AI 해킹으로 820만 건 정보 탈취, 학원·병원도 표적…해킹 협박 메일과 개인정보 유출 대응
AI 해킹으로 개인정보가 탈취되고 금전 협박까지 이어졌다면, 돈을 보내기 전에 유출 범위와 법정 통지·신고 의무부터 확인해야 합니다.
- 사건 요지: 생성형 AI와 자동화된 침투 도구로 학원·병원·골프장·대학 등 90여 곳에서 약 820만건의 정보를 빼낸 뒤 38곳에 돈을 요구한 일당이 검거됐습니다.
- 협박의 논리: 이들은 "유출이 알려지면 이미지가 나빠지고 과징금을 맞는다"며 압박했습니다. 그러나 돈을 줘도 회사의 통지·신고 의무는 사라지지 않습니다.
- 72시간: 협박 메일에 실제 고객정보가 포함되어 있다면 개인정보 유출 또는 법정 유출 가능성을 인지한 때인지 즉시 검토해야 합니다. 통지·신고 대상과 기산점은 별도로 판단합니다.
- 대비가 책임을 줄인다: 안전조치 이행 기록과 보호 투자 내역은 과징금 감경과 손해배상 방어의 근거가 됩니다.
AI 해킹 시대, 중소 사업장이 표적이 되는 4가지 이유
이번 사건의 피해 업체 상당수는 대기업이 아니라 학원, 병원, 골프장 같은 생활 밀착형 사업장이었습니다. AI가 공격 비용을 낮추면서, 보안 투자가 적고 정보는 많은 곳이 가장 먼저 표적이 됩니다.
- 정보는 많고 보안 인력은 없다: 회원·환자·학부모 정보를 대량으로 갖고 있지만 전담 인력이 없다
- 공격이 자동화됐다: 생성형 AI와 자동화 도구가 취약점 탐색을 도와 대규모 공격의 문턱을 낮출 수 있다
- 외주 의존도가 높다: 홈페이지·예약 시스템을 외주 업체가 만들고 관리해 취약점이 방치되기 쉽다
- 협박에 약하다: 평판이 생명인 업종이라 "알려지면 끝"이라는 압박이 잘 통한다
| 사업장 | 주요 보유 정보 | 유출 시 특히 문제 되는 점 |
|---|---|---|
| 학원·교습소 | 학생·학부모 이름, 연락처, 학교, 성적 | 만 14세 미만 아동 정보, 학부모 단체 민원 |
| 병원·한의원 | 환자 인적사항, 진료 내역, 예약 기록 | 건강정보는 민감정보, 의료법상 기록 보호 의무 |
| 골프장·피트니스 | 회원 정보, 결제 정보, 이용 내역 | 결제 정보 결합 시 2차 사기 위험 |
| 쇼핑몰·예약 플랫폼 | 주소, 연락처, 구매 이력 | 대량 유출 시 집단 손해배상 청구 |
AI 해킹 820만건 사건, 무엇이 달랐나요?
보도를 정리하면, 서울경찰청 사이버수사과는 2026년 10월 정보통신망 침해와 공갈 등 혐의로 총책을 구속 송치했으며 공범을 수사했다고 밝혔습니다. 경찰은 생성형 AI를 악용한 대규모 해킹·개인정보 탈취의 국내 첫 검거 사례라고 밝혔습니다.
| 구분 | 내용 |
|---|---|
| 기간 | 2025년 9월경부터 최근까지 |
| 피해 규모 | 학원·병원·골프장·대학, 대기업 계열사 등 90여 곳, 개인정보·내부 자료 약 820만건 |
| 수법 | 경찰 발표에 따르면 생성형 AI와 침투 테스트 도구 등을 이용해 침입·정보 탈취. 구체적 공격 방식은 수사 내용 기준 |
| 협박 | 38곳에 이메일·전화로 총 약 3억6천만원 요구. 유출 공개, 이미지 실추, 과징금을 내세워 압박 |
| 총책 | IT 비전공자로 독학했고, 과거 보안 업체에서 모의해킹 업무를 담당한 경력 |
| 수사 현황 | 경찰은 추가 피해와 2차 유통 여부를 수사 중. 공개 보도 당시 확인된 실제 송금액은 1개 업체 약 30만 원 |
이 사건이 기업에 주는 메시지는 두 가지입니다. 첫째, 공격하는 데 필요한 전문성의 문턱이 크게 낮아졌습니다. 둘째, 원래 방어를 위해 만든 모의해킹 기술과 도구가 그대로 공격에 쓰였습니다. 우리 회사의 보안 점검을 맡긴 외부 업체와 인력을 어떻게 관리하느냐도 이제 보안 문제이자 법률 문제가 됐습니다.
사건 관련 보도: 뉴스1 2026.10.26. · 조선일보 2026.10.26.
해킹 협박 메일을 받았다면 돈을 줘야 할까요?
주지 않는 것이 원칙입니다. 돈을 줘도 자료 삭제를 확인할 수 없고 재협박 위험도 남습니다. 무엇보다 돈을 주는 것과 별개로 회사의 법적 의무는 그대로 남습니다.
| 구분 | 돈을 주고 덮는 경우 | 신고하고 대응하는 경우 |
|---|---|---|
| 자료 삭제 | 확인할 방법 없음, 다크웹 판매 가능성 남음 | 수사로 회수·유통 차단 시도 가능 |
| 재협박 | "돈을 주는 곳"으로 분류돼 추가 요구 위험 | 수사기관을 통한 추적·차단 가능성 확보(회수·확산 방지 보장 아님) |
| 통지·신고 의무 | 그대로 남음. 미이행 시 별도 위반 | 절차대로 이행해 위반 책임 차단 |
| 사후 발각 시 | 은폐 정황으로 과징금·손해배상에서 불리 | 성실한 대응이 감경 사유로 고려 |
협박 메일을 받은 직후
- 응답하지 않기: 협상하거나 반박하지 말고, 메일 원문과 헤더, 첨부된 샘플 데이터를 그대로 보존합니다.
- 사실 확인: 첨부된 자료가 실제 우리 회사 자료인지, 어떤 시스템에서 나왔는지 확인합니다. 허위 협박인 경우도 있습니다.
- 접근 차단과 증거 보존: 의심 계정을 막고 서버 로그를 보존합니다. 서버를 성급히 초기화하면 침입 경로를 밝힐 증거가 사라집니다.
- 수사 의뢰와 신고: 경찰 사이버수사 부서에 공갈 피해로 수사를 의뢰하고, 한국인터넷진흥원 침해사고 신고와 개인정보보호위원회 신고 여부를 판단합니다.
- 정보주체 통지: 유출 또는 법에서 정한 유출 가능성을 인지했다면 통지 대상·기산점과 72시간 기한을 확인합니다. 신고 대상과 기한은 별도로 검토합니다. 통지 문안은 사실과 추정을 구분해 작성합니다.
AI 해킹 피해를 입은 회사는 어떤 의무를 지나요?
해킹을 당한 회사는 범죄 피해자이지만, 개인정보처리자라면 안전조치 및 일정한 통지·신고 의무도 부담합니다. 2026년 9월 11일 개정 개인정보보호법 시행으로 이 의무는 더 무거워졌습니다.
| 구분 | 내용 |
|---|---|
| 안전조치 의무 | 접근 통제, 접속기록 보관, 암호화 등 법령이 정한 보호조치 (개인정보보호법 제29조) |
| 통지·신고 | 개인정보 유출 또는 법정 유출 가능성을 인지한 때부터 원칙적으로 72시간 이내 정보주체 통지. 감독기관 신고 대상·기산점은 시행령 기준 별도 확인 (제34조) |
| 과징금 | 법정 과징금 부과 요건이 충족되면 원칙적으로 관련 없는 매출을 제외한 전체 매출액의 3% 이하, 반복적·중대한 위반 등은 10% 이하. 투자에 따른 감경은 별도 요건 적용 (제64조의2) |
| 손해배상 | 고의·중과실이면 손해액의 5배 이내, 300만원 이하 법정손해배상 (제39조, 제39조의2) |
책임을 줄이는 길도 법에 있습니다. 대법원은 법정손해배상 사건에서 회사가 정신적 손해가 없었음을 증명하면 책임을 면할 수 있고, 그 판단에 정보의 종류, 식별 가능성, 제3자 열람 가능성, 관리 상황과 피해 확산 방지 조치 등을 고려한다고 판시했습니다(대법원 2025. 12. 4. 선고 2023다311184 판결). 수사 의뢰 자체가 면책을 보장하지는 않지만, 사고를 발견한 뒤 피해 확산을 막기 위해 취한 조치는 판단 자료가 될 수 있습니다.
대기업과 거래소 사례로 본 해킹 대비는 바이낸스 해킹 8조원, 우리 회사였다면?에서 따로 정리했습니다.
학원·병원·골프장은 무엇을 더 조심해야 하나요?
업종마다 다루는 정보의 성격이 달라, 유출되면 개인정보보호법 외에 추가로 문제 되는 지점이 생깁니다. 평소 점검할 항목도 업종에 맞춰야 합니다.
- 학원·교습소: 만 14세 미만 아동의 개인정보는 법정대리인 동의를 받아야 하고, 아동 정보 유출은 학부모 집단 대응으로 번지기 쉽습니다. 수강 관리 프로그램과 학부모 단체 알림 서비스의 위탁 관계부터 정리해야 합니다.
- 병원·한의원: 진료 내역 같은 건강정보는 민감정보여서 더 엄격한 보호조치가 요구되고, 의료법상 진료기록 보호 의무도 함께 적용됩니다. 예약·상담 플랫폼과 외부 전자차트 업체의 접근 권한 관리가 핵심입니다.
- 골프장·피트니스: 결제 정보와 이용 내역이 결합된 회원 정보는 유출 시 보이스피싱 등 2차 피해로 이어지기 쉽습니다. 카드 정보를 직접 저장하는지, 결제대행사에 맡기는지 확인해야 합니다.
- 공통: 홈페이지와 예약 시스템을 만든 외주 개발사가 유지보수를 끝낸 뒤에도 관리자 계정이 살아 있는 경우가 많습니다. 퇴사자와 외주 인력의 계정 회수는 가장 싸고 효과적인 대비입니다.
해커와 협박범은 어떤 처벌을 받나요?
AI를 썼다고 처벌이 가벼워지지 않습니다. 침입, 정보 탈취, 협박이 각각 별개의 범죄로 성립하고, 여러 업체를 노린 경우 각 행위의 범죄 성립과 죄수관계는 구체적 행위에 따라 판단됩니다.
| 행위 | 죄명 | 법정형 |
|---|---|---|
| 권한 없이 시스템 침입 | 정보통신망 침입 (정보통신망법 제48조 제1항) | 5년 이하 징역 또는 5천만원 이하 벌금 |
| 타인의 정보 훼손·비밀 침해·누설 | 정보통신망법 제49조 위반 | 5년 이하 징역 또는 5천만원 이하 벌금 |
| 유출을 빌미로 돈 요구 | 공갈·공갈미수 (형법 제350조, 제352조) | 10년 이하 징역 또는 2천만원 이하 벌금 |
| 탈취한 개인정보 판매·유통 | 개인정보보호법 위반, 정보통신망법 위반 | 정보 성격과 행위에 따라 가중 |
| 시스템 장애 유발 | 컴퓨터등장애업무방해 (형법 제314조 제2항) | 5년 이하 징역 또는 1천500만원 이하 벌금 |
피해 업체 입장에서 형사 고소는 처벌만을 위한 절차가 아닙니다. 수사를 통해 정보가 어디까지 퍼졌는지 확인할 수 있고, 이는 통지 범위를 정하고 손해배상 소송에서 확산 방지 노력을 증명하는 자료가 됩니다. 퇴사 직원이 회사 데이터를 지우거나 빼낸 경우의 처벌은 컴퓨터등장애업무방해죄 칼럼에서 다뤘습니다.
사고 전에 사업장이 갖춰야 할 것은?
보안 장비를 사는 것만으로는 부족합니다. 사고가 났을 때 "법이 요구한 조치를 했다"고 증명할 문서와 "72시간 안에 무엇을 할지" 정한 절차가 있어야 회사가 지켜집니다.
사업장 사전 대비 체크리스트
- 정보 목록: 어떤 고객 정보를 어느 프로그램에, 얼마나 오래 보관하는지 적습니다. 오래된 회원 정보는 파기하는 것만으로 유출 규모가 줄어듭니다.
- 외주·위탁 정리: 홈페이지·예약·결제·전자차트 업체와의 위탁계약에 보안 의무, 사고 시 통보·협조·배상 조항을 넣습니다.
- 계정 관리: 퇴사자, 외주 개발자, 보안 점검 업체의 계정을 작업이 끝나면 바로 회수하고 그 기록을 남깁니다.
- 처리방침 정합성: 개인정보 처리방침이 실제 위탁 업체와 보관 기간을 정확히 담고 있는지 확인합니다.
- 사고 대응 절차: 협박 메일을 받으면 누구에게 보고하고, 누가 통지를 결정하는지 정하고, 통지 문안 초안과 수사 의뢰 연락처를 준비합니다.
- 투자 기록: 보안 비용, 교육, 점검 결과를 남깁니다. 개정법상 과징금 감경의 직접 근거입니다.
관련 법령
사고 전 · 사업장 개인정보 문서 정비 사례
규모와 상관없이, 데이터가 실제로 어디로 흐르는지부터 확인해 문서를 맞춘 사건들입니다.
해외 AI 서비스를 쓰는 앱의 이용약관과 개인정보 처리방침
통화 녹음을 AI로 분석하는 앱을 대상으로 국외 이전 대상·항목·이용 목적 등을 확인하고 이용약관과 개인정보 처리방침을 작성했습니다.
거래처 요구로 개인정보 처리방침이 급히 필요해진 소규모 업체
템플릿으로 서류만 맞추려던 상황이었습니다. 인쇄·배송 업체로 넘어가는 위탁 현황을 확인해 반영하고, 법 제30조의 필수 항목을 갖춘 처리방침을 작성했습니다.
사고 후 · 정보 유출·협박 형사 대응 사례
정보를 빼낸 사람과 협박한 사람에게 책임을 물은 고소 사건들입니다.
병원 접수 직원이 업무상 알게 된 고객 정보를 외부에 넘긴 사건
적용 법조가 부정확해 멈춰 있던 고소를 이어받아, 목적 외 이용과 양벌규정 구조로 법리를 다시 세운 보충의견서를 내 송치를 이끌어냈습니다.
문자와 전화로 반복해서 위협한 상대방을 협박과 스토킹으로 고소한 사건
부동산 임대차 갈등 중 전화·문자 협박과 스토킹으로 고소한 별도 사건입니다. 해킹 사건 수행 실적이 아니라 협박 대응 경험을 보여주는 사례입니다.
협박 메일이 오기 전에, 우리 사업장의 72시간을 미리 설계합니다.
AI 해킹의 표적은 이제 대기업만이 아닙니다. 보안 팀이 없는 학원, 병원, 골프장, 쇼핑몰이 같은 위험 앞에 있습니다. 뉴로이어는 사이버범죄 사건으로 출발해 신산업·신기술 분야로 영역을 넓혀 온 로펌으로, 해킹과 정보 유출을 범죄 피해자 쪽에서, 그리고 개인정보처리자인 기업 쪽에서 모두 다뤄 왔습니다. 그 경험으로 사고 전 대비부터 사고 후 대응까지 이어지는 사업장용 개인정보·사이버보안 법률 서비스를 갖추고 있습니다.
사고 전에는 정보 목록과 위탁 관계를 정리하고, 처리방침과 위탁계약, 보안 점검 계약을 실제에 맞게 고치며, 협박 메일 대응 절차와 72시간 통지 문안을 미리 준비해 둡니다. 사고가 나면 수사 의뢰와 공갈 고소, 통지·신고 판단, 고객 대응 문안, 이후 손해배상 소송 방어까지 한 팀이 이어서 맡습니다. 대한변호사협회 인증 형사전문변호사인 김수열 대표변호사가 해킹·공갈 고소의 형사 축을 직접 지휘합니다. 기업 자문 방식은 신산업·신기술 서비스 소개에서 확인하실 수 있습니다.
자주 묻는 질문
AI 해킹은 기존 해킹과 무엇이 다른가요?
AI가 취약점 탐색과 침투 과정을 자동으로 반복해 주기 때문에, 전문 조직이 아닌 개인도 짧은 기간에 수십 곳을 동시에 노릴 수 있습니다. 최근 경찰이 검거한 일당도 생성형 AI와 자동 침투 도구로 학원·병원·골프장 등 90여 곳에서 약 820만건의 정보를 빼냈습니다. 그래서 보안 인력이 부족한 사업장도 공격 대상에서 제외되지 않습니다.
해커가 협박 메일을 보내면 돈을 줘야 하나요?
주지 않는 것이 원칙입니다. 돈을 줘도 자료가 지워졌다는 보장이 없고 재협박의 표적이 되기 쉬우며, 회사의 유출 통지·신고 의무도 그대로 남습니다. 정당한 통지·신고를 누락하면 별도 책임이 문제 될 수 있으므로, 메일을 보존하고 수사를 의뢰하는 것이 맞습니다.
AI 해킹 피해 회사도 과징금이나 손해배상 책임이 있나요?
해킹 피해만으로 곧바로 법 위반이 되는 것은 아니지만, 법이 정한 안전조치를 하지 않았거나 통지·신고를 제때 하지 않았다면 과징금과 과태료, 손해배상 책임이 생길 수 있습니다. 2026년 9월 11일부터는 반복·중대 위반에 전체 매출액의 최대 10%까지 과징금이 가능해졌고, 반대로 보호 투자 실적이 있으면 최대 40%까지 감경됩니다.
유출이 확실하지 않아도 고객에게 알려야 하나요?
개정 개인정보보호법은 무단 접근으로 유출이 의심되지만 대상자를 특정하지 못했거나, 일부 유출이 확인되고 추가 피해 가능성이 있는 경우 72시간 안에 사전 통지하도록 했습니다. 협박 메일에 실제 고객 정보 샘플이 첨부돼 있었다면 그 시점부터 통지 여부를 판단해야 합니다.
학원이나 병원처럼 작은 사업장도 대비가 필요한가요?
필요합니다. 학원은 아동 정보, 병원은 건강정보처럼 더 엄격하게 보호해야 하는 정보를 갖고 있고, 외주 업체가 만든 홈페이지와 예약 시스템이 방치된 경우가 많습니다. 정보 목록과 위탁계약 정리, 퇴사자·외주 계정 회수, 협박 메일 대응 절차만 갖춰도 사고 시 책임이 크게 달라집니다.
AI로 해킹하고 협박한 사람은 어떤 처벌을 받나요?
시스템에 침입하면 정보통신망 침입으로 5년 이하 징역 또는 5천만원 이하 벌금, 빼낸 정보를 빌미로 돈을 요구하면 공갈로 10년 이하 징역 또는 2천만원 이하 벌금에 처해질 수 있습니다. 여러 업체를 노린 행위는 각각의 침입·탈취·협박 사실을 구분해 판단하며, AI를 썼다는 사정이 처벌을 가볍게 하지 않습니다.
해킹 협박 메일을 받으면 72시간은 언제부터 계산하나요?
해커의 주장만으로 유출을 확정해서는 안 됩니다. 다만 메일에 실제 고객 정보나 시스템 접근 증거가 있다면 유출 또는 법정 유출 가능성을 인지한 시점을 기록하고, 해당 정보와 사고 범위를 신속히 확인해야 합니다. 정보주체 통지와 감독기관 신고의 기산점·대상은 각각 검토합니다.
AI 자율 침투 테스트를 의뢰하면 불법인가요?
권한이 있는 사업자가 적법한 범위에서 보안 점검을 수행하는 것 자체는 불법이 아닙니다. 다만 계약한 범위를 넘어 시스템에 무단 접근하거나 취득한 개인정보를 유출하면 정보통신망법 및 개인정보 보호법상 문제가 될 수 있습니다. 점검 대상, 권한, 기록 보관과 반환·파기를 계약에 명시해야 합니다.
담당 변호사
김수열대표변호사
서울대학교 법학전문대학원을 졸업하고 법무법인 율촌을 거쳐 뉴로이어 법률사무소를 이끌고 있는 대한변호사협회 인증 형사전문변호사입니다. 해킹과 정보통신망 침해, 개인정보 유출, 협박 사건에서 피해 기업의 수사 의뢰와 사고 대응을 맡고 있으며, 사업장의 개인정보 컴플라이언스 자문을 함께 수행하고 있습니다.
김수열 대표변호사 프로필 보기협박 메일을 받았다면 답장하기 전에, 아직이라면 지금 준비하세요.
이미 협박을 받았다면 수사 의뢰와 통지·신고 판단부터 바로 시작합니다. 아직이라면 우리 사업장의 정보 목록, 위탁계약, 사고 대응 절차를 함께 점검합니다. 받은 협박 메일 원문, 사용 중인 예약·회원관리 프로그램과 외주 업체 목록, 현재 개인정보 처리방침이 있으면 상담이 빨라집니다.
변호사 상담은 유료로 진행됩니다. 사안의 구체적 사정에 따라 대응 방향이 달라질 수 있습니다.
본 글은 법률 정보 제공을 목적으로 작성된 것으로, 특정 사건에 대한 법률 자문이나 결과 보장을 의미하지 않습니다. 820만건 해킹 사건은 2026년 10월 26일 경찰 발표와 언론 보도를 바탕으로 요약했으며, 수사 결과에 따라 사실관계가 달라질 수 있습니다. 사업장의 법적 책임은 업종, 처리하는 정보의 종류, 보호조치 이행 여부 등 개별 사안의 사실관계에 따라 달라질 수 있으므로 실제 대응 전에는 사안에 맞는 개별 상담을 권해 드립니다. 성공사례는 의뢰인 보호를 위해 각색된 내용이며 같은 결과를 보장하지 않습니다. 본 글은 2026년 11월 2일 기준으로 작성되었습니다.
인용 법령·판례 · 개인정보 보호법 제29조, 제34조, 제39조, 제39조의2, 제64조의2 · 정보통신망법 제48조, 제48조의3, 제49조 · 형법 제314조, 제350조, 제352조 · 대법원 2025. 12. 4. 선고 2023다311184 판결 (출처: 국가법령정보센터 law.go.kr, 대법원)
다음글
