목차
▪ 1년 30곳서 40일 만에 60곳 침해… 820만 건 AI 해킹 참사의 전말
▪ 코딩 몰라도 자율 침투 루프 가동… AI 에이전트가 바꾼 사이버 공격 수법
▪ 알려진 기본 취약점과 인증 방치… 기업의 ‘보안 부채’가 키운 인재
▪ [표 1] 전통적 해킹 vs AI 악용 해킹 및 실전 대응 체계 비교
▪ 호기심도 중범죄 처벌… 다크웹 2차 사기 막을 3대 실전 계정 보호 수칙
▪ FAQ
▪ 핵심 인사이트 3가지
▪ 핵심 참고 자료
▪ 전문용어사전
▪ 함께 읽으면 좋을 기사
서울경찰청 사이버수사과는 지난 10월 26일, 생성형 AI 도구를 동원해 국내 기업 90여 곳을 연쇄 해킹하고 820만 건에 달하는 개인정보와 사내 기밀을 빼돌린 혐의로 30대 피의자 A씨를 구속 송치했다고 밝혔다. 특정 조직이나 전문 해커가 아닌 비전공자 개인이 인공지능을 무기 삼아 대규모 기업망을 단기간에 유린한 초유의 사태다.
전문 해커의 전유물로 여겨졌던 사이버 공격이 AI 에이전트의 등장으로 누구나 실행할 수 있는 영역이 되면서, 기본적인 보안 관리조차 소홀히 했던 국내 기업망의 허술한 실태가 고스란히 드러난 결과다. 유출된 정보가 다크웹을 거쳐 2차 금융 사기로 이어질 수 있다는 불안이 커지는 가운데, 무너진 기업 보안의 현주소와 개인이 갖춰야 할 실전 대응 체계를 알아본다.
1년 30곳서 40일 만에 60곳 침해… 820만 건 AI 해킹 참사의 전말
경찰 조사에 따르면, 피의자 A씨는 과거 보안업체에서 모의해킹 업무를 잠시 경험했을 뿐, 정규 컴퓨터공학을 전공하지 않은 예체능 출신의 비전공자였다. 그는 2025년 9월부터 기존에 공개된 자동화 취약점 탐지 도구로 보안이 허술한 기업 서버를 노리기 시작했다.
그러나 당시에는 대상 시스템의 구조를 파악하고 침투에 필요한 코드를 일일이 수정하는 데 적잖은 시간이 걸려, 약 1년 동안 침해한 업체는 30여 곳에 그쳤다. 변화가 나타난 것은 올해 8월 말, 스스로 작업을 수행하는 AI 자율 침투 도구를 범행에 결합하면서부터였다.
인공지능이 취약점 분석과 침투 스크립트 수정 등 번거로운 수작업을 대신 처리하면서 공격 속도가 크게 빨라졌다. 8월 31일부터 10월 13일까지, 불과 44일 만에 60곳이 넘는 기업망이 연쇄적으로 침해당했다.
피해 대상은 입시학원과 병원, 골프장, 중소 IT 기업부터 대기업 계열사까지 광범위했다. 이 과정에서 유출된 고객 개인정보와 사내 업무용 문서는 확인된 것만 820만 건을 넘어섰다. 피의자는 이 중 38개 업체에 협박 메일을 보내 총 3억 6,000만 원 상당의 금전을 요구했다.
코딩 몰라도 자율 침투 루프 가동… AI 에이전트가 바꾼 사이버 공격 수법
전통적인 사이버 해킹은 시스템 아키텍처와 프로그래밍 언어를 깊이 이해한 숙련자의 영역이었다. 표적 서버의 취약점을 찾아내더라도, 방화벽을 우회하고 시스템에 침투할 코드를 직접 짜고 오류를 수정하는 과정에는 많은 시간과 기술적 숙련도가 필요했기 때문이다.
비전공자인 피의자가 과거 보안업체 모의해킹 근무 경험과 독학 이력이 있었음에도, 기존 수작업 방식으로는 1년 동안 30여 곳을 침해하는 데 그쳤던 이유다. 그러나 단순한 대화형 AI를 넘어 스스로 작업을 수행하는 자율 침투 에이전트 도구가 결합하면서 상황이 달라졌다.
피의자는 복잡한 해킹 도구를 직접 개발하는 대신, AI에게 표적 서버의 환경과 열려 있는 포트 정보를 분석하게 하고 침투에 필요한 공격 스크립트를 작성하도록 했다. 특히 실행 과정에서 오류가 발생하면, AI가 시스템 에러 로그를 분석해 코드를 스스로 수정하고 다시 실행하는 과정을 거쳤다. 과거에는 숙련된 보안 인력이 며칠간 매달려야 했던 취약점 정찰과 침투 과정을 AI가 몇 번의 지시만으로 대신 처리해 준 것이다.
글로벌 보안업계 역시 이러한 공격 자동화의 위험성을 분석하고 있다. 앤트로픽을 비롯한 사이버 보안 연구진은 AI가 전혀 새로운 취약점을 발명해 내는 것이 아니라, 기존의 공격 기법들을 하나로 엮어 적은 자원으로도 공격의 범위와 깊이를 크게 확장하는 점이 핵심 위협이라고 지적했다. 프로그래밍에 능숙하지 않아도 AI라는 도구를 통해 시스템 침투를 시도할 수 있는 기술적 비대칭성이 커진 셈이다.
알려진 기본 취약점과 인증 방치… 기업의 ‘보안 부채’가 키운 인재
그러나 90여 개에 달하는 기업 서버가 속수무책으로 무너진 배경을 들여다보면 실상은 전혀 다르다. 해커가 AI를 활용했다고 해서 세상에 없던 고난도의 신종 기술에 뚫린 것이 아니었기 때문이다.
피의자가 주로 노린 틈새는 이미 보안 패치가 공식 배포되었음에도 수개월 동안 업데이트를 미루고 방치해 둔 ‘알려진 취약점(Known Vulnerability)’이었다. 해커의 칼이 예리했던 것이 아니라, 기업 스스로 잠그지 않은 뒷문으로 걸어 들어간 셈이다.
기초적인 보안 수칙조차 지키지 않은 기업들의 관리 소홀은 통계로도 확인된다. 최근 금융당국이 금융사와 핀테크 등 555개 업체를 대상으로 점검한 결과, 130곳이 보안 결함을 지적받았다. 제조사의 기술 지원이 끝난 노후 서버를 그대로 방치하거나, 관리자 계정에 기본적인 다중 인증(MFA)조차 걸어두지 않은 사례가 적지 않았다.
국내 기업들의 전체 IT 투자 대비 정보보안 예산 비중이 수년째 6%대에 머물러 있는 현실도 피해를 키운 주요 원인이다. 고객 개인정보를 다루면서도 보안 투자를 후순위로 미뤄온 기업들의 만성적인 ‘보안 부채’와 외주 협력사 관리 소홀이 결국 대규모 유출이라는 인재(人災)로 이어진 셈이다.
호기심도 중범죄 처벌… 다크웹 2차 사기 막을 3대 실전 계정 보호 수칙
인공지능의 발전으로 사이버 공격의 기술적 문턱이 낮아졌다고 해서, 범죄의 대가까지 가벼워진 것은 결코 아니다. 일부 청소년이나 일반인이 단순한 호기심이나 영웅심리로 AI를 활용한 해킹을 시도할 수 있지만, 디지털 공간에서 완전범죄는 불가능하다.
아무리 가상사설망(VPN)이나 우회 도구를 사용하더라도 통신사 접속 로그와 클라우드 서비스 이용 기록, 서버 접근 흔적은 고스란히 남아 경찰청 사이버수사대의 디지털 포렌식 추적망에 100% 포착된다.
현행법 역시 엄중하다. 정보통신망법에 따르면 정당한 권한 없이 시스템에 침입하는 행위만으로도 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해진다. 여기에 유출된 정보를 빌미로 금전을 요구할 경우 형법상 공갈죄가 더해져 최대 10년 이하의 징역형을 피할 수 없다. 호기심으로 저지른 한 번의 클릭이 한 사람의 인생을 범죄자로 전락시키는 셈이다.
더 큰 문제는 일반 검색엔진으로는 접근할 수 없고 특수한 암호화 브라우저로만 접속할 수 있는 사이버 암시장인 ‘다크웹(Dark Web)’으로 이 정보들이 넘어간다는 점이다. 이번에 유출된 820만 건의 정보는 학원과 병원, 생활 밀착형 플랫폼에서 빠져나간 이름과 연락처, 진료 기록과 가족 정보다.
이 정보가 다크웹에서 결합하면 타인뿐만 아니라 바로 내 부모를 노리는 자녀 사칭 보이스피싱이 되고, 내 친구와 지인을 낚는 정밀 스미싱의 무기가 된다. 내가 저지르거나 방치한 해킹의 피해자가 결국 내 가족과 이웃이 되는 악순환이다.
이용자 개개인 역시 일상에서 적극적인 방어선 구축에 나서야 한다. 첫째, 털린 비밀번호 하나로 여러 사이트가 뚫리는 연쇄 피해를 막기 위해 포털과 금융 사이트의 비밀번호를 반드시 분리하고 차등화해야 한다.
둘째, 비밀번호가 노출되더라도 스마트폰 승인 없이는 접속할 수 없도록 모든 계정에 ‘2단계 인증(2FA·OTP)’을 전면 활성화해야 한다. 셋째, 개인정보보호위원회의 ‘털린 내 정보 찾기’ 서비스를 통해 자신의 계정 유출 여부를 주기적으로 점검하고, 한국정보통신진흥협회의 ‘엠세이퍼(M-Safer)’를 활용해 명의도용에 따른 불법 개통을 사전에 차단하는 지혜가 필요하다.
인공지능이라는 강력한 도구가 범죄의 수단으로 악용된 현실은, 기술의 진보만큼이나 이를 다루는 인간의 윤리와 사회적 방어선이 얼마나 중요한지를 분명하게 보여준다. 820만 건이라는 숫자는 단순한 데이터의 나열이 아니라, 우리 이웃과 가족의 평온한 일상이 담보된 삶의 파편들이다.
기업이 보안을 비용이 아닌 생존의 기본으로 여기고, 이용자 개개인이 일상의 작은 보안 수칙을 습관화하며 내 손안의 비밀번호를 다시 한번 점검해야 할 이유가 여기에 있다.
FAQ
Q: 내가 이용하는 사이트가 해킹되었는지 개인이 직접 확인할 수 있는 방법이 있는가?
A: 개인정보보호위원회가 운영하는 ‘털린 내 정보 찾기’ 서비스(kidc.eprivacy.go.kr)와 한국인터넷진흥원의 ‘e프라이버시 클린서비스’를 통해 본인 이메일과 전화번호의 다크웹 유출 여부를 무료로 조회할 수 있다.
Q: 2단계 인증(2FA)을 설정하면 비밀번호가 털려도 정말 안전한가?
A: 그렇다. 해커가 아이디와 비밀번호를 손에 넣더라도, 본인 명의 스마트폰으로 전송되는 인증 번호나 모바일 앱 승인(OTP), 생체 인증을 거치지 못하면 외부에서의 계정 로그인이 원천 차단된다.
Q: 청소년이 호기심에 AI로 간단한 취약점 스크립트를 돌려본 것도 처벌을 받는가?
A: 엄중한 처벌을 받는다. 정당한 접근 권한 없이 타인의 시스템에 침입을 시도한 행위 자체만으로 정보통신망법 위반(5년 이하 징역)에 해당하며, 모든 디지털 접속 기록은 포렌식 수사망에 고스란히 남아 예외 없이 적발된다.
[핵심 인사이트 3가지]
1. 코딩 몰라도 가능한 AI 해킹… 속도와 범죄 위험의 폭증
— 신종 제로데이 취약점이 없더라도, AI 자율 에이전트가 번거로운 수작업을 대신 처리하면서 범행 속도가 10배 이상 비약적으로 빨라졌다.
2. 기업의 안일함과 ‘보안 부채’가 키운 인재(人災)
— 90여 개 기업이 뚫린 결정적 원인은 거창한 신기술이 아니라, 이미 수개월 전 보안 패치가 배포된 알려진 취약점과 관리자 계정을 방치해 둔 기업들의 기본 관리 소홀이었다.
3. 다크웹 2차 피해의 부메랑과 무관용 법적 처벌
— 유출된 820만 건은 다크웹을 거쳐 내 가족과 지인을 노리는 정밀 피싱 범죄로 되돌아오며, 단순한 호기심으로 시도한 AI 해킹 역시 디지털 포렌식으로 100% 추적되어 엄중한 형사 처벌을 받는다.
[핵심 참고 자료]
경찰청 사이버수사과 브리핑: 〈생성형 AI 악용 기업 90여 곳 연쇄 해킹 및 820만 건 개인정보 탈취 피의자 구속 송치〉
앤트로픽(Anthropic) 위협 연구 보고서: 〈사이버 보안 환경에서의 AI 자율 에이전트 악용 관측 및 방어 대응〉
금융감독원 보도자료: 〈전자금융업자 및 주요 금융사 555개 사 대상 사이버 보안 실태 점검 결과〉
개인정보보호위원회 분석 자료: 〈2026년 개인정보 유출 침해사고 신고 접수 통계 및 원인별 분석〉
국가법령정보센터: 〈정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조·제71조〉
[전문용어사전]
▪ 다크웹(Dark Web): 네이버나 구글 같은 일반 검색엔진으로는 노출되지 않고, 특수한 암호화 브라우저(Tor 등)로만 접속할 수 있는 지하 웹 네트워크로 불법 개인정보 매매의 온상이다.
▪ AI 자율 침투 에이전트(Autonomous Agent): 표적 시스템 환경을 분석한 뒤 공격 도구 선택, 침투 스크립트 작성, 실행 및 오류 수정을 스스로 순환하며 완결하는 인공지능 도구다.
▪ 크리덴셜 스터핑(Credential Stuffing): 특정 사이트에서 유출된 아이디와 비밀번호 조합을 다른 주요 포털이나 금융 사이트에 무차별 대입하여 연쇄적으로 계정을 털어내는 공격 기법이다.
▪ 보안 부채(Security Debt): 기업이 서비스 출시와 기능 개발에만 매달리느라 필수적인 보안 패치, 취약점 점검, 인프라 투자를 장기간 미뤄두며 누적된 잠재적 보안 위험을 뜻한다.
▪ 다중 인증(MFA / 2FA): 로그인 시 아이디와 비밀번호 외에 스마트폰 OTP, 문자 인증, 생체 정보 등 서로 다른 인증 수단을 2단계 이상 거치도록 설계한 필수 보안 체계다.
[함께 읽으면 좋을 기사]
[Pocus 심층 분석 기획] 와튼스쿨 연구가 뒤집은 '상위 1% AI 공부법'… 초등학생 AI 숙제의 함정
[Pocus 심층 분석] "링크 한 번이면 포트폴리오 끝"… 현역 회화 작가 Jaden Park이 만든 글로벌 아티스트 플랫폼 '아트포유(ARTFORU)'
[Pocus 심층 진단] 美 캐릭터 AI 파산과 대화 기록의 행방… 이용자가 알아야 할 '데이터 안전성' 실전 가이드
[Pocus 서울전시 해설 기획] 리움미술관 《구정아: 우스모스》… 빛과 중력, 자석이 빚어낸 무한의 우주
[Pocus 전시 해설 기획] 백남준아트센터 《현대 트랜스로컬 시리즈: 하늘의 잔물결을 따라》… 1984년 백남준의 위성은 2026년에 무엇을 잇는가
※ AI 활용 고지: 본 표는 The Imaginary Pocus의 기획과 편집 방향에 따라 관련 법령·공식 문서·학술자료를 검토해 구성했으며, 자료 구조화와 표·이미지 제작 과정에 AI를 활용했습니다. 최종 내용의 사실 확인과 편집 책임은 The Imaginary Pocus에 있습니다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}