[서울=뉴시스]윤정민 신유림 기자 = 인공지능(AI)이 해커 한 명의 손을 대신해 여러 기업과 기관을 동시에 공격하는 데 악용되고 있다.

국내에서도 AI를 활용한 대규모 해킹 일당이 처음으로 붙잡히면서, 해킹의 '대량 생산' 시대가 현실로 다가왔다는 우려가 나온다. 공격자가 반복 작업을 AI에 맡기는 만큼 기업 방어도 속도를 높여야 한다는 지적이다.

27일 서울경찰청에 따르면 지난해 9월부터 이달까지 약 13개월간 국내 업체 90여곳에서 개인정보와 사내자료 약 820만건을 탈취한 혐의를 받는 일당 7명이 검거됐다.

총책 A(32)씨는 범행 초기 취약점 탐색 자동화 도구를 사용하다 지난 8월31일부터 AI 해킹 도구를 활용했다. 이후 이달 13일까지 44일간 약 60곳을 해킹한 것으로 파악됐다. 13개월간 발생한 전체 피해 기업·기관의 약 3분의 2가 AI를 활용한 44일에 집중된 셈이다.

경찰 관계자는 총책이 공격 대상을 선정해 지령을 내리면 AI 도구로 여러 곳을 동시다발적으로 공격하는 방식이었다며 추가 피해도 확인되고 있다고 밝혔다.

경찰에 따르면 A씨는 IT 비전공자지만 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 수행한 경력이 있다. 경찰도 A씨를 웹 해킹 지식이 상당한 ‘준전문가’로 평가했다.

◆목표 주면 도구 선택·후속 시도까지…개인의 공격 규모 키운 AI

보안 전문가들은 이번 사건을 두고 공격자 전공이나 경력보다 AI가 반복 작업을 대신하면서 한 사람이 더 많은 대상을 공격할 수 있게 된 점에 주목했다.

경찰에 따르면 범행에는 AI 자율 침투 시험 도구 '아르텍스(ARTEX)'와 코딩 AI 에이전트 등이 활용됐다. 목표를 입력하면 AI가 필요한 도구를 선택하고 해결 방법을 찾아가 사람이 단계마다 명령을 내리는 부담을 줄이는 방식이다.

김진국 플레인비트 대표는 이번 사건에 대해 "일정 수준의 해킹 지식을 갖춘 공격자의 생산성과 공격 수행 능력을 크게 높일 수 있다는 점을 보여주는 사례"라고 평가했다. AI가 코드 작성·수정과 오류 해결, 공격 절차 자동화 등을 도와 반복 작업에 드는 시간과 노력을 줄일 수 있다는 설명이다.

김 대표는 "과거에는 전문적인 지식이 필요했던 일부 작업을 AI의 도움으로 수행할 수 있게 되면서 상대적으로 숙련도가 낮은 공격자도 더 복잡한 공격을 시도할 가능성이 커지고 있다"고 설명했다.

◆병원·학원부터 대기업 계열사까지…"뚫린 뒤 피해 줄일 준비도 해야"

이번 피해업체에는 병원과 학원, 골프장, 대학, 상조회사뿐 아니라 대기업 계열사도 포함됐다. 업종과 규모를 가리지 않고 피해가 발생한 것이다. 경찰은 데이터베이스와 관리자 페이지 등의 취약점이 악용됐다고 설명했다.

박찬암 스틸리언 대표는 AI로 해킹이 빨라지고 쉬워지고 있다며 침입 시도나 피해 사실을 파악할 수 있는 '보안 가시성'을 높여야 한다고 강조했다. 접속 기록을 남기고 이상 징후가 발생하면 경보가 울리도록 해 신속하게 분석·대응할 수 있어야 한다는 설명이다.

박 대표는 "이미 당했을 때 어떻게 피해를 최소화할 수 있을지도 계속 고민해야 한다"고 말했다. 내부 시스템이 침해되더라도 다른 영역으로 피해가 번지지 않도록 구조를 점검해야 한다는 뜻이다.

김 대표도 "과거처럼 알려진 공격 패턴을 탐지하거나 주기적으로 로그를 점검하는 방식만으로는 빠르게 반복되는 공격에 대응하기 어려울 수 있다"며 보안 이벤트 분석과 위협 탐지, 침해사고 조사 자동화에 AI를 활용할 필요가 있다고 설명했다.

다만 AI가 제시한 분석 결과는 원본 접속 기록과 디지털 증거로 재확인해야 한다고 강조했다.

이 가운데 보안 인력이 부족한 영세업체가 점검과 보완을 실행할 수 있도록 정부가 지원해야 한다는 목소리도 나온다. 이번 사건처럼 병원·학원 등도 공격 대상이 된 상황에서 점검과 보완을 개별 업체의 역량에만 맡기기 어렵다는 설명이다.

IT업계 한 관계자는 "점검하고 패치하고 취약점을 보완해야 한다는 이야기는 할 수 있지만 가능하려면 자체적인 자원이 있어야 한다"며 "정부 지원책이 더 많아지면 좋겠다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com, spicy@newsis.com