중국어권 해커의 AI 에이전트를 이용한 기업 웹사이트 침입

10월 26일 · 생성형 AI로 국내 업체 90여 곳서 개인정보 820만 건 탈취한 일당 7명 검거 최종 갱신 18:27

생성형 AI를 이용해 국내 업체 90여 곳에서 개인정보 820만 건을 탈취한 일당 7명이 경찰에 검거되었다. 총책인 30대 남성 A씨는 IT 비전공자로 블로그와 유튜브를 통해 해킹 수법을 독학했으며, 범행 초기에는 자동화 도구를 썼으나 8월부터 생성형 AI를 도입해 40일 만에 60여 곳을 해킹했다. CJB청주방송은 A씨가 보안업체 모의해킹 경력을 바탕으로 생성형 AI와 '아르텍스'를 사용해 해킹 규모를 확대했다고 보도했다. A씨는 AI 도구를 활용해 하루 평균 1.3곳의 업체를 해킹했으며, 텔레그램으로 모집한 아르바이트생들을 동원해 독촉 전화를 거는 수법을 썼다. 피해 업체에는 대기업 계열사, 병원, 대학, 골프장 등이 포함되었다. 일당은 탈취한 정보를 빌미로 가상화폐를 요구하며 업체들을 협박했다. CJB청주방송에 따르면 이들은 정보를 유출하겠다고 협박하며 38개 업체에 총 3억 6천만 원을 요구했고, 실제 1개 업체에서 30만 원을 갈취했다. 경찰은 내부망에 구축한 생성형 AI 분석체계를 활용해 4개월 만에 이들을 검거했으며, 이는 생성형 AI 악용 해킹 사건의 국내 첫 검거 사례라고 밝혔다. 총책 A씨는 구속 송치되었고 공범 6명은 불구속 수사 중이다.

해킹의 문턱이 기술적 숙련도가 아닌 자본과 지시문의 영역으로 옮겨갔다는 분석이 현실로 증명됐다. IT 비전공자가 독학과 AI 도구만으로 단기간에 수십 곳의 기업을 뚫어낸 사례는 공격의 자동화가 가져온 진입장벽의 붕괴를 극명하게 보여준다.

머니투데이는 범행 초기 자동화 도구를 쓰던 총책이 생성형 AI를 도입한 뒤 40일 만에 60여 곳을 해킹했다는 구체적인 수치를 짚어냈다. 도구의 변화가 공격 속도와 규모를 얼마나 비약적으로 높이는지 실증한 대목이다. 한국경제는 하루 평균 1.3곳의 업체를 해킹했다는 점과 텔레그램 아르바이트생을 동원한 협박 수법을 상세히 전하며, AI가 기술적 침투뿐 아니라 범죄의 운영 효율까지 높이고 있음을 드러냈다.

대부분의 보도는 AI가 범죄 문턱을 낮췄다는 위협과 이를 AI 수사 체계로 잡았다는 '창과 방패'의 구도에 집중했다. 다만 이번 사건에서도 '아르텍스'라는 특정 도구가 반복해서 등장함에도, 이 도구가 어떻게 배포되고 왜 보안망을 쉽게 통과했는지에 대한 구조적 분석은 여전히 부족하다. 도구의 이름만 언급할 뿐, 그 도구가 작동하는 원리와 취약점의 상관관계를 파고든 보도는 없다.

이제 독자가 주목할 지점은 AI를 활용한 공격의 '속도'와 '양'이다. 개별 기업의 보안 강화만으로는 자율형 AI의 물량 공세를 막기 어렵다. 수사 기관이 AI 분석 체계로 검거 시간을 단축한 것처럼, 방어 체계 역시 실시간 자율 대응 수준으로 진화했는지가 향후 핵심 쟁점이 될 것이다.