[경찰기독신문 = 김현우 기자] 서울경찰청은 2023년 7월부터 2025년 4월까지 다수 정부, 공공, 민간 등 웹사이트를 해킹한 뒤 사회적으로 저명한 재력가들의 개인·금융·인증정보를 탈취하여 범행대상으로 선정하고, 본인확인 기관 및 가상 이동통신망 사업자(MVNO, 이하 알뜰폰) 등 해킹을 통해 다수 피해자 명의로 휴대폰 유심을 부정개통하여 휴대폰 본인인증, 공동인증서와 아이핀 무단발급, 계좌 개설 등 본인인증 수단을 순차 확보한 후 피해자의 금융계좌 및 가상자산 거래소 계정에 침입해 자금 이체하는 방법 등으로 피해자 16명으로부터 390억 원을 편취하고, 피해자 10명으로부터 250억 원을 편취하려다 미수에 그친 국제해킹조직의 총책 중국 국적 A, B와 국내외 조직원 총 18명을 검거(구속 3, 불구속 15)했다.

총책 A를 내일 검찰에 구속 송치할 예정이고, 태국 당국에 구속된 총책 B에 대해 범죄인인도 절차에 따라 송환을 진행 중이다.

경찰은 2023년 9월 남대문경찰서에서 최초 피해신고 접수 후, 휴대폰이 부정 개통되었다는 동종 수법의 피해가 전국적으로 다발함에 따라 서울경찰청 사이버수사대가 집중수사에 착수했다고 밝혔다.

총책의 지시를 받아 국내 행동책 모집, 자금세탁 역할을 한 중간책인 중국 국적 C, D, E, F 4명과 유심 부정개통, 유심 중계기 운영, 본인인증 우회 범행을 분담한 국내인 G부터 R까지 12명 등 조직원 총 16명을 ’23년 11월부터 ’25년 4월까지 순차 검거했다.

1년여간 첨단수사기법을 통해 해킹 인프라 서버 및 보안 메신저 등을 끈질기게 추적한 끝에, 해킹조직의 총책 중국 국적 A 등의 인적사항을 특정하여 인터폴 적색수배하는 등 국제공조수사를 진행했다.

국제공조수사를 통해 총책 A가 태국 체류 중이라는 인터폴 첩보를 입수하여 2025년 5월8일 태국 경찰과 인터폴 합동작전을 펼쳐 방콕 소재 호텔을 은신처 삼아 범행 중이던 총책 A, B를 검거한 후, 총책 A를 2025년 8월22일 한국으로 송환하여 정보통신망법위반, 특정경제범죄법위반 등 11개 혐의로 2025년 8월24일 구속했다.

총책 B는 태국 당국에 긴급인도 구속을 청구하여 2025년 6월30일 현지에 구속된 상태로 국내 송환절차를 계속 진행 중이다.

국내 온라인서비스 제공자는 이용자의 본인확인을 위해 ▵주민등록번호 실명인증 ▵휴대폰 본인인증 ▵신분증 인증 ▵계좌인증 ▵공동·사설인증서 ▵아이핀 인증 등을 활용 중이다. 이러한 비대면 인증은 웹사이트 계정 생성·접속, 온라인 금융거래, 통신 서비스 개통, 비대면 인증서 발급, 핀테크 간편 결제 및 가상자산 거래 등 다양한 영역에서 일상화되고 있다. 

피의자들은 수년간 국내 온라인서비스 등을 해킹해서 확보한 주민등록번호, 비밀번호 등 민감정보를 데이터베이스로 구축하고, 보안이 취약한 정부·공공기관, IT 플랫폼 업체, 금융공동 관리기관 등 웹사이트 6곳 상대로 보안취약점 해킹 등을 통해 피해자 258명의 성명, 신분증 정보, 운전면허정보, 계좌번호와 금융자산 잔고, 전화번호 등 다수의 개인·금융·인증정보를 탈취하여 범행대상으로 선정했다.

피의자들은 자산이 많은 재력가를 범행대상으로 1차 선정하고, 휴대폰 무단개통 등에 바로 대응하기 어려운 교정시설에 수감 된 기업 회장, 유명인이나 해외 체류 중이거나 군에 입대한 연예인, 체육인, 가상자산 투자자 등 재력가를 2차로 선정했다.

휴대폰 본인인증은 높은 수준의 비대면 신원인증 권한을 제공하는 핵심 수단으로, 피의자들은 명의자가 아닌 제3자의 전자서명으로 우회하는 인증 취약점을 악용하여 알뜰폰 사업자 12곳의 개통 서비스를 해킹하여 피해자 89명 명의로 118개의 휴대폰 유심을 무단 개통하였고, 이 과정에서 ICT 위탁기관 1곳을 해킹하여 ‘휴대폰 가입제한 서비스’를 무단으로 해제하기도 했다.

피의자들은 불법 수집한 개인·금융정보와 무단 개통한 휴대폰 본인인증을 포함, 공기업 1곳을 해킹하여 비밀번호 탈취하는 등 신원정보 조회(161명), 모바일 신분증 발급 및 신분증 위조(45개), 본인확인기관 2곳의 보안취약점 해킹을 통해 공동인증서(29개)와 아이핀(11개) 발급, 신규계좌 개설(16개) 등 인증수단을 확보했다.

이 과정에서 모바일 OTP 무단발급을 통해 이체 한도(1일 5억)를 높이기도 하며 복합인증과 교차검증 절차를 모두 통과하여 비대면 인증체계를 사실상 우회했다.

해킹 피해자만 총 258명에 달하고, 피해액은 총 640억 원(피해자 16명 기수 390억, 피해자 10명 미수 250억) 상당으로 집계됐다.

이번 수사를 통해 중국 연길, 대련과 태국 방콕 지역 등에 거점을 두고, 한국을 대상으로 전문적인 해킹을 통해 자산을 편취하는 국제해킹조직을 적발하는 성과를 거뒀다.

해킹조직의 최상단에서 직접 해킹을 실행하고 막대한 불법 이익을 최종적으로 향유 했음에도 점조직 형태 운영으로 수사기관의 검거망을 유유히 빠져나갔던 조직의 총책인 A, B를 검거하고, 중간책, 세탁책 및 국내 행동책 등 핵심 조직원을 다수 검거함으로써 조직을 와해시켰다.

경찰청 국제협력관실은 인터폴 사무총국으로부터 2025년 4월17일 A가 태국에 체류 중이라는 결정적 첩보를 입수했다.

경찰은 즉시 한국 – 태국 상호 파견 경찰협력관을 통해 태국 경찰과 공조하여 총책 A의 은신처를 특정한 후 한국 경찰관 및 태국 경찰 등 12명으로 합동작전을 펼쳐 2025년 5월 8일 총책 A, B를 동시에 검거했다.

이들은 검거 당시에도 해킹범죄를 저지르고 있어 범행에 사용된 전자기기 등을 확보하였고, 2025년 5월13일 경찰청 공동조사팀을 파견, 증거물 확보와 피의자 조사를 진행했다.

이후 태국 경찰주재관을 중심으로 태국 당국과의 협의와 양국 인터폴 간 호송 회의를 통해 검거 후 106일만인 2025년 8월 22일 A를 국내로 송환했다.

2023년 10월부터 수사를 진행하면서 규명한 취약점과 신종 수법을 과학기술정보통신부 등 유관기관에 지속적으로 통보하고 범정부 대책회의를 통해 보완조치를 요청했다.

이어진 유관기관의 후속 조치를 통해 보안 취약요소를 실질적으로 개선함으로써 더 큰 피해 발생을 사전에 차단하였고, 또한, 알뜰폰 무단개통의 원인 및 취약점을 규명함으로써 정보통신망법 시행령 개정 추진까지 이끌어냈다.

금융기관의 이상거래 탐지 및 피해자의 지급정지(85억 원), 경찰의 출금차단·동결 조치(128억 원)로 약 213억 원을 피해자에게 반환했다.

이번 사건은 온라인 본인인증체계의 신뢰를 위협하고, 국민의 재산과 개인정보 보호에 심각한 위험을 초래할 수 있는 구조적 문제점을 드러낸 사례로, 수사를 통해 확인된 보안 취약요소는 개선되었지만, 휴대폰 비대면 개통절차와 본인인증체계 전반에 잠재된 보안 취약요소에 대해 더욱 철저한 점검과 개선 등 보안 강화가 필요한 상황이다.

경찰은 “보안 강화 정책과 함께, 국민 개개인이 범죄표적이 되는 것을 막기 위해서는 개인정보 보안수칙을 생활 속에서 꾸준히 실천하시기를 당부드린다”고 전했다.

아울러 “태국에서 구속된 총책 B의 국내 송환절차를 신속히 진행하는 한편, 해당 조직이 한국을 대상으로 한 국제해킹조직임을 고려하여 총책으로부터 압수한 전자기기 등을 면밀히 분석하여 추가 여죄 및 미검 조직원에 대해 계속 수사할 것”이라면서 “총책 A 송치 이후 검찰과 협력하여 공소제기 및 유지에 필요한 수사를 적극적으로 진행할 예정”이라고 밝혔다.

이어 “향후 비대면 본인인증 취약점 해킹 사건 발생 시, 그간 구축한 경찰과 알뜰폰 사업자 간의 핫라인과 유관기관 대응체계를 신속히 가동하여 추가 피해를 최소화하고, 사이버 범죄 전문 수사역량을 바탕으로 국민의 재산 및 개인정보 보호에도 앞장서겠다”며 “태국 경찰이 총책 검거와 송환 과정에서 보여준 적극적인 협조에 깊이 감사드리며, 경찰은 앞으로도 태국 경찰과 긴밀한 공조를 통해 국제 범죄 대응에 최선을 다하겠다”고 말했다.

김현우 기자 pcnorkr@hanmail.net

<저작권자(c)경찰기독신문. 무단전재-재배포금지.>