[이데일리 이유림 기자] 최근 국내 금융권 해킹에 활용된 것으로 추정되는 중국산 인공지능(AI) 침투 도구 ‘아르텍스(ARTEX)’가 국내 업체 90여 곳을 겨냥한 대규모 해킹에도 악용된 것으로 드러났다. 이번에 경찰에 붙잡힌 해커는 블로그·유튜브 등으로 해킹을 독학한 IT 비전공자로, 생성형 AI를 활용해 단기간에 방대한 개인정보를 탈취한 것으로 조사됐다.

경찰은 생성형 인공지능(AI)을 활용해 국내 업체 90여 곳을 해킹하고 개인정보 약 820만건을 탈취한 일당 7명을 검거했다고 26일 밝혔다. 사진은 체포되는 총책 A 씨.(사진= 서울경찰청)

서울경찰청 사이버수사과는 정보통신망법 위반(침입·비밀누설) 및 공갈·공갈미수 혐의로 총책 A(32) 씨를 공소청에 구속 송치했다고 26일 밝혔다. 공범 6명은 불구속 상태로 경찰 조사를 받고 있다.

경찰에 따르면 이들은 지난해 9월부터 올해 10월까지 생성형 AI 등을 이용해 국내 업체 90여 곳의 시스템에 침입했다. 이를 통해 학원, 병원, 골프장, 대기업 계열사 등에서 개인정보 820만 건 이상과 사내 업무 자료 등을 탈취한 혐의를 받는다.

조사 결과 총책 A씨는 IT 비전공자였으나 블로그와 유튜브 등을 통해 독학으로 기술을 익힌 뒤, 지난 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 수행했던 것으로 드러났다. 범행 초기 A씨는 웹사이트 취약점 탐색 도구 등을 이용해 수작업으로 해킹을 진행했다. 기존 도구는 침투 대상 환경에 맞춰 공격자가 상황별 도구를 직접 고르고 명령어를 일일이 입력해야 하는 한계가 있었다.

그러나 A씨가 올해 8월 말부터 AI 자율침투 시스템인 ‘아르텍스’와 코딩 에이전트 도구를 본격 결합해 활용하면서 범행 양상은 급변했다. 목표 사이트만 지정하면 시스템이 스스로 상황에 맞는 도구를 골라 데이터베이스(DB) 및 관리자 페이지 취약점 등을 파고들었다. 사용자가 매 단계 개입하지 않아도 AI가 스스로 판단해 침투를 수행하면서 범행 속도와 규모가 빠르게 확대됐다.

총책 A씨의 주거지(사진= 서울경찰청)

A씨는 포털 검색 상위권에 노출되는 업체 중 ‘합의금을 낼 만한 지불 능력이 있는 곳’을 타깃으로 삼았다.

업종별로는 보험판매 업체 3곳에서 가장 많은 322만 건이 유출됐으며, 상조회사 3곳에서 143만 건이 털렸다. 이어 골프장 21곳(120만 건), 학원 12곳(99만 건), 병원 5곳(22만 건), 대학교 4곳(2만 건), 기타 업체 42곳(112만 건) 순이었다. 유출 정보에는 이름과 주민등록번호, 연락처, 주소 등이 포함됐다. 병원의 환자 진료상담 내역, 학원의 미성년자 개인정보, 대기업 계열사 관리 시스템, 지역 제2금융권 사내 게시판 정보 등도 포함됐다.

이들은 해킹 후 피해 업체 측에 “요구에 응하지 않으면 유출 사실을 알리겠다”며 협박 이메일과 문자를 지속해서 보냈다. 38개 업체를 상대로 가상화폐(테더) 등 총 3억 6000만 원 상당의 금전을 요구한 것으로 조사됐다. 다만 경찰이 조기에 덜미를 잡으면서 실제 갈취액은 영세 업체 1곳이 송금한 30만 원(공갈 혐의)에 그쳤고, 나머지 3억 6000만 원 상당의 요구에는 공갈미수 혐의가 적용됐다.

해킹 일당이 피해 업체에 보낸 협박 메일(사진= 서울경찰청)

경찰은 이번 사건을 AI 범죄의 진입장벽 하락을 보여주는 대표적 사례로 규정하고, 수사에도 ‘자체 개발 맞춤형 AI’를 동원해 대응했다.

서울경찰청은 국가수사본부로부터 고성능 AI 컴퓨터를 지원받아 수사 자료가 외부로 전송되지 않는 ‘내부망 생성형 AI 분석체계’를 구축하고 정보통신망 침입 로그 분석 등 전용 도구 3종을 개발해 적용했다. 수사팀은 방대한 데이터를 신속히 분석해 수사 착수 4개월 만에 가담자 전원을 검거하고 탈취된 개인정보를 회수했다.

경찰은 아직 피해 신고가 접수되지 않은 업체 관련 혐의와 범죄수익 추적 등 수사를 이어갈 방침이다. 경찰 관계자는 “AI를 악용한 지능화 범죄에 대응해 수사 현장의 AI 도입을 확대할 계획”이라며 “유출 협박을 받더라도 범인과 협상하거나 돈을 보내지 말고 즉시 신고해달라”고 당부했다.