AI로 학원·병원·골프장 90여 곳을 털었다? 개인정보 820만 건 빼돌린 ‘생성형 AI 해킹’ 일당 국내 첫 검거로 본 달라진 해킹 수법, 협박 메일 대처법과 작은 가게 홈페이지 점검을 초보도 쉽게

“해킹은 컴퓨터 천재들만 하는 거 아니야?” 많은 분이 이렇게 생각하세요. 그런데 10월 26일 서울경찰청이 발표한 사건은 그 생각을 조금 바꿔 놓을 만해요. IT를 전공하지 않은 30대 남성이 생성형 AI의 도움을 받아 학원·병원·골프장 등 90여 곳의 홈페이지를 뚫고 개인정보 약 820만 건을 빼돌린 뒤, 업체들을 협박해 돈을 요구하다 붙잡혔거든요.

경찰은 이번 일을 “생성형 AI를 악용한 대규모 해킹·개인정보 탈취 사건의 국내 첫 피의자 검거 사례”라고 설명했어요. 오늘은 무슨 일이 있었는지, AI가 정확히 무엇을 바꿔 놓았는지, 그리고 평범한 이용자와 작은 가게·학원 사장님이 오늘 할 수 있는 일을 차근차근 정리해 볼게요. 어려운 용어는 전부 풀어서 설명할게요.

한눈에 보는 요약

사건을 숫자로 보면

숫자부터 보면 규모가 실감 나요. 한 상조업체에서만 122만 건이 빠져나갔고, 학원에서 빼낸 정보에는 미성년자 개인정보도 들어 있었다고 해요. 중소 업체뿐 아니라 대기업 계열사와 지역 상호금융기관도 피해를 입었어요.

AI가 바꾼 건 ‘실력’보다 ‘속도와 규모’

A씨는 예체능 계열을 전공한 IT 비전공자로, 블로그와 유튜브 등으로 해킹을 독학했다고 진술했어요. 다만 2019년부터 2022년까지 보안 업체에서 모의해킹 업무를 한 경력이 있어서, 경찰은 웹 해킹에 대해선 상당한 지식이 있었다고 보고 있어요. 즉 “완전 초보가 AI 하나로 해킹했다”기보다는, 기본기가 있는 사람이 AI로 일을 몇 배 빠르게 했다고 보는 게 정확해요.

범행 초기에는 웹사이트의 약점을 찾아 주는 도구를 직접 하나하나 조작했어요. 그러다 8월 말부터 AI 코딩 에이전트(사람 대신 코드를 짜고 실행까지 해 주는 AI 도우미)와 AI 자율침투 테스트 시스템을 쓰면서, 사람이 일일이 손대지 않아도 여러 사이트를 무차별적으로 훑을 수 있게 됐어요. 그 결과가 40여 일 만에 60곳이에요.

왜 학원·병원·골프장이었을까?

공격자 입장에서 보면 이유가 보여요. 이런 곳은 회원 이름·전화번호·생년월일 같은 개인정보를 많이 가지고 있지만, 대기업처럼 보안 전담 인력을 두기는 어려워요. 홈페이지도 몇 년 전에 외주로 만들어 놓고 업데이트 없이 그대로 쓰는 경우가 많죠. AI 도구로 ‘약한 곳’을 자동으로 찾는 공격자에게는 딱 좋은 표적이 되는 거예요.

협박은 이렇게 들어왔어요

일당은 정보를 빼낸 뒤 업체에 “우리는 귀사의 정보를 탈취했습니다”, “귀사의 이미지 손실, 과징금, 고객 소송 등을 우습게 보지 마십시오” 같은 이메일을 보냈어요. 업체가 응하지 않으면 공범들이 임직원에게 전화·문자를 보내 다시 압박했고요. “유출 사실이 알려지면 회사 이미지가 무너지고 정부 과징금도 나온다”는 두려움을 노린 거예요.

그런데 결과를 보면 흥미로워요. 38곳에 3억 6천만 원을 요구했지만 실제로 돈을 보낸 곳은 한 곳, 30만 원뿐이었어요. 그리고 수사는 지난 6월 피해 업체 한 곳의 진정에서 시작됐어요. 숨기지 않고 신고한 한 곳이 7명 검거의 실마리가 된 셈이에요.

수사는 어떻게 흘러갔나

흥미로운 점은 경찰도 AI를 썼다는 거예요. 경찰은 자체 개발한 AI 수사 도구로 통화·계좌 내역 등 약 53만 건의 수사 자료를 분석해 용의자를 좁혔고, 한 개 수사팀이 약 4개월 만에 7명을 검거했다고 설명했어요. 수사 자료가 밖으로 새지 않도록 내부망에서만 돌아가는 AI 분석 체계를 썼다고 해요. AI가 공격만 빠르게 하는 게 아니라 수비와 추적도 빠르게 만든다는 걸 보여 준 사례예요.

나는 뭘 하면 될까? (일반 이용자)

피해 업체 명단이 공개되지 않아, 지금 당장 “내 정보가 들어 있다”고 확인할 방법은 없어요. 대신 정보가 샜다는 가정으로 2차 피해를 막는 습관을 들이면 이번 사건뿐 아니라 앞으로의 사고에도 대비가 돼요. 아이가 학원에 다니거나, 병원·골프장 예약 사이트에 가입해 두신 분이라면 특히 한 번 챙겨 보세요.

작은 가게·학원 사장님이라면 (홈페이지 점검)

이번 사건의 진짜 메시지는 “작은 곳도 표적이 된다”예요. AI 도구는 큰 회사인지 작은 학원인지 가리지 않고 약한 문부터 찾아요. 전문 지식이 없어도 아래 질문만 홈페이지를 만들어 준 업체나 호스팅 회사에 물어보면 큰 도움이 돼요.

협박 메일을 받았다면, 이 순서대로

자주 묻는 질문

마무리: AI 시대의 보안은 ‘작은 문단속’부터

이번 사건은 AI가 해킹의 문턱을 낮추고 속도를 높였다는 걸 보여 줬어요. 동시에 신고 한 건, 서버 로그 한 줄, 경찰의 AI 분석이 범인을 잡았다는 점도 기억할 만해요. 이용자는 링크 대신 공식 경로로 확인하기, 비밀번호 나눠 쓰기, 2단계 인증을, 사장님들은 홈페이지 업데이트와 관리자 페이지 잠그기, 협박엔 돈 대신 신고를 오늘 한 가지씩만 실천해 보세요.

주변에 학원·병원·작은 가게를 운영하는 분이 있다면 이 글을 한 번 공유해 주세요. 추가 피해 업체나 수사 결과가 나오면 다시 쉽게 풀어 드릴게요. 🔐