'독학 해커'가 뚫은 90곳
생성형 AI로 국내 90여 개 업체의 개인정보 820만 건을 탈취한 일당이 경찰에 붙잡혔습니다. 경찰은 총책 A(32)씨 등 7명을 검거하고 A씨를 구속 송치했습니다. 이들은 2025년 9월부터 2026년 10월까지 학원, 병원, 골프장, 상조회사, 대기업 계열사 등을 공격했습니다.
자료를 공개하겠다고 협박한 업체는 38곳입니다. 요구액은 3억6000만원 상당이었지만 실제 지급은 한 곳, 30만원에 그쳤습니다. 금전적 성과는 작았지만 충격은 적지 않습니다. IT 비전공자 개인이 AI의 도움으로 대규모 공격을 벌인 첫 사례로 기록됐기 때문입니다.
44일 만에 60곳
A씨는 예체능 전공의 비전공자였습니다. 유튜브와 블로그로 해킹을 독학했고, 보안업체에서 모의해킹을 한 경력도 있습니다. 초기에는 취약점 탐색 도구를 썼지만, 2026년 8월 31일부터 AI 자율 침투 도구 '아르텍스'와 코딩 AI를 결합했습니다.
AI 도입 후 44일 동안 60여 개 업체를 뚫었는데, 13개월 전체 피해의 약 3분의 2입니다. 목표를 입력하면 AI가 취약점을 찾고 공격 코드를 작성했습니다. 반복 탐색과 분석이 자동화되면서 속도와 범위가 동시에 커진 겁니다. 경찰은 "전문 조직이 아니어도 AI로 대규모 해킹이 가능해졌다"고 했습니다.
남은 건 '보안 리밸런싱'
수사에도 AI가 동원됐습니다. 경찰은 내부망 AI 분석체계로 통화·계좌 내역 52만 건과 24억7000만 줄의 접속 기록을 분석해 4개월 만에 일당을 검거했습니다. 공격과 방어 양쪽에서 AI가 핵심 도구가 된 셈입니다.
남궁록 경기대 교수는 웹사이트 보안만으로는 부족하다며 기반 소프트웨어와 외부 연결 시스템까지 점검하는 '보안 리밸런싱'을 강조했습니다. 보안 장비의 실제 차단 여부를 확인하고, 다중 인증과 권한 최소화, 정기 업데이트를 우선해야 한다는 겁니다. 인력과 예산이 부족한 중소기업을 위한 정부 지원책도 과제로 남아 있습니다.