핵심 POINT
서울경찰청 사이버수사과는 2026년 10월 26일 국내 업체 90여 곳에 침입해 개인정보 820만여 건을 빼낸 뒤 돈을 요구한 혐의로 일당 7명을 검거했다고 밝혔습니다. 경찰은 이 가운데 약 60곳에 AI를 활용한 공격이 쓰인 것으로 보고 있습니다.
피해 업체에는 학원, 병원, 골프장, 대기업 계열사가 포함됐습니다. 경찰은 전문 해커 조직이 아닌 개인도 AI를 활용하면 짧은 기간에 다수 업체를 공격할 수 있다고 설명해, 고객 정보를 가진 기업이라면 업종과 규모에 관계없이 대비가 필요합니다.
협박 메일을 받으면 답장과 송금을 멈추고 원문을 보존한 뒤 유출 여부부터 확인해야 합니다. 개인정보 유출 신고는 72시간 이내, 정보통신서비스 제공자의 침해사고 신고는 인지 후 24시간 이내로 기한이 서로 다르니 미리 정리해 두는 것이 좋습니다.
AI 해킹으로 협박까지? 기업이 미리 정해두면 좋을 대응 수칙 5가지
서울경찰청 사이버수사과는 2026년 10월 26일 정보통신망법 위반과 공갈 혐의로 총책 A씨 등 7명을 검거했다고 밝혔습니다. 경찰은 이들이 국내 업체 90여 곳의 시스템에 침입해 개인정보와 사내 자료를 빼낸 뒤 "돈을 주지 않으면 정보를 유출하겠다"고 협박한 것으로 보고 있으며, 이 과정에서 생성형 AI가 공격에 쓰인 것으로 조사했습니다.
이번 사건은 해킹뿐 아니라 협박 메일이 기업에 도착한 이후의 대응이 중요하다는 점을 보여 줍니다. 이번 글에서는 서울경찰청이 발표한 사건 내용을 간단히 살펴보고, 협박 메일을 받았을 때 기업이 미리 정해둘 대응 수칙 5가지와 개인정보 유출 신고·침해사고 신고 기한, AI 해킹에 대비해 평소 점검할 사항을 정리합니다.
■ AI를 악용한 대규모 해킹과 개인정보 탈취
출처: AI(ChatGPT) 생성 이미지
서울경찰청 사이버수사과 발표에 따르면 일당은 2025년 9월부터 2026년 10월까지 국내 업체 90여 곳의 시스템에 침입해 개인정보와 사내 자료를 빼낸 혐의를 받습니다. 경찰이 디지털 포렌식 자료와 총책의 진술을 분석한 결과 탈취한 개인정보는 약 820만 건이었습니다.
경찰은 범행 초기에는 웹사이트의 취약점을 찾는 자동화 도구가 쓰였고, 2026년 8월부터 생성형 AI와 AI 자율 침투 시스템이 사용되면서 공격 범위가 넓어진 것으로 조사했습니다. 전체 피해 업체 90여 곳 가운데 약 60곳이 AI를 활용한 공격으로 해킹된 것으로 보고 있습니다.
수사는 2026년 6월 피해 업체 한 곳의 신고에서 시작됐습니다. 이후 전국에서 같은 수법의 신고가 이어지자 8월에 사건을 병합해 수사했고, 피해 업체의 접속기록 등을 추적한 끝에 10월 15일 총책을 체포했습니다. 경찰은 생성형 AI를 악용한 대규모 해킹과 개인정보 탈취 사건에서 피의자를 검거한 국내 첫 사례라고 밝혔습니다.
■ 업종과 규모를 가리지 않은 피해와 협박 방식
출처: AI(ChatGPT) 생성 이미지
피해 업체에는 학원, 병원, 골프장, 대기업 계열사 등이 포함됐습니다. 서울경찰청은 전문 해커 조직이 아닌 개인도 AI를 활용하면 짧은 기간에 다수 업체를 공격할 수 있다는 점에서 사이버 범죄의 진입 장벽이 낮아지고 있다고 설명했습니다. 고객 정보를 가진 기업이라면 업종과 규모에 관계없이 공격 대상이 될 수 있다는 뜻입니다.
협박 방식은 정보가 알려지는 것에 대한 기업의 부담을 겨냥했습니다. 서울경찰청에 따르면 일당은 탈취한 정보를 공개하겠다고 위협하며 금전을 요구했고, 유출 사실이 알려지면 기업 이미지가 훼손되고 과징금과 손해배상 소송으로 이어질 수 있다는 점을 압박 수단으로 삼았습니다. 별도 방송 보도에 소개된 협박 메일에는 "당신 회사의 정보를 탈취했으니 텔레그램으로 연락하라"는 문구가 담겼습니다.
경찰 조사에 따르면 일당은 38개 업체에 총 3억 6천만 원 상당을 요구했고, 확인된 수취액은 30만 원입니다. 경찰은 협박을 받고도 신고하지 않았거나 돈을 지급한 뒤 피해 사실을 알리지 않은 업체가 더 있을 가능성도 확인하고 있습니다. 협박 메일이 도착했을 때 어떻게 움직일지 미리 정해 두어야 하는 이유입니다.
■ 협박 메일을 받았을 때, 기업이 미리 정해두면 좋을 대응 수칙 5가지
출처: AI(ChatGPT) 생성 이미지
아래 5가지는 이번 사건에서 공개된 협박 방식과 일반적인 침해사고 대응 순서를 바탕으로 정리한 것입니다. 협박 메일이 도착했을 때 담당자 한 명이 판단하지 않도록, 순서를 미리 공유해 두는 것이 좋습니다.
1. 답장과 송금을 멈추고 원문 보존
협박 메일에는 답장하지 않고, 텔레그램 등으로 안내된 연락처에도 접속하지 않습니다. 메일 원문과 헤더, 첨부파일, 연락처 정보는 삭제하지 말고 그대로 보관합니다. 수사기관이 발신 경로를 추적할 때 필요한 자료가 됩니다.
2. 유출 주장이 사실인지 확인
협박 메일의 주장이 모두 사실은 아닙니다. 메일이 제시한 자료가 실제 자사 데이터와 일치하는지, 홈페이지와 서버의 접속기록에 외부 접근 흔적이 있는지 확인합니다. 접속기록과 관리자 계정 사용 내역을 함께 살펴야 하며, 직접 판단하기 어렵다면 로그를 보존한 상태로 침해사고 분석 전문 기관의 도움을 받습니다.
3. 침입 경로 차단과 증거 보존
외부 접근 흔적이 확인되면 침입 경로가 되었을 가능성이 있는 시스템을 네트워크에서 분리하고, 관리자 계정의 비밀번호와 접근 권한을 점검합니다. 이때 시스템을 초기화하거나 로그를 지우면 원인 분석에 필요한 증거가 사라집니다. 분석은 원본을 보존한 상태에서 진행해야 합니다.
4. 법에 따른 신고와 통지 기한 확인
유출이 확인됐거나 유출 가능성이 높다면 개인정보 유출 신고와 침해사고 신고, 정보주체 통지가 필요한지 따져 봐야 합니다. 제도마다 기한과 접수 기관이 다르므로, 아래 항목의 표를 기준으로 담당자와 순서를 미리 정해 둡니다.
5. 경찰과 KISA에 신고
협박은 공갈 혐의로 수사 대상이 될 수 있으므로 경찰에 신고합니다. 해킹과 랜섬웨어 같은 침해사고는 KISA 118상담센터의 침해사고 신고 창구로도 접수할 수 있습니다. 이번 사건도 업체 한 곳의 신고에서 출발했고, 같은 수법의 신고가 쌓이면서 사건이 병합돼 총책 검거로 이어졌습니다. 신고 한 건이 다른 피해를 막는 단서가 될 수 있습니다.
■ 개인정보 유출 및 침해사고 신고 방법
유출이 확인됐을 때 기업이 챙길 신고는 두 가지로 나뉩니다. 개인정보 보호법에 따른 개인정보 유출 신고와 정보통신망법에 따른 침해사고 신고이며, 기한이 다릅니다.
| 구분 | 개인정보 유출 신고 | 침해사고 신고 |
|---|---|---|
| 근거 | 개인정보 보호법 제34조, 시행령 제40조 | 정보통신망법 |
| 신고 대상 | 1천 명 이상의 개인정보 유출, 민감정보 또는 고유식별정보 유출, 외부로부터의 불법적인 접근에 의한 유출 중 하나 | 침해사고가 발생한 정보통신서비스 제공자 |
| 신고 기한 | 72시간 이내 | 인지한 때부터 24시간 이내 최초 신고, 추가 확인 사항은 확인한 때부터 24시간 이내 보완 신고 |
| 접수 기관 | 한국인터넷진흥원(KISA) | 한국인터넷진흥원(KISA) |
개인정보보호위원회는 개인정보 유출 신고를 하지 않으면 3천만 원 이하의 과태료가 부과된다고 안내하고 있습니다. 침해사고 신고는 2024년 8월 14일 시행된 정보통신망법 개정으로 신고 시기가 명확해졌고, 과학기술정보통신부는 이때 재발방지 조치를 명령할 수 있는 근거도 마련했습니다.
2026년 9월 11일 시행된 개정 개인정보 보호법으로 정보주체 통지 기준도 달라졌습니다. 개인정보보호위원회는 유출 사실을 최종 확인하기 전이라도 불법적 접근이 발생했거나 개인정보의 불법 거래를 확인하는 등 유출 가능성이 높다고 합리적으로 판단되면, 가능성 단계에서부터 정보주체에게 통지하도록 했다고 밝혔습니다. 랜섬웨어 등으로 개인정보가 위조·변조·훼손된 경우도 유출 신고와 통지 대상에 포함됩니다.
사고가 난 뒤의 대응도 평가에 반영됩니다. 개인정보보호위원회는 사고 발생 사실을 신속하게 파악해 정보주체에게 통지하고 신고하며 취약점을 개선한 기업에 과징금을 추가로 감경하겠다고 설명했습니다. 협박 메일을 받고도 숨기기보다 기한 안에 대응하는 편이 기업에도 유리하다는 뜻입니다. 법령과 기한은 개정될 수 있으므로 신고 전에 개인정보보호위원회와 KISA의 최신 안내를 확인해야 합니다.
■ AI 해킹 대비 점검 사항
공격 대상이 업종을 가리지 않는다면 고객 정보를 가진 기업은 모두 점검 대상입니다. 협박 메일이 도착한 뒤에 대응을 고민하기보다 아래 항목을 미리 확인해 두는 것이 좋습니다.
• 외부 노출 웹사이트 점검. 범행 초기에 웹사이트 취약점을 찾는 자동화 도구가 쓰였던 만큼, 홈페이지와 회원 시스템의 알려진 취약점을 정기적으로 점검하고 보안 업데이트를 적용합니다.
• 접속기록 보관. 경찰은 피해 업체의 접속기록 등을 추적해 총책을 체포했습니다. 접속기록과 관리자 작업 로그를 충분한 기간 보관하고, 외부에서 임의로 지우지 못하도록 관리합니다.
• 협박 대응 절차 사전 수립. 협박 메일을 누가 받고 누구에게 전달하는지, 유출 확인과 신고는 누가 맡는지 정해 둡니다. 대표 메일과 홈페이지에 공개된 담당자 메일도 같은 절차에 포함합니다.
• 보관 개인정보 최소화. 오래된 고객 정보와 불필요한 항목을 정기적으로 파기하면 유출될 때의 피해 규모를 줄일 수 있습니다.
• 모의훈련과 모의해킹. 협박 메일 수신부터 신고까지 이어지는 대응을 모의훈련으로 점검하고, 외부 시각에서 침입 가능성을 확인하는 모의해킹을 정기적으로 수행합니다.
SK쉴더스는 모의해킹과 취약점 진단, 침해사고 대응 서비스를 통해 기업이 침입 경로를 사전에 점검하고 사고 발생 시 원인을 분석하도록 지원하고 있습니다.
■ 자주 묻는 질문
Q. AI 해킹은 기존 해킹과 무엇이 다른가요?
A. 서울경찰청은 이번 사건에서 범행 초기에는 취약점을 찾는 자동화 도구가 쓰였고, 2026년 8월부터 생성형 AI와 AI 자율 침투 시스템이 사용되면서 공격 범위가 넓어졌다고 설명했습니다. 자세한 내용은 앞의 사건 개요에서 확인할 수 있습니다.
Q. 협박 메일을 받았는데 실제로 해킹됐는지 모르겠습니다. 어떻게 확인하나요?
A. 메일이 제시한 자료가 실제 자사 데이터와 일치하는지, 홈페이지와 서버의 접속기록에 외부 접근 흔적이 있는지 확인합니다. 직접 판단하기 어렵다면 로그를 보존한 상태로 침해사고 분석 전문 기관의 도움을 받는 것이 좋습니다.
Q. 요구한 금액이 크지 않으면 보내고 끝내는 편이 낫지 않나요?
A. 권하지 않습니다. 돈을 보내도 정보가 삭제됐다는 보장이 없고, 추가 요구가 이어질 수 있습니다. 경찰은 돈을 주고 피해 사실을 알리지 않은 업체가 더 있을 가능성을 확인하고 있습니다.
Q. 개인정보 유출 신고 72시간은 협박 메일을 받은 순간부터 시작되나요?
A. 유출 사실을 알게 된 시점을 기준으로 봅니다. 협박 메일만으로는 유출이 확인된 것이 아닐 수 있어 사실 확인이 먼저입니다. 다만 2026년 9월 11일 시행된 개정법에 따라 불법적 접근이나 불법 거래를 확인하는 등 유출 가능성이 높다고 판단되면 정보주체 통지 대상이 될 수 있으므로, 확인을 미루지 말고 신속히 판단해야 합니다.
Q. 개인정보 유출 신고와 침해사고 신고를 모두 해야 하나요?
A. 두 제도는 근거 법령과 기한이 다릅니다. 개인정보 유출 신고는 신고 대상에 해당하면 72시간 이내, 정보통신서비스 제공자의 침해사고 신고는 인지한 때부터 24시간 이내입니다. 해당 여부가 불확실하면 KISA 118상담센터에 문의해 확인하는 것이 좋습니다.
Q. 어디에 신고하고 상담받을 수 있나요?
A. 개인정보 유출 신고와 침해사고 신고는 KISA를 통해 접수하고, 해킹과 랜섬웨어 같은 침해사고 상담은 KISA 118상담센터(국번 없이 118)에서 할 수 있습니다. 협박은 경찰에도 신고해 수사를 요청합니다.
[콘텐츠 출처]
파이낸셜뉴스, AI로 개인정보 90곳 해킹…820만건 빼내고 "돈 안 주면 유출" 협박까지 (서울경찰청 사이버수사과 발표, 2026.10.26)
MBC 뉴스데스크, "AI야, 개인정보 털어줘!"…820만 건 유출 잡고보니 '독학 해커' (2026.10.26)
개인정보보호위원회, 개인정보 보호법 시행령 개정 브리핑 (2026.09.10)
디지털데일리, 사이버 침해사고 발생하면 24시간 내 신고해야…정보통신망법 시행 (과학기술정보통신부 발표, 2024.08.13)
