AI 개인정보 유출 820만건, 업체 90곳 해킹한 일당 7명 검거

생성형 AI로 국내 업체 90여 곳의 시스템에 침입해 개인정보와 사내 자료 약 820만 건을 빼낸 일당이 붙잡혔어요. 서울경찰청 사이버수사과는 10월 26일, 정보통신망법 위반과 공갈 혐의로 총책 A씨(32) 등 7명을 검거했다고 밝혔어요. A씨는 23일 구속 송치됐어요.

경찰은 이번 사건을 생성형 AI를 이용한 대규모 해킹·정보 탈취 사건의 국내 첫 검거 사례로 보고 있어요. 이 AI 개인정보 유출 사건이 왜 화제인지, 피해 규모와 수사 흐름, 앞으로 볼 것을 정리했어요.

AI 개인정보 유출 사건, 무슨 일이 있었나

경찰 발표에 따르면 일당은 2025년 9월부터 올해 10월까지 약 13개월 동안 학원, 병원, 골프장, 대학, 상조회사, 대기업 계열사 등 국내 업체 90여 곳에 침입했어요. 빼낸 개인정보는 약 820만 건이고, 사내 자료도 함께 가져간 것으로 조사됐어요.

그 뒤 피해 업체에 정보를 퍼뜨리겠다는 협박 이메일을 보냈어요. 노컷뉴스·아시아경제 보도에 따르면 기업 이미지 실추, 과징금, 고객 손해배상 소송을 들먹이며 돈을 요구했어요.

일당 7명은 각각 무슨 역할을 했나

총책 A씨는 해킹을 직접 하고 협박 이메일을 보냈어요. 공범 B씨(24)는 텔레그램으로 가담자 5명을 모아 범행을 지시했고, 이 5명은 피해 업체에 전화와 문자로 돈을 요구했어요.

A씨는 구속 상태로 송치됐고, 나머지 6명은 불구속 상태로 수사를 받고 있어요. 여러 보도에 따르면 A씨는 IT 전공자는 아니지만 블로그와 유튜브로 해킹을 독학했고, 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 맡은 적이 있어요.

AI는 해킹에 어떻게 쓰였나

처음에는 웹사이트 취약점을 찾는 자동화 도구를 직접 다뤘어요. 파이낸셜뉴스·아시아경제 보도에 따르면 8월부터 생성형 AI를 쓰면서 공격 대상을 크게 늘렸고, 아시아경제는 하루 한 번씩 광범위한 공격을 했다고 전했어요.

경찰은 최근 금융권 대규모 해킹에 쓰인 것으로 알려진 'AI 자율침투 테스트 시스템'도 범행에 활용된 것으로 보고 있어요. 이 시스템은 목표만 주면 정보 수집부터 취약점 탐색까지 스스로 진행하는 방식으로 알려져 있어요.

경찰은 이번 사건이 전문 해커가 아닌 개인도 AI의 도움으로 짧은 시간에 여러 기업을 공격할 수 있다는 걸 보여준다고 설명했어요. AI가 사이버범죄의 문턱을 낮추고 있다는 뜻이에요.

“해킹에 AI가 사용되었다는 사실 자체보다, AI의 확산 속도에 맞추어 우리 사회의 사이버보안 역량도 함께 높여야 한다는 점을 시사하는 사건”

— 김명주 인공지능안전연구소장(서울신문)

수사는 어떻게 진행됐나, 날짜별 흐름

출발은 6월에 들어온 피해 업체 한 곳의 신고였어요. 비슷한 신고가 전국에서 이어지자 경찰은 8월에 사건을 모아 수사했어요.

경찰은 수사에도 AI를 썼어요. 아시아경제 보도에 따르면 서울경찰청은 수사 자료가 외부로 나가지 않는 자체 생성형 AI 분석 체계를 만들어 이번 사건에 적용했어요.

“수사에 투입되는 인력을 줄이고 수사 기간을 4개월로 단축하는 등 AI 분석 도구의 효과가 확인됐다.”

— 오규식 서울경찰청 사이버수사과 경정(아시아경제)

피해 업체는 돈을 냈나, 앞으로 볼 것

협박을 받은 곳은 38개 업체이고 요구 금액은 총 3억6천만원 상당이에요. 파이낸셜뉴스·아시아경제 보도 기준으로 실제로 건너간 돈은 30만원이에요. 경찰은 보복이 두려워 신고하지 않았거나 돈을 준 곳이 더 있는지 확인하고 있어요.

송치된 혐의는 820만 건 중 신고된 15개 업체, 약 90만 건 부분이에요. 아직 신고하지 않은 75개 업체의 피해가 확인되면 송치 범위가 늘어날 수 있어요. 경찰은 추가 공범과 범죄수익도 추적한다고 밝혔어요.

실명이 나온 피해 기업은 거의 없어요. 서울신문 보도에 따르면 롯데케미칼은 8월 해킹 피해와 관련해 관계 기관에 조사를 의뢰했어요. 다른 업체 이름은 공식으로 나오지 않았어요.

자주 묻는 질문

Q. 내 개인정보도 이번에 유출됐나요?

10월 26일 기준으로 경찰은 피해 업체 목록을 공개하지 않았어요. 업종(학원, 병원, 골프장, 대학, 상조회사, 대기업 계열사)만 나왔고, 유출이 확인된 업체가 이용자에게 알리는 통지를 확인하는 게 현재로선 가장 확실한 방법이에요.

Q. 'AI 자율침투 테스트 시스템'은 무엇인가요?

원래 보안 점검용으로 취약점을 자동으로 찾아 침투해 보는 AI 도구를 말해요. 경찰은 최근 금융권 해킹에 쓰인 것으로 알려진 같은 계열 시스템이 이번 범행에도 쓰였다고 보고 있지만, 구체적인 제품명은 밝히지 않았어요.

Q. 왜 820만 건인데 90만 건만 송치됐나요?

피해 신고가 들어온 15개 업체 부분부터 먼저 송치했기 때문이에요. 나머지 75개 업체는 아직 신고하지 않아 경찰이 피해를 따로 확인하고 있어요.

Q. 왜 국내 첫 사례라고 하나요?

경찰은 생성형 AI를 이용한 대규모 해킹·개인정보 탈취 사건을 국내에서 검거한 첫 사례라고 설명했어요.