서울경찰청이 생성형 AI로 기업을 해킹해 금품을 요구한 일당 7명을 검거했습니다. 경찰은 AI를 악용한 대규모 해킹·개인정보 탈취 범행의 피의자를 붙잡은 것은 이번이 처음이라고 26일 밝혔습니다.

이들은 지난해 9월부터 올해 10월까지 생성형 AI를 활용해 국내 업체 90여곳의 시스템에 침입한 혐의를 받습니다. 빼낸 개인정보와 사내 자료는 820만건이 넘습니다. 이메일과 전화, 문자로 돈을 주지 않으면 확보한 정보를 유출하겠다고 협박한 사실도 조사됐습니다.

협박의 논리는 구체적이었습니다. 해킹 사실이 알려지면 기업 이미지가 떨어지고 당국의 과징금 부과와 집단 손해배상 소송이 이어질 수 있다며 피해 기업을 압박했다고 경찰은 설명했습니다. 확인된 협박 피해 업체는 38곳, 요구한 금액은 모두 3억6000만원 상당입니다. 보복이 두려워 신고하지 않은 업체가 더 있는지도 경찰이 들여다보고 있습니다.

IT 비전공 총책, AI로 표적 넓혀

범행을 이끈 총책 A씨는 IT를 전공하지 않았습니다. 인터넷 블로그 등으로 혼자 해킹 기술을 익혔고, 보안 점검용 모의 해킹 업무를 맡은 적도 있다고 경찰은 파악했습니다.

A씨는 처음에는 웹사이트의 취약점을 찾는 자동화 도구를 썼습니다. 그러다 AI를 쓰면서 표적으로 삼는 업체를 크게 늘렸습니다. 최근 금융권 해킹에 쓰인 ‘AI 자율 침투 테스트 시스템’도 범행에 동원됐습니다. 침투 테스트는 시스템에 실제로 침입을 시도해 허점을 찾는 점검 기법으로, 본래 보안을 강화하려고 쓰는 방식입니다.

경찰은 “전문 해커 조직이 아니어도 AI 도움을 받으면 대규모 해킹이 가능해졌다”고 말했습니다. AI가 사이버범죄의 진입 장벽을 낮추고 있음을 보여주는 사례라는 것이 경찰의 설명입니다.

신고 접수부터 총책 구속까지

수사의 출발점은 지난 6월입니다. 피해 업체 1곳이 처음 경찰에 신고했고, 같은 수법의 신고가 전국에서 잇따르자 경찰은 8월 서울경찰청 사이버수사과를 책임수사관서로 지정했습니다.

검거는 단계적으로 이뤄졌습니다. 조직원 5명은 7월부터 지난달까지 차례로 붙잡혔고, 텔레그램으로 범행을 교사한 공범 1명은 이달 초 검거됐습니다. 경찰은 증거물을 분석해 직접 해킹을 한 총책의 신원을 특정했고, 지난 15일 체포해 구속했습니다.

A씨는 15개 업체에서 개인정보 약 90만건을 빼낸 혐의로 지난 23일 공소청에 먼저 송치됐습니다. 불구속 상태로 수사받는 공범들도 조만간 송치할 방침입니다.

수사 과정에는 AI도 쓰였습니다. 경찰청 국가수사본부는 AI 상용화로 해킹 범죄가 늘 것을 우려해 고성능 AI 컴퓨터를 서울경찰청에 지원했습니다. 서울경찰청은 이를 바탕으로 수사자료가 외부로 전송되지 않는 ‘내부망 생성형 AI 분석체계’를 만들고 분석 도구도 개발했는데요, 수사팀은 이 체계로 증거를 분석했고 그 결과를 토대로 피의자들을 검거했습니다.

경찰 관계자는 “AI 악용 범죄는 기존 수사 방식만으로는 대응 한계가 있다”며 “수사 현장에 AI 도입을 확대해 지능화되는 사이버범죄에 적극 대응할 예정”이라고 말했습니다.