AI 개인정보 유출 820만건 일당 검거 AI에 덜미 해킹 수법과 대응방안 처벌은?

AI 개인정보 유출 820만건 일당 검거 AI에 덜미 해킹 수법과 대응방안 처벌은?

 

 

 

생성형 AI로 국내 기업과 기관 90여 곳을 해킹해 개인정보 등 약 820만 건을 빼돌린 일당 7명이 경찰에 검거됐다. 서울경찰청 사이버수사과는 2026년 10월 26일 총책 A씨를 구속 송치하고 공범 6명을 불구속 상태로 수사하고 있다고 발표했다.
범행에는 AI 기반 해킹 도구가 사용됐지만, 검거 과정에서도 경찰이 자체 개발한 AI 분석 시스템이 활용됐다. 일당은 피해 업체 38곳에 총 3억 6,000만 원을 요구했으며 실제 확인된 지급액은 30만 원이다.

목차

1. AI 개인정보 유출 820만건 — 어디서 무슨 일이 있었나?
2. AI 해킹 수법 — 아르텍스는 무엇이고 어떻게 악용됐나?
3. AI에 덜미 잡힌 해커 — 경찰은 어떻게 7명을 검거했나?
4. AI 개인정보 유출 대응방안 — 내 정보가 털렸다면?
5. AI 개인정보 유출 처벌 — 해킹과 협박은 어떤 법을 적용받나?

 

1. AI 개인정보 유출 820만건 — 어디서 무슨 일이 있었나?

---

서울경찰청은 10월 26일 생성형 AI를 악용해 국내 업체 90여 곳에서 개인정보와 업무자료 약 820만 건을 탈취한 혐의를 받는 일당 7명을 검거했다고 밝혔다. 피해 업체에는 학원, 병원, 골프장, 대학, 대기업 계열사 등이 포함됐다. 총책 A씨는 구속 송치됐으며 나머지 6명에 대한 수사는 진행 중이다.

 

경찰에 따르면 범행은 2025년 9월부터 2026년 10월까지 약 13개월 동안 이뤄졌다.
일당은 기업 전산망에 침입해 개인정보와 내부자료를 확보한 뒤 이를 공개하겠다고 협박하며 금전을 요구한 혐의를 받고 있다.
범행 규모와 수사 결과는 다음과 같다.

구분	경찰 발표 내용
범행 기간	2025년 9월~2026년 10월
피해 업체	약 90곳
탈취 자료	약 820만 건
금전 요구 업체	38곳
요구 금액	총 3억 6,000만 원
실제 확인된 지급액	30만 원
검거 인원	7명
총책	32세 남성 A씨
총책 검거	10월 15일
총책 구속	10월 17일
총책 송치	10월 23일
공식 발표	10월 26일

피해 업체 중 15곳은 개인정보 유출 피해를 신고했지만, 나머지 75곳은 신고하지 않은 상태로 파악됐다.
일당은 개인정보 유출 사실이 알려지면 기업 이미지가 훼손되고 과징금이나 손해배상 소송이 발생할 수 있다는 점을 이용해 업체를 압박했다.

 

다만 약 820만 건은 탈취된 개인정보와 자료의 건수다. 중복 기록이 포함될 수 있으므로 피해자 820만 명이라고 단정할 수는 없다.
경찰은 확보한 탈취 자료를 회수했으며 외부 재유포와 2차 범죄 가능성을 추가로 수사하고 있다.

 

2. AI 해킹 수법 — 아르텍스는 무엇이고 어떻게 악용됐나?

---

해킹 총책 A씨는 웹사이트 보안 취약점을 탐색하는 자동화 도구와 생성형 AI를 범행에 활용한 것으로 조사됐다. 특히 경찰은 AI 자율 침투 테스트 도구인 '아르텍스(ARTEX)'가 해킹에 사용된 사실을 확인했다. 정상적인 보안 점검 목적으로 만들어진 기술이 범죄에 악용된 사례다.

 

A씨는 IT 전공자가 아니었지만 블로그와 유튜브 등을 통해 해킹 기술을 독학했다.
또한 2019년부터 2022년까지 보안업체에서 모의해킹 업무를 수행한 경력이 있었던 것으로 조사됐다.
모의해킹은 기업의 허가를 받아 시스템에 보안 취약점이 있는지 점검하는 활동이다.
하지만 허가 없이 타인의 시스템에 침입하면 같은 기술을 사용하더라도 불법 행위가 된다.

 

경찰에 따르면 A씨는 초기에는 기존 자동화 프로그램을 이용해 취약점을 탐색했다.
이후 생성형 AI를 활용하면서 공격 범위가 크게 확대됐다.
특히 2026년 8월 31일부터 10월까지 약 60개 업체를 AI를 이용해 해킹한 것으로 파악됐다.
아르텍스처럼 AI를 활용하는 자율 침투 테스트 도구는 보안 취약점 탐색과 점검 업무를 자동화하는 기술이다.

 

이러한 시스템이 악용되면 공격자는 반복적인 취약점 분석과 공격 대상 탐색에 필요한 시간과 노동력을 줄일 수 있다.
다만 AI가 모든 해킹을 사람 없이 수행했다거나, 보안 기술을 전혀 모르는 사람이 아무런 준비 없이 침입했다는 의미는 아니다.
이번 사건의 총책 역시 해킹 관련 지식과 보안업체 업무 경험을 갖고 있었다.

 

3. AI에 덜미 잡힌 해커 — 경찰은 어떻게 7명을 검거했나?

---

경찰은 국가수사본부의 지원으로 자체 구축한 AI 분석체계를 이용해 해킹 관련 기록과 수사자료를 분석했다. 통화·계좌 내역 등 약 52만 건의 자료와 수천만 줄의 해킹 기록을 AI로 분석해 핵심 용의자를 추적했다. 지난 6월 수사를 시작한 뒤 약 4개월 만에 일당 7명을 모두 검거했다는 것이 경찰 설명이다.

 

이번 수사는 2026년 6월 피해 업체 한 곳이 진정서를 제출하면서 시작됐다.
경찰은 7월부터 9월까지 협박에 가담한 공범 5명을 순차적으로 검거했다.
이어 10월 초 텔레그램을 통해 범행을 지시한 혐의를 받는 24세 남성 B씨를 검거했다.
이후 피해 업체의 해킹 기록과 관련 자료를 분석해 총책 A씨의 신원을 특정했다.
수사 과정은 다음과 같다.

시기	주요 수사 내용
2026년 6월	피해 업체 진정서 접수
7~9월	공범 5명 검거
10월 초	범행 지시 혐의자 B씨 검거
10월 15일	총책 A씨 체포
10월 17일	총책 구속
10월 23일	총책 송치
10월 26일	수사 결과 발표

AI는 이번 수사에서 사람이 분석하기 어려운 방대한 자료를 정리하고 연결 관계를 찾는 데 활용됐다.
통화 내역과 금융거래 자료, 해킹 기록의 연관성을 분석하는 데 필요한 시간을 줄인 것이다.
다만 AI가 범인을 독자적으로 판정해 체포한 것은 아니다.
AI 분석 결과를 바탕으로 경찰이 추가적인 증거와 관련 자료를 확인하고 피의자를 특정해 수사를 진행했다.
이번 사건은 생성형 AI가 사이버범죄의 공격 도구인 동시에 범죄 수사에 활용되는 분석 도구가 될 수 있음을 보여줬다.

 

4. AI 개인정보 유출 대응방안 — 내 정보가 털렸다면?

---

AI 개인정보 유출 피해가 의심된다면 해당 업체의 유출 통지 여부를 확인하고, 동일한 비밀번호를 사용하는 계정부터 변경해야 한다. 유출된 개인정보가 다른 서비스의 로그인이나 금융사기에 악용될 수 있기 때문이다. 개인정보 침해 상담은 한국인터넷진흥원(KISA) 118을 통해 받을 수 있다.

 

이번 사건의 피해 업체에는 학원, 병원, 골프장, 대학 등 일상적으로 이용하는 시설이 포함돼 있다.
그러나 경찰이 10월 26일 발표한 정보만으로 특정 개인의 정보가 유출됐는지는 판단할 수 없다.
개인정보 유출이 우려될 때는 다음과 같이 대응하는 것이 좋다.

• 첫째, 유출 통지와 계정 활동을 확인한다.이용 중인 업체에서 유출 안내를 받았다면 어떤 항목이 노출됐는지 확인한다.특히 이름과 연락처뿐 아니라 아이디, 비밀번호, 결제정보가 포함됐는지 구분해야 한다.
• 둘째, 비밀번호를 변경하고 2단계 인증을 설정한다.유출된 서비스의 비밀번호를 변경하고 다른 사이트에서도 같은 비밀번호를 사용했다면 함께 바꾼다. 문자 인증이나 인증 앱 등 추가 인증수단을 설정하면 계정 탈취 위험을 줄일 수 있다.
• 셋째, 의심스러운 문자와 전화를 주의한다. 유출된 이름과 전화번호는 스미싱이나 보이스피싱에 악용될 수 있다. 특히 개인정보 유출 보상금 지급이나 피해 확인을 이유로 링크 클릭과 앱 설치를 요구한다면 주의해야 한다.
• 넷째, 개인정보 침해 신고를 활용한다. 한국인터넷진흥원 118은 개인정보 침해와 해킹 피해 관련 상담을 제공한다.

해킹·바이러스 긴급 상담은 24시간 운영되며, 개인정보 일반 상담은 평일 업무시간에 제공된다.
개인정보가 실제 유출된 경우에는 업체의 유출 안내와 피해 관련 문자, 이메일 등을 보관하는 것이 좋다.
이후 금전적 피해가 발생했다면 금융기관과 경찰에 즉시 신고하고 거래내역을 보존해야 한다.

 

5. AI 개인정보 유출 처벌 — 해킹과 협박은 어떤 법을 적용받나?

---

이번 사건의 총책 A씨에게는 정보통신망법 위반과 공갈·공갈미수 혐의 등이 적용됐다. 정보통신망에 무단 침입하거나 개인정보 유출을 빌미로 금전을 요구하는 행위는 별개의 범죄가 될 수 있다. 다만 구체적인 처벌은 수사와 재판에서 인정되는 혐의와 범행 가담 정도에 따라 달라진다.

 

우선 기업의 허가 없이 전산망에 침입하는 행위는 정보통신망법상 불법 침입에 해당할 수 있다.
탈취한 정보를 누설하거나 다른 사람에게 제공하는 행위에도 별도의 처벌 규정이 적용될 수 있다.
또한 정보를 공개하겠다며 업체를 협박해 돈을 받아냈다면 형법상 공갈죄가 문제 된다.

 

형법 제350조에 따른 공갈죄의 법정형은 10년 이하의 징역 또는 2,000만 원 이하의 벌금이다.
금전을 요구했지만 실제 돈을 받지 못한 경우에도 형법 제352조에 따라 공갈미수죄가 성립할 수 있다.

 

이번 사건에서는 일당이 38개 업체에 총 3억 6,000만 원을 요구했지만 실제 돈을 지급한 업체는 한 곳이며, 확인된 지급액은 30만 원이다.
따라서 금전 요구 총액을 범죄수익으로 표현하는 것은 부정확하다.
법적 쟁점을 구분하면 다음과 같다.

행위	검토되는 법률·혐의
기업 전산망 무단 침입	정보통신망법 위반
탈취 정보 누설	정보통신망법 관련 규정
정보 공개를 빌미로 금전 취득	형법상 공갈
금전 요구에 그친 경우	공갈미수
개인정보 부정취득·이용	개인정보 보호법 관련 규정 검토 가능

경찰은 총책의 추가 범행과 다른 피해 업체, 범죄수익 등을 계속 수사할 방침이다.
아직 모든 피의자의 유죄가 확정된 단계는 아니며, 형량 역시 결정되지 않았다.

 

이번 사건에서 확인된 사실은 AI 활용 해킹이 실제 대규모 개인정보 탈취로 이어졌고, 경찰 역시 AI 분석 기술로 수사 속도를 높였다는 점이다.
개인정보를 보유한 기업에는 지속적인 보안 취약점 점검과 접근 권한 관리가, 이용자에게는 비밀번호 분리와 추가 인증 설정이 더욱 중요해졌다.

 

FAQ

---

Q1. AI 개인정보 유출 820만 건은 어떤 사건인가요?

2025년 9월부터 2026년 10월까지 일당 7명이 생성형 AI 등을 이용해 국내 업체 약 90곳에서 개인정보와 업무자료 약 820만 건을 탈취한 혐의를 받는 사건이다. 경찰은 2026년 10월 26일 수사 결과를 발표했다.

 

Q2. 피해자가 820만 명이라는 뜻인가요?

아니다. 820만 건은 탈취된 개인정보와 관련 자료의 건수로 발표됐다. 중복 자료가 있을 수 있어 피해자 수와 동일하게 볼 수는 없다.

 

Q3. AI 해킹에 사용된 아르텍스는 무엇인가요?

아르텍스(ARTEX)는 AI를 활용한 자율 침투 테스트 도구다. 원래 보안 취약점을 점검하는 용도의 기술이지만 이번 사건에서는 해킹에 악용된 것으로 조사됐다.

 

Q4. 경찰은 AI로 해커를 어떻게 잡았나요?

자체 구축한 AI 분석체계에 통화·계좌 내역 등 수사자료 약 52만 건과 수천만 줄의 해킹 기록을 분석해 핵심 용의자를 추적했다.

 

Q5. 개인정보 유출과 해킹 협박은 어떤 처벌을 받나요?

정보통신망법 위반과 형법상 공갈·공갈미수 등이 적용될 수 있다. 형법상 공갈죄의 법정형은 10년 이하 징역 또는 2,000만 원 이하 벌금이며 실제 처벌은 법원 판단에 따른다.

-

자료 출처

뉴시스 — '생성형 AI 해킹' 일당 첫 검거…820만건 개인정보 털어 협박 (2026.10.26)
YTN — AI로 개인정보 820만 건 턴 해커 일당...AI에 덜미 (2026.10.26)
국가법령정보센터 — 형법 제350조 공갈·제352조 미수범 (2026.10.26 기준)
한국인터넷진흥원 — 118 개인정보·사이버보안 상담 안내 (2026.10.26 확인)

-

 

김보미 LPBA 첫 우승 프로필 소속 성적 주요 기록 0-3에서 4-3 역전극

 

롯데 이동욱 감독 선임 이택근 단장, 프로필 나이 경력

 

미스트롯 김소연 가수 프로필 나이 학력 경력 '남편 공개 박서준 닮았다'

 

맨유 8경기 연속 무승 본머스 전 경기 결과 주요 기록 다음 일정