보안 전공이 아닌 32세 남성이 생성형 AI 도구만으로 국내 90여 개 업체를 해킹해 개인정보 820만 건을 빼냈다. 빼낸 정보를 지우지 않는 대가로 금품을 요구하기까지 해, 'AI가 사이버 범죄의 진입장벽을 낮췄다'는 우려가 현실로 드러났다.


서울경찰청에 따르면 총책 A씨는 블로그 등으로 해킹 기술을 독학했고, 2019~2022년 보안업체에서 모의해킹 업무를 한 경력이 있다. 초기엔 취약점을 찾는 자동화 도구를 썼지만, 2026년 8월부터는 생성형 AI와 AI 자율 침투 시스템을 활용해 공격 범위를 넓혔다. 파이낸셜뉴스 보도에 따르면 피해 업체 90여 곳 중 약 60곳이 이런 AI 공격으로 뚫렸다.


A씨는 2025년 9월부터 2026년 10월 초까지 학원·병원·골프장·대기업 계열사 등을 해킹해 개인정보를 빼냈고, 38개 업체에 정보를 공개하지 않는 대가로 총 3억6000만원을 요구했다. 실제로 받은 돈은 30만원에 불과했다.


경찰은 2026년 6월 피해 업체 한 곳의 신고로 수사에 착수했고, 전국에서 비슷한 수법의 신고가 이어지자 8월 사건을 병합했다. 7~9월 공범 5명을 검거했고, 이달 초 텔레그램으로 범행을 지시한 공범도 붙잡았다.


경찰은 피해 업체의 접속기록을 추적해 지난 15일 A씨를 체포했고, 13일에는 주거지를 압수수색해 해킹 도구와 협박용 계정 등을 확보했다. A씨는 신고된 15개 업체에서 약 90만건을 빼낸 혐의로 23일 구속 송치됐으며, 나머지 업체에 대한 수사는 계속되고 있다.