼 것은 경찰도 AI를 수사에 활용했다는 점입니다. 국가수사본부의 지원을 받아 구축한 내부망 AI 분석 체계에 통화 기록, 계좌 내역 등 수사자료 약 52만건과 수천만 줄에 달하는 해킹 기록을 입력해 용의자를 추려냈습니다. 방대한 데이터에서 핵심 단서를 찾아내는 데 AI가 결정적인 역할을 했고, 그 결과 수사 착수 약 4개월 만에 일당 전원을 검거할 수 있었습니다. 사이버 범죄가 진화하는 만큼 수사 기술도 함께 진화하고 있는 셈입니다.
AI 개인정보 탈취 피해를 막는 방법
AI 기술이 빠르게 진화하면서 기업과 개인 모두 새로운 보안 위협에 직면했습니다. AI 개인정보 탈취 범죄는 대상도 수법도 점점 다양해지고 있어서 예방 조치가 그 어느 때보다 중요합니다. 기업이라면 보안 패치를 주기적으로 업데이트하고, 외부 침입을 탐지하는 시스템을 강화하며, 임직원을 대상으로 피싱 메일 대응 훈련을 정기적으로 실시해야 합니다. 또한 중요한 데이터는 별도로 암호화해 보관하고, 접근 권한이 있는 직원의 계정을 주기적으로 점검하는 습관이 필요합니다.
개인도 안심할 수 없습니다. 같은 비밀번호를 여러 사이트에서 쓰지 말고, 이중 인증을 반드시 활성화하는 것이 기본입니다. 의심스러운 이메일이나 문자에 포함된 링크를 누르기 전에 발신자를 다시 한 번 확인해야 합니다. 정기적으로 명의도용 여부를 점검하고, 개인정보가 노출된 사실을 발견하면 즉시 해당 기관에 알리고 비밀번호를 변경하는 것이 좋습니다. 평소 이렇게 작은 습관을 지키는 것만으로도 AI 개인정보 탈취 위험을 크게 줄일 수 있습니다.
| 주체 | 예방 방법 |
|---|---|
| 기업 | 보안 패치 업데이트, 접근 권한 점검, 임직원 보안 교육 |
| 개인 | 비밀번호 분리 사용, 이중 인증 설정, 피싱 링크 주의 |
생성형 AI 시대의 보안 의식
이번 사건은 범죄자가 아니라 수사기관이 AI를 더 효과적으로 활용한 좋은 사례로 기록될 것입니다. 하지만 그 이면에는 아직 밝혀지지 않은 피해 업체와 범죄 수익이 더 있을 수 있다는 사실을 잊어서는 안 됩니다. AI 기술은 앞으로도 계속 발전할 것이고, 이를 악용하는 범죄 역시 더 정교해질 것입니다. 그렇다면 우리가 가져야 할 태도는 분명합니다. 최신 보안 위협을 꾸준히 확인하고, 의심스러운 정황이 발견되면 즉시 신고하는 능동적인 대응입니다.
AI 개인정보 탈취는 특정 기업만의 문제가 아니라 우리 모두의 일상과 연결된 문제입니다. 기술이 만들어낸 위협은 기술로 막을 수 있다는 점을 이번 경찰의 수사 성과가 보여주고 있습니다. 개인과 기업, 그리고 수사기관이 함께 경계심을 유지한다면 생성형 AI의 어두운 그림자 속에서도 우리의 소중한 정보를 안전하게 지켜낼 수 있을 것입니다.
자주 묻는 질문
Q: 생성형 AI 해킹은 일반 해킹과 어떤 점이 다른가요?
A: 생성형 AI는 취약점 분석과 공격 코드 작성을 스스로 처리해서 시간과 기술력이 부족한 사람도 대규모 해킹이 가능합니다. 전문가가 아닌 일반인이 AI 도구만으로 여러 업체를 동시에 공격할 수 있다는 점이 가장 큰 차이입니다.
Q: 개인정보 유출 피해를 의심하면 어떻게 해야 하나요?
A: 먼저 해당 서비스 비밀번호를 즉시 변경하고, 개인정보보호 종합지원 포털을 통해 명의도용 여부를 확인하는 것이 좋습니다. 피해 사실이 확인되면 경찰청 사이버수사대나 해당 기관에 신고하고, 금융 거래 내역도 꼼꼼히 점검해야 합니다.
Q: 기업이 AI 해킹을 예방하려면 어떤 점이 가장 중요할까요?
A: 보안 패치를 최신 상태로 유지하고, 외부 접근을 엄격히 통제하는 것이 기본입니다. 여기에 임직원들의 보안 인식을 높이고 이상 접속을 탐지하는 시스템을 갖추는 것이 AI 개인정보 탈취 위협을 줄이는 가장 확실한 방법입니다.
