"우리는 귀사의 정보를 탈취했습니다"
오전 아홉 시, 꽃 정기배송 가게를 하는 유자 씨가 메일함을 엽니다. 첨부 파일엔 단골손님 이름과 주소, 전화번호가 줄줄이 붙어 있었죠.
본문은 짧았어요. "우리는 귀사의 정보를 탈취했습니다." "귀사의 이미지 손실, 과징금, 고객 소송 등을 우습게 보지 마십시오." 돈은 테더 같은 가상화폐로 보내라고 적혀 있었습니다.
유자 씨 가게는 만화 속 가상 가게예요. 하지만 이 문장들은 서울경찰청이 붙잡은 AI 해킹 협박 일당이 실제 업체들에 보낸 메일 그대로입니다.
"합의금을 낼 만한 곳"
일당은 포털 검색 상단에 뜨는 업체 중에서 "합의금을 낼 만한 지불 능력이 있는 곳"을 골랐대요. 학원, 병원, 골프장, 상조회사, 대학, 대기업 계열사까지 90여 곳이 뚫렸고, 빠져나간 개인정보와 사내 자료는 약 820만 건이에요.
총책 A씨는 32세, 예체능을 전공한 IT 비전공자입니다. 블로그와 유튜브로 해킹을 독학했고, 2019~2022년엔 보안업체에서 모의해킹 일을 했다고 합니다.
8월 말부터는 스스로 빈틈을 찾아 공격하는 AI 도구 '아르텍스'를 붙였는데요. 그 뒤 44일 동안 60곳이 뚫렸습니다. 경찰은 생성형 AI를 악용한 대규모 개인정보 탈취 피의자를 국내에서 잡은 첫 사례라고 밝혔어요.
"통화 30초면 됩니다"
답장을 미루면 이번엔 대표와 직원 휴대폰이 울립니다. 전화와 문자로 돈을 재촉하는 거죠.
전화를 건 사람들은 텔레그램 아르바이트 글을 보고 모였어요. 공범 B씨(24)가 올린 글 문구가 "통화 30초면 됩니다"였고, 한 건에 1만~3만 원을 받았다고 하더라고요.
금액을 좀 깎아 달라고 한 업체도 있었는데요. 돌아온 답은 "자료와 대화 내역을 같이 유출하겠다"였습니다. 흥정했더니 협박이 1+1로 돌아온 셈이죠.
"범인과 협상하지 말고 즉시 경찰에 신고해야 한다"
오규식 서울경찰청 사이버범죄수사2대장의 당부예요.
협박 메일을 받은 곳은 38곳, 부른 돈은 모두 3억 6천만 원어치였습니다. 그런데 경찰이 지금까지 확인한 실제 송금은 영세 업체 한 곳의 30만 원이었어요.
수사는 6월, 피해 업체 한 곳이 낸 진정서에서 시작됐습니다. 경찰은 피해 업체 접속 기록을 따라가 4개월 만에 총책까지 7명을 붙잡았고요. 총책은 구속 송치됐고, 공범 6명은 불구속 상태로 수사를 받고 있습니다.
"90곳 중에 신고한 곳은 몇 곳이에요?"
경찰이 내놓은 답은 15곳이에요. 총책을 구속 송치한 혐의도 이 15곳에서 빠져나간 약 90만 건이었죠.
나머지 75곳의 피해는 지금도 수사 중입니다. 보복이 걱정돼 신고하지 못한 곳이 더 있는지도 경찰이 찾고 있대요.
유자 씨는 메일함을 닫고 수화기를 들었어요. 열여섯 번째가 되려고요!
— 반가운 첨부 파일은 손님 주문서뿐인 꼬미