한국의 학원·병원·대학과 기업 등을 겨냥한 대규모 해킹 사건의 수사 결과가 10월 26일 공개됐다. 서울경찰청은 생성형 인공지능(AI)을 악용해 90여 업체에서 개인정보와 사내 업무자료 약 820만 건을 빼돌리고 돈을 요구한 혐의로 일당 7명을 검거했다고 밝혔다. 자료의 건수와 피해자의 인원은 다르므로 820만 명이 피해를 봤다고 단정할 수는 없다.
뉴시스와 한국경제가 전한 경찰 설명에 따르면 총책으로 지목된 32세 남성은 정보통신망 침입·비밀누설과 공갈·공갈미수 혐의 등을 받는다. 경찰은 그를 15일 체포해 17일 구속한 뒤 23일 송치했다. 공범 6명은 불구속 상태로 수사하고 있다. 이날 새로 확인된 전개는 수사 결과의 공개이며 체포나 송치가 26일 이뤄진 것은 아니다.
경찰이 조사한 범행 기간은 지난해 9월부터 올해 10월까지다. 초기에는 웹사이트의 취약점을 찾는 자동화 도구를 사용하다가 AI 도구를 활용하면서 공격 규모를 늘린 것으로 조사됐다. 피해 업체에는 병원과 학원, 골프장, 대학, 상조회사, 대기업 계열사 등이 포함됐다. 경찰의 수사 내용과 혐의를 전하는 것으로 유죄 확정판결을 의미하지 않는다.
한국경제에 따르면 총책은 예체능 전공자로, 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 수행한 이력이 있었다. 따라서 IT 비전공자였다는 사실을 보안 지식이나 관련 경력이 전혀 없었다는 뜻으로 해석할 수는 없다. 경찰은 그가 블로그와 영상 등을 통해 해킹 기술을 익힌 뒤 올해 8월 말부터 AI 기반 도구를 본격적으로 사용한 것으로 파악했다.
협박에는 별도로 모집된 가담자들도 동원된 것으로 조사됐다. 공범인 24세 남성이 메신저에서 전화 업무를 할 사람 5명을 모집했고, 이들은 건당 1만~3만 원을 받고 피해 업체에 금전 지급을 독촉했다는 것이 경찰 설명이다. 해킹과 정보 탈취뿐 아니라 피해 기업에 압박을 가하는 과정까지 수사 대상에 포함됐다.
수사는 지난 6월 한 피해 업체의 진정서 접수로 시작됐다. 경찰은 7~9월 협박 가담자들을 순차적으로 검거한 뒤 해킹 접속기록 등을 분석해 총책을 추적했다. 한국경제는 경찰이 서울의 주거지를 압수수색하면서 컴퓨터와 저장장치를 확보하고 탈취된 정보도 회수했다고 전했다.
금전 요구액과 실제 지급액도 달라
경찰이 확인한 협박 대상은 38개 업체이며 요구액은 총 3억6000만 원이다. 실제 금전을 지급한 것으로 확인된 업체는 1곳, 금액은 30만 원이었다. 협박에 제시된 금액 전체를 실제 금전 피해액으로 계산해서는 안 된다.
한국경제는 탈취 정보에 주민등록번호·주소·전화번호뿐 아니라 미성년자의 개인정보와 일부 병원의 진료·상담 내용도 포함됐다고 보도했다. 다만 정보가 외부에 유포됐는지, 2차 범죄에 악용됐는지는 아직 확인되지 않았다고 전했다. 자료 탈취와 외부 공개 여부를 같은 사실로 취급할 수 없는 이유다.
현재 피해를 신고한 업체는 15곳이다. 경찰은 나머지 75개 업체 관련 피해와 추가 범행을 수사하고 개인정보보호위원회·한국인터넷진흥원 등과 유출 신고 의무 이행 여부도 확인할 방침이다. 경찰은 정보 유출을 빌미로 협박받은 기업에 범인과 협상하지 말고 즉시 신고할 것을 당부했다. 이번 발표만으로 개별 이용자의 정보가 유출됐는지 확인되지는 않으므로, 피해 업체와 추가 조사 결과를 구분해 살펴야 한다.
출처
- 유튜브로 배운 AI 해커, 대기업·병원 뚫었다 — 뉴시스·신유림
- 기업90곳서 개인정보820만건 탈취…생성형AI해킹 첫 검거 — 한국경제·진영기
