초짜 해커에 대기업도 탈탈 털렸다…기업 90곳 해킹개인정보 820만건 빼돌린 공갈단 검거 [세상&]

[헤럴드경제=김도윤 기자] “귀사의 정보를 탈취했습니다. 오후 1시까지 연락이 없을 시 정보를 유포하겠습니다. 귀사의 이미지 손실, 과징금, 고객 소송을 우습게 보지 마십시오.”

해킹 기술을 독학한 비전문 해커가 생성형 AI등을 이용해 국내 업체 90여곳에서 개인정보 820만건 이상을 빼돌린 뒤 이를 빌미로 기업들에 상습적으로 돈을 뜯어내려다 덜미가 잡혔다. 경찰의 빠른 대응으로 실제 피해금액은 30만원에 그쳤지만 총 3억6000만원을 피해 업체들에 요구한 것으로 알려졌다.

서울경찰청 사이버수사과는 정보통신망법 위반(정보통신망 침입·비밀누설) 및 공갈·공갈미수 혐의로전과 6범의 30대 남성 총책 A씨 등 7명을 검거하고 이 중 1명을 구속 송치했다고 26일 밝혔다.

경찰은 피해 신고가 접수된 15개 업체에서 약 90만건의 개인정보를 탈취한 혐의로 A씨를 지난 23일 구속 송치했다. 나머지 공갈 교사범 20대 B씨 등 공범 6명은 불구속 상태로 넘겨졌다.

경찰에 따르면 이들은 지난해 9월부터 올해 10월 초순까지 생성형 AI 등을 활용해 국내 업체 90여곳의 전산시스템에 침입해 개인정보와 내부 자료 등 820만건 이상을 탈취한 혐의를 받는다.

특히 이들은 최근 대규모 금융권 개인정보 유출 사건에 악용된 것으로 추정되는 AI 침투시험 도구 ‘아르텍스(ARTEX)’를 활용한 것으로 알려졌다. 지난 8월부터 약 40일간 경찰에 검거되기 직전까지도 무차별적인 해킹 공격을 계속해 업체 60곳의 개인정보를 빼돌렸다.

피해 업체는 학원과 병원, 골프장부터 대기업 계열사까지 다양했다.

구체적으로 ▷골프장 21곳(120만건) ▷학원 12곳(99만건) ▷병원 5곳(22만건) ▷대학교 4곳(2만건) ▷상조회사 3곳(143만건) ▷보험판매업체 3곳(322만건) ▷기타 업체 42곳(112만건)이 피해를 입었다.

탈취된 개인정보에는 이름과 주민등록번호, 전화번호, 주소 등이 포함됐고 신용카드 정보는 없었다.

총책 A씨는 비전문 해커로 블로그와 유튜브 등을 통해 해킹 기술을 독학한 것으로 조사됐다. 과거 2019년부터 3년간 보안업체에서 웹사이트 취약점을 점검하는 모의 해킹 업무를 수행한 이력이 있었다.

범행 초기엔 웹사이트의 보안 취약점을 찾아내는 자동화 도구를 직접 조작해 해킹을 시도했다. 이후 생성형 AI를 활용하면서 공격 대상은 무차별적으로 확대됐다.

이들은 탈취한 개인정보를 빌미로 피해 업체에 협박 이메일과 문자 메시지를 보내 금전을 요구했다. 요구에 응하지 않으면 고객 개인정보와 내부 자료를 외부에 공개하겠다고 협박했다.

당황한 피해자들이 합의금을 낮춰달라고 하면 ‘지금 나누고 있는 대화내역까지 같이 유출하겠다. 제시한 금액을 송금하라’면서 기업 이미지 실추를 빌미로 업체들을 압박했다.

현재까지 확인된 피해 업체는 90여곳으로, 탈취된 개인정보는 약 820만건 이상이다. 실제 피해액은 30만원에 그쳤지만 이들은 38개 업체에 총 3억6000만원을 요구한 것으로 파악됐다. 경찰은 탈취된 개인정보를 회수하고 추가 피해 여부를 조사하고 있다.

수사는 지난 6월 한 피해 업체가 진정을 제기하면서 시작됐다. 전국에서 유사한 수법의 피해 신고가 잇따르자 경찰은 지난 8월 서울경찰청 사이버수사과를 책임수사관서로 지정해 본격적인 수사에 착수했다.

경찰은 지난 7~9월 피해 업체 임직원들에게 전화와 문자메시지로 금전을 요구한 공범 5명을 차례로 검거하고, 10월 초순 텔레그램을 통해 공범들에게 범행을 지시한 B씨를 붙잡았다. 이어 피해 업체의 접속기록과 관련 증거물을 분석해 총책 A씨의 신원을 특정한 뒤 지난 15일 체포해 17일 구속하면서 일당 7명을 모두 검거했다.

경찰은 전문 해커가 아닌 개인도 AI를 활용해 대규모 해킹을 저지를 수 있다는 점에 주목하고, 자체 개발한 수사 AI로 맞대응에 나섰다.

경찰청 국가수사본부는 서울경찰청에 고성능 AI 컴퓨터를 지원했다. 서울경찰청은 이를 활용해 수사자료가 외부로 유출되지 않도록 내부망에서 작동하는 AI 분석체계를 구축하고, 수사용 AI 분석 도구 3종을 자체 개발했다.

경찰 관계자는 “경찰이 보유하고 있는 자체 AI 수사 시스템으로 수사 착수 4개월 만에 신속하게 범인 검거에 성공할 수 있었다”며 “AI 범죄에 AI기술로 맞서 수사 현장에서 도입을 확대하고 지능화되는 사이범죄 적극 대응하겠다”고 밝혔다.