■ 방송 : 경인방송 <굿모닝 인천, 박주언입니다> (FM 90.7MHz 오전 7~9시 방송) ■ 코너 : 사건수첩 ■ 진행 : 박주언 앵커 ■ 인터뷰 : 이승기 변호사 ■ 방송 다시 듣기 [클릭] *인터뷰 저작권은 경인방송에 있습니다. 인용 보도 시 출처를 밝혀주시기 바랍니다. ◆ 박주언 : 경인방송 90.7MHz 굿모닝 인천 박주언입니다. 2부는 <사건수첩> 시간입니다. 오늘은 생성형 AI를 악용한 신종 해킹 범죄의 실태와 대책에 대해서 서강대학교 겸임교수며 법률사무소 리엘 파트너스의 이승기 변호사와 함께 알아보겠습니다. 변호사님 어서 오십시오. ◇ 이승기 : 예, 안녕하십니까. 이승기 변호사(오른쪽). 박주언 앵커 2026.10.30 [사진=경인방송 시사뉴스팀] ◆ 박주언 : 요즘에 AI를 안 쓰는 곳이 없다고는 하는데 이제는 범죄자들도 AI를 아주 적극적으로 쓰는 것 같아요. 최근에 서울경찰청 사이버 수사과에 붙잡힌 해킹 일당이 AI를 동원해서 국내 대학과 기업 등 90곳 넘게 털었다고 하는데 빼돌린 자료만 무려 820만 건이라고 하는데 이게 무슨 일인가요? ◇ 이승기 : 규모만 놓고 보면 정말 충격적인 사건인데요. 경찰 발표를 보면 32살 총책을 포함 일당 7명이 지난해 9월부터 올해 10월까지 약 1년 남짓한 기간 동안 병원, 학원, 대학교, 골프장, 상조회사, 심지어 대기업 계열사까지 가리지 않고 전산망에 무단 침입했습니다. 여기서 빼낸 게 개인 정보는 물론이고 회사 내부 업무 자료까지 포함돼 있었는데요. 한 가지 짚고 넘어가면 이 820만 건이라는 숫자가 피해자 수가 820만 명이라는 뜻은 아니고요. 탈취한 자료와 건수를 합친 규모입니다. 그래서 중복도 있을 수 있습니다. 그런데 진짜 문제는 따로 있는데요. 이 일당이 해킹을 통해 내부 정보를 훔치는 데서 그친 게 아니라 이걸 무기 삼아 기업들을 직접 협박했다는 겁니다. ◆ 박주언 : 정보를 빼내서 암시장에 팔고 이런 게?흔했는데 그게 아니라 아예 피해 기업에 연락을 해서 돈 내놔라 이렇게 협박을 했군요. ◇ 이승기 : 예, 수법이 아주 교묘하고 집요했는데요. 해커들이 먼저 훔친 개인 정보 일부를 업체 측에 보낸 뒤에 이게 세상에 알려지면 회사 이미지가 실추되고 정부 과징금이나 고객들의 손해배상 소송까지 이어질 텐데 감당할 수 있겠냐라면서 겁을 줍니다. 그러면서 돈을 보내면 좀 조용히 덮어주겠다고?거래를 제안하는데요. 업체가 요구에 응하지 않으니까 이들은 회사에 직접 전화를 하고 문자 메시지까지 보내면서 협박을 이어갔습니다. 그런데 전화를 한 ?사람들은?공범이잖아요. 슬롯총판 황당한 건?공범 중 일부는 텔레그램에서 30초 전화 아르바이트 모집 글을 보고 가담했다는 겁니다. 그래서 협박 전화 한 통에 1만 원에서 3만 원을 받기로 하고 동원이 된 건데요. 이렇게 38개 업체에 총 3억 6천만 원을 요구했고 실제로 한 업체로부터는 30만 원을 받아 챙긴 걸로 파악됐습니다. ◆ 박주언 : 아, 이렇게 전화 한 통에 몇만 원 받는 아르바이트생까지 동원을 해서 임직원들을 압박한 건데 악질이거든요. 이렇게 광범위하게 벌어진 범행, 경찰이 어떻게 꼬리를 잡았나요? ◇ 이승기 : 범죄는 가성비가 좋지 않습니다. 전화 한 통에 1만 원, 3만 원 벌고 공범으로 해서 경찰 조사에 형사처벌 받는 거고요. 이들도 이렇게 820만 건 개인 정보 빼냈지만 결국에는 30만 원. ◆ 박주언 : 30만 원 벌었네요. ◇ 이승기 : 꼭 아셔야 합니다. 범죄는 가성비가 가장 최악이라는 걸 아셔야 하고요. 이 사건이 밝혀진 계기는 시작은 지난 6월 피해 업체 1곳이 경찰에 진정을 제기하면서였습니다. 비슷한 신고가 계속 이어지면서 경찰이 합동 수사에 나섰고 협박 가담자 5명을 먼저 붙잡았습니다. 이어 텔레그램으로 범행을 지시한 공범을 검거하고 피해 업체의 남은 해킹 기록을 분석해 실제 해킹을 주도한 총책까지 찾아냈습니다.?총책은 지난 23일 구속 송치됐고 나머지 6명은 불구속 상태로 수사가 진행되고 있습니다. 경찰은 이때도 AI로??방대한 통화나 계좌 자료 그리고 해킹 기록을 분석했다고 하는데요. 범죄자뿐 아니라 수사 기관도 AI를 활용한 셈입니다. ◆ 박주언 : 그렇군요. 기업 입장에서는 해킹 당한 사실 자체가 알려지는 게 두려우니까 돈으로 입막음하려는?유혹이 될 수도 있겠어요. ◇ 이승기 : 바로 그 심리를 노린 건데요. 하지만 해커에게 돈을 준다고 해서 유출된 정보가 사라지거나 법적인 신고 의무가 면제되는 건 절대 아닙니다. 예를 들어보면 돈을 줬는데 해커가 복사본을 따로 챙겨뒀다가 한 달 뒤에 다시 또 돈을 요구하면 결국 또 끌려 다닐 수밖에 없습니다. 그래서 이번 사건에서도 경찰이 탈취 정보가 담긴 저장 장치를 압수를 했지만 외부 유출 여부는 현재 추가 수사 중입니다. 현재까지 다크웹에 유출된 정황은 확인되지 않았지만 그렇다고 해서 위험이 완전히 사라진 것도?아니라는 겁니다. 그러니까 협박을 받으면 메일과 문자 송금 요구 내용 그리고 접속 기록을 보존하고 경찰과 관계 보안 기관에 신속히 신고를 해야 됩니다. 그게 끝나지 않는 협박과 공갈의 굴레에서 벗어나는 가장 좋은 해결책입니다 황금성게임앱 . ◆ 박주언 : 그러네요. 그런데 이번 사건에서 또 하나 놀라운 대목이 주범이 IT 관련 공식 학력도 없는 비전공자였다 이런 얘기가 있던데 온라인으로 독학을 해서 이렇게 수백만 건을 털었다는 거, 결국에는 AI가 다 해준 건가요? ◇ 이승기 : 자, 주범이 관련 학위는 없었지만 2019년부터 2022년까지 약 3년 동안 보안업체에서 모의 해킹 업무를 했던 경력은 있습니다. 그러니까 아예 초보자는 아니었던 거고요. 다만 AI의 도움을 받으면서?범행에 속도 그리고 범행의 규모를 크게 키운 건 사실입니다. 그래서 초기에는 홈페이지의 취약.을 찾아주는 자동화 도구를 사용했는데 지난 8월 말부터는?생성형 AI를 본격적으로 활용하면서 약 두 달 사이 60곳을 공격한 것으로 조사가 됐습니다. 특히 이번에 악용된 게 최근 금융권 해킹 사건에서도 등장했던 아르텍스라는 AI 자율 침투 테스트 시스템입니다. 원래 시스템의 보안상 약.을 찾는 도구였는데 이게 이번에 해킹에 동원이 된 겁니다. ◆ 박주언 : 그러니까?아르텍스가 원래는 해킹을 막으려고 만든 프로그램인 걸로 알고 있는데 오히려 범죄에 이용이 됐군요. ◇ 이승기 : 예, 맞습니다. 보안 담당자가 허가받은 시스템을 .검하는 데 쓰는 기술 자체는 불법이 아닙니다. 문제는 정당한 권한 없이 남의 전산망에 적용할 때인데요. 아르텍스는 AI가 취약。을 알아보고 결과를 분석하는 절차를 자동화로 만드는 그런 프로그램입니다. 그러니까 상당히?센세이션 한 거죠. 그러니까 예전에는 사람이 일일이 취약。을 찾고 공격 코드를 수정하는 데 시간이 걸렸다면 이제는?AI 특히 여기서는 아르텍스가 코드 작성과 오류 분석, 침투 테스트까지 여러 작업을 도와주는 겁니다. 그러니까 이거를 만약에 해킹에 사용하면 해커 한 명이 유능한 조수 여러 명을 거느리고 해킹을 하는 거랑 똑같은 겁니다. 결국 이런 AI의 발전이?범죄자의 기술적 진입 장벽을 낮추고 또 같은 시간 동안 시도할 수 있는 공격의 질이나 양도 아주 대폭 증가시킨 겁니다. ◆ 박주언 : 그러면 이런 프로그램 배포를 막으면 어떨까 싶은데 현실적으로는 어려운가 보죠? ◇ 이승기 : 쉽지 않죠. 실제로 아르텍스는 국내 금융권 공격에 악용된 정황이 알려지면서 개발자가 공개 업데이트를 중단을 했습니다. 그런데 이미 배포된 프로그램까지 다 해소할 수는 없다는 게 문제고요. 그리고 정상적인 보안 .검에도 쓰이는 도구이기 때문에 이걸 무작정 없애자고 말할 수도 없는 겁니다. 무료릴게임 우리가 칼이 범죄에 사용됐다고해서 아무도 칼을 사용하지 마, 그럴 수 없는 거랑 똑같은?거죠. 결국 기업이 AI를 활용한?자동화 공격에 대비하고 경찰과 보안 기관도 새로운 수법을 신속하게 분석할 역량을 대폭 갖춰야 되는 겁니다. 그래서 공격에 AI를 쓰는 시대라면 방어와 수사에도?AI를 제대로 활용해야 되는 시대가 된 거죠. ◆ 박주언 : 그러게요. 그런데 공격을 하는 쪽에서 AI로 무장한다면 막는 쪽에서도?보통 일이 아닐 것 같은데 특히나 전문 보안 인력이 부족한 중소기업에서는 뭘 챙겨야 할까요? ◇ 이승기 : 우선 기본부터 지켜야 됩니다.?현장에서 보안이 뚫리는 원인을 보면 쉬운 비밀번호를 쓰거나 퇴사자의 계정이 그대로 남아 있거나 이게 가장 큰 문제고요. 그리고 오래된 시스템에 보안 업데이트를 미뤄두는 경우가 많습니다. 그래서 관리자 계정에서는 이중 인증을 적용하고 직군마다 업무에 필요한 최소한의 접근 권한만 부여해야 합니다. 그리고 침입이 발생했을 때 누가 서버를 격리하고 누가 고객에게 알리고 누가 수사 기관과 협의할지 절차를 미리 정해야 합니다. 특히 고객의 개인 정보를 보호하고 있는 중소기업은 이런 절차를 더욱 꼼꼼히 해야 됩니다. ◆ 박주언 : 그러게요. 결국에는 기본적인 보안 관리가 제일 중요하다라는 말씀인데 그런데 사실 이번 사건만 그런 게 아니라 최근엔 해킹으로 자료를 빼내서 공개하겠다 이렇게 협박을 하거나 아예?병원이나 공장 같은 거 멈춰버리는 그런 일도 있잖아요. ◇ 이승기 : 그렇습니다. 지난 20일에는 '논'이라는 해킹 조직이 국내 해운, 철강 관련 기업 12곳의 자료를 빼내 비트코인을 내놓으라고 협박을 했습니다. 그런데 피해 기업들이 이에 응하지 않자 일부 파일을 누구나 내려받을 수 있는 형태로 다크웹에 공개?해버린 겁니다. 공개된 자료들을 보면 회사의 핵심 사업 계획서부터 수출입 자료, 선박 운항 일정 그리고 거래처와의 계약서까지 아주 민감한 문서들이?다수 포함돼 있었습니다. 그러니까 기업 입장에서는 엄청난 타격이 될 수 있다는 거죠. 그리고 또 올해 1월에는 강원대 병원이 랜섬웨어 공격을 받았던 사건이 있습니다. 당시 해커들이 병원 전산망에 침투해서 MRI와 CT 영상 같은 걸 확인하는 의료 영상 시스템을 암호화해버린 겁니다. 그리고?이걸 풀어주는 대가로 수억 원 상당의 비트코인을 또 요구를 했습니다. 그래서 의료 영상 시스템에 차질이 생겼지만 다행히?감염된 네트워크를 분리하고 응급 서버를 가동해서 복구를 했습니다. 병원에서는 사실 이런 사고가 환자 진료까지 영향을 미칠 수 있다는 .에서 어쩌면 더 심각한 거죠. ◆ 박주언 : 그러네요. 체리마스터 다운 진짜 대학병원에서 MRI나 CT 영상을 못 보게 된다라고 하면 응급환자거나 중환자 진료에 바로 차질이 생기고 문제가 될 텐데. ◇ 이승기 : 자칫하면?환자 생명과 직결될 수 있는 아찔한 상황인데요. 다행히 병원 측이 공격을 인지하자마자 바로?응급 대응을 해서 진료 차질은 막았습니다. 이거는 우리나라고 해외는 더 무시무시합니다. 해외 사례를 들어보면 지난해 4월 영국의 유통업체 마크스 앤 스펜서라는 회사가 있는데 이 회사가 사이버 공격으로 온라인 주문과 물류 업무에 차질을 겪었는데 회사 측 추산 피해액이 무려 4억 파운드 우리 돈 5천억 원이 넘는 규모였습니다. 그리고 지난해 9월 우리도 잘 아는 자동차 기업이죠. 재규어 랜드로버가 사이버 공격을 받았는데 이게 단순한 고객 정보 유출이 아니라 생산 라인 자체가 장기간 멈춰버린 겁니다. 완성차 공장이 멈추니까 부품을 공급하던 수많은 협력업체까지 도미노처럼 연쇄 타격을 입었는데요. 이 사건으로 영국 경제 전체에 미친 손실 추정치가 무려 19억 파운드 우리 돈으로 약 3조 원에 달했습니다.?사이버 공격은 단순히 회사 하나 그리고 병원 하나 대학 한 군데의 문제가 아니라 기업의 생산과 납품, 근로자들의 고용, 나아가 국가 경제 전체를 흔드는 일종의 재난으로 봐야 된다고 볼 수 있는 겁니다. ◆ 박주언 : 이렇게 상황이 심각하다 보니까 처벌 수위에도 관심이 높아질 수밖에 없는데 이번 일당은 3억 6천만 원을 요구했지만 실제 손에 쥔 돈은 30만 원뿐이었거든요. 혹시 챙긴 돈이 적다고 해서 처벌도 가볍게 끝나는 건 아니죠? ◇ 이승기 : 전혀 그렇지 않고요. 남의 전산망에 정당한 권한 없이 침입한 행위는 정보통신망법 위반이 되고요. 또 개인 정보를 불법으로 취득하고 이용했다면 개인정보보호법 위반도 함께 적용이 됩니다. 여기에 훔친 정보를 공개하겠다고 돈을 요구했다면 형법상 공갈죄 또는 공갈 미수죄가 성립할 수가 있습니다. 그래서 실제로 돈을 받지 못했을지라도 공갈 미수죄로 처벌할 수가 있는 거죠. ◆ 박주언 : 그러네요. 요구한 돈이 수억 원대라고 하면 특정 경제범죄 가중처벌법 적용 얘기도 나오긴 하던데 피의자가 법정에서 AI가 다 알아서 한 거라고 주장을 하면 책임을 피할 수도 있나요? ◇ 이승기 : 특정 경제범죄 가중처벌법은 대상 범죄와 실제 취득한 이득액을 비롯해 여러 가지 조건을 따져야 합니다. 그래서 협박을 하면서 요구만 했던 금액만 합산해서 곧바로 적용할 수는 없고요. ?실제로 받은 돈이 30만 원이기 때문에 제가 볼 때는 특정 경제범죄 가중처벌법은 적용되기 힘들고 일반 공갈죄가 적용될 걸로 보입니다. 나머지 3억 원 넘는 돈은 못 받았기 때문에 공갈 미수죄가 적용이 되고요. 그리고 AI가 했다는 변명도 법정에서는 절대 통하지 않을 겁니다 카카오바다이야기 . 그러니까 법적으로 AI는 범죄의 주체가 아니라 도구일 뿐인데요. 쉽게 말하면 우리가 금고를 털 때 최신형 전동 드릴을 썼다고 해서 드릴에게 책임을 묻지 않습니다. 그러니까 누가 범행을 기획했고 어떤 목적으로 AI에 지시를 내렸으며 훔친 정보를 어떻게 이용했는지가 핵심입니다. AI 탓을 할 수는 없습니다. ◆ 박주언 : 그렇죠. 근데 반대로 해킹 당한 기업 입장에서는 우리도 피해자인데 과징금에 손해배상까지 물라는 건 억울하다 이런 얘기도 할 것 같아요. ◇ 이승기 : 기업이 가장 억울해하는 지。인데요. 하지만 해커에게 공격당한 피해자라는 사실과 평소 고객 정보를 안전하게 보호할 의무를 다했냐는?별개 문제입니다. 개인 정보보호법은 일정한 위반 행위에 대하여 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있도록 규정하고 있습니다. 특히 올해 개정된 규정에는 고의와 중대한 과실에 의한 반복적인 보안 위반의 경우에는 일정한 경우 더 높은 상한을 적용하는 내용도 있어서 사안별 검토가 필요합니다. 그래서 해킹을 당한 건?다소?억울할 수 있겠지만 그래도 보완 조치를 다하지 않았다는 .에서는 문제가 될 수 있고요. 해킹을 당하면 무조건 과징금을 매기는 건 아니고. 실제 안전 조치 이행 여부와 사고 경위 등을 따져야 하고 손해배상 역시 법적 요건에 따라 책임 여부와 범위가 달라진다라고만 알아두시면 됩니다. ◆ 박주언 : 당장 지금 듣고 계신 분들이 내 정보가 털린 거 아니야? 하면서 불안하실 텐데 뭐부터 확인하면 좋을까요. ◇ 이승기 : 자, 우선 정부에서 운영하는 '털린 내 정보 찾기 서비스'에서 아이디와 비밀번호의 유출 여부를 무료로 확인해 볼 수 있습니다. 다만 조회 결과가 없다고 해서 이번 사건의 모든 개인 정보가 안전하다는 뜻은 아니고요. 유출 통지를 받으셨다면 어떤 항목이 유출됐는지 확인하고 관련 계정의 비밀번호부터 바꾸셔야 됩니다. 특히 여러 사이트에서 같은 비밀번호를 돌려 쓰고 있다면 다른 곳도 함께 바꾸고 또 이중 인증을 설정해야 됩니다. 또 피해 보상금을 지급한다거나 유출 여부를 확인해 주겠다면서 문자로 인터넷 주소를 보내는 경우가 있는데 이것도 보이스피싱이니 조심하여야 합니다. ◆ 박주언 : 이런 것들?조심해야 되고 6423님께서 편리함에서 범죄는 더 늘어나고 。. 지능범들이 많아지는 것 같다고 하셨습니다. 결국에 AI가 해킹 속도를 높이는 시대일수록 기업의 기본적인 보안 관리 또 개인의 예방도 더 중요하지 않나라는 생각이 듭니다. 특히나 유출 사실을 숨기거나 돈으로 해결하려 해서는 안 된다는 。 꼭 기억하시기 바랍니다. 변호사님 오늘 말씀 여기까지 듣겠습니다. ◇ 이승기 : 예, 감사합니다. ◆ 박주언 : 지금까지 <사건수첩> 이승기 변호사와 함께 했습니다. 취약.을 알아보고