중국인 해킹 총책, 한국 재력가 개인정보 털어 380억원 탈취…알뜰폰·인증번호까지 장악한 중국발 금융시스템 공격에 징역 20년
중국 국적의 해킹조직 총책이 한국의 유명 연예인과 대기업 회장·임원 등 재력가들의 개인정보를 불법으로 수집하고, 이를 이용해 은행·주식·가상자산 계정에 침투해 실제 약 380억원의 자산을 빼돌린 혐의로 1심에서 징역 20년을 선고받았다. 계좌이체 직후 지급정지 등으로 피해가 차단된 금액까지 포함하면 범행 규모는 약 640억원에 달한 것으로 파악됐다. 이번 사건은 단순히 개인정보 몇 건이 유출된 사건이 아니다. 중국인 총책이 해외에 범죄조직을 만들고 한국의 통신·본인인증·금융계좌 체계를 차례로 악용해 피해자가 아무 행동을 하지 않아도 자신의 자산이 빠져나갈 수 있는 구조를 구축했다는 점에서 한국 금융시스템에 대한 조직적 공격으로 볼 수 있다.
서울중앙지법 형사합의31부는 특정경제범죄가중처벌법과 정보통신망법 위반 등의 혐의로 기소된 중국 국적 총책 전모씨에게 징역 20년을 선고했다. 재판부는 전씨가 대한민국의 재력가들을 범행 대상으로 물색해 재산을 탈취했다고 지적하면서 피해자들이 일반적인 보이스피싱과 달리 스스로 범죄자에게 돈을 보내거나 정보를 제공한 것이 아니라 아무런 귀책사유 없이 무방비 상태에서 재산을 빼앗겼다고 밝혔다. 또한 이런 범죄가 개인의 재산피해를 넘어 대한민국 금융시스템의 근간을 흔드는 중대한 범죄라고 판단했다.
이 판결에서 특히 중요한 부분은 피해자들이 일반적인 전화사기 피해자와 달랐다는 점이다. 보이스피싱에서는 범죄자가 피해자를 속여 직접 송금하게 만드는 경우가 많다. 그러나 이번 중국인 총책의 해킹조직은 피해자의 행동을 유도하는 대신 이미 확보한 개인정보를 기반으로 피해자 명의의 통신수단과 인증체계를 장악했다. 피해자가 범죄자에게 전화 한 통을 받지 않아도, 링크를 누르지 않아도, 금융정보를 직접 넘겨주지 않아도 자산이 빠져나갈 수 있었던 것이다.
전씨와 공범들은 태국 등 해외에서 해킹 범죄단체를 조직한 뒤 2023년 8월부터 지난해 4월까지 알뜰폰 사업자를 포함한 20여개 사이트를 해킹한 혐의를 받는다. 이 과정에서 불법으로 확보한 개인정보를 바탕으로 피해자 명의의 알뜰폰 회선을 추가 개통했고, 그 회선으로 각종 인증번호를 가로챈 것으로 조사됐다. 그렇게 확보한 인증수단을 이용해 은행과 증권사, 가상자산 거래소 계정에 접근한 뒤 피해자의 자산을 무단으로 이동시켰다.
한국의 디지털 금융환경에서 휴대전화 번호는 단순한 연락수단이 아니다. 은행 로그인, 비밀번호 변경, 공동인증서 발급, 증권계좌 인증, 가상자산 거래소 접근까지 수많은 서비스가 휴대전화 본인인증에 연결돼 있다. 따라서 범죄자가 피해자 명의로 새로운 회선을 만들고 문자 인증을 통제할 수 있다면 사실상 금융계정의 열쇠 일부를 손에 넣는 것과 비슷한 효과를 낼 수 있다.
이번 사건은 바로 이 약점을 정확히 파고들었다. 범죄조직은 단순히 주민등록번호나 전화번호를 훔친 데서 멈추지 않았다. 개인정보를 실제 금융자산 탈취로 연결하기 위해 통신계정과 인증수단을 추가로 장악했다. 개인정보, 휴대전화, 본인인증, 금융계좌가 하나의 공격경로로 연결된 것이다.
더욱 우려되는 부분은 공공기관과 유관기관 해킹을 통해 아이핀과 인증서 발급에 필요한 정보까지 확보한 것으로 알려졌다는 점이다. 개인 금융계정 하나만 뚫은 것이 아니라 한국 사회가 온라인에서 “이 사람이 정말 본인인가”를 확인하기 위해 사용하는 인증 인프라 자체를 공격도구로 이용한 셈이다.
피해규모 역시 압도적이다. 실제 금전피해가 발생한 사람은 16명이고 총 피해액은 약 380억원이었다. 피해방지 조치가 뒤늦게 작동해 실제 손실로 이어지지 않은 금액까지 포함하면 전체 범행규모는 약 640억원 수준으로 파악됐다. 피해자 수만 보면 수십만 명의 개인정보 유출사건보다 작게 보일 수 있지만, 한 명 한 명을 정확하게 선택해 고액자산을 빼낸 표적형 금융범죄라는 점에서 위험성은 훨씬 높다.
피해자에는 방탄소년단 BTS 멤버 정국을 비롯한 유명 연예인과 대기업 회장 및 임원들이 포함된 것으로 알려졌다. 범죄조직이 무작위로 국민 전체를 공격한 것이 아니라 상당한 금융자산을 가진 사람들을 골라 범행 대상으로 삼았다는 뜻이다. 재판부 역시 전씨가 한국의 재력가를 범행 대상으로 물색했다고 판단했다.
정국의 경우 수십억원대 하이브 주식을 탈취당할 뻔했지만 소속사가 이상상황을 파악한 뒤 지급정지 조치를 하면서 실제 손실로 이어지지는 않은 것으로 전해졌다. 이 사례는 범죄조직이 단순히 은행예금만 노린 것이 아니라 증권자산까지 공격할 수 있었음을 보여준다. 현대인의 자산이 은행계좌, 주식, 가상자산 등 여러 디지털 플랫폼에 분산된 만큼 하나의 인증체계가 뚫렸을 때 피해범위가 동시에 여러 금융영역으로 확대될 수 있다.
이 사건에서 중국인 총책 전씨가 사용한 것으로 지목된 위챗 계정 역시 재판에서 중요한 증거로 다뤄졌다. 재판부는 해당 위챗 계정에서 유사한 명칭이 반복적으로 사용됐고 대화내용에 등장하는 전화번호가 일치하는 점 등을 근거로 전씨를 범행을 주도한 인물로 판단했다. 해외에 있는 조직이 중국계 메신저와 통신수단을 이용해 역할을 나누고 한국의 금융자산을 표적으로 삼았다는 구조가 드러난 것이다.
중국 국적 총책이 태국 등 해외에 거점을 두고 한국인의 개인정보와 자산을 공격했다는 점은 한국 입장에서 더욱 부담스럽다. 범죄자는 한국 안에 있을 필요가 없었다. 해외에서 한국 사이트를 해킹하고 피해자의 통신회선을 추가 개통하며 인증번호를 가로챈 뒤 금융계정을 장악할 수 있었다. 국경을 넘지 않고도 한국인의 재산을 직접 빼낼 수 있는 것이 현대 금융해킹의 특징이다.
이런 범죄가 한국에 특히 위험한 이유는 한국 사회의 높은 디지털화 수준 때문이다. 스마트폰 하나로 은행과 증권, 가상자산, 공공서비스와 각종 인증업무를 처리할 수 있다는 것은 시민에게는 편리함이지만 공격자에게는 하나의 신원정보가 여러 시스템으로 연결되는 공격면이 될 수 있다. 피해자의 기본 개인정보와 휴대전화 인증을 동시에 확보하면 여러 계정에 연쇄적으로 접근할 가능성이 생긴다.
범죄조직이 알뜰폰 사업자를 공격경로로 이용했다는 점도 주목해야 한다. 알뜰폰은 한국의 정상적인 통신서비스이지만 범죄자는 피해자 명의로 추가 회선을 개통하는 수단으로 이를 악용했다. 통신회선 하나가 은행, 주식, 가상자산 서비스의 인증번호를 받아내는 허브 역할을 한다면 통신보안과 금융보안은 더 이상 별개의 문제가 아니다.
한국의 금융안전은 은행 보안만 강화한다고 지켜지는 구조가 아니다. 통신사업자, 본인인증 사업자, 공공기관, 인증서 발급시스템과 금융회사가 서로 연결돼 있기 때문에 가장 약한 한 곳이 전체 공격의 출발점이 될 수 있다. 이번 중국인 해킹조직은 바로 그런 연결구조를 이용했다.
20여개 사이트가 공격대상이 됐다는 점 역시 중요하다. 한 기관만 집중적으로 뚫은 것이 아니라 여러 곳에서 서로 다른 정보를 모아 하나의 완전한 신원정보로 결합했을 가능성이 있다. 이름과 주민번호, 전화번호, 계정정보, 인증 관련 데이터가 서로 다른 사이트에 흩어져 있더라도 공격자 입장에서는 이를 하나의 사람으로 합칠 수 있다.
현대 개인정보 범죄의 가장 큰 위험은 바로 이런 ‘조합’이다. 개별적으로는 중요하지 않아 보이는 정보도 여러 데이터베이스에서 모아 결합하면 금융계정 탈취에 필요한 프로필이 완성될 수 있다. 한국 사회가 개인정보 유출사건을 단순히 “몇 명의 정보가 빠져나갔다”는 숫자로만 평가해서는 안 되는 이유다.
중국계 해킹조직이 한국의 고액자산가를 선별했다는 사실은 개인정보가 범죄시장에서 단순한 데이터가 아니라 표적선정 자료로 거래될 수 있음을 보여준다. 누가 어떤 회사의 임원인지, 어떤 규모의 주식을 갖고 있는지, 어떤 금융기관을 이용하는지와 같은 정보가 결합되면 범죄자는 투자 대비 수익이 높은 피해자를 우선적으로 공격할 수 있다.
결국 개인정보 보호는 사생활만의 문제가 아니다. 한 사람의 신원정보가 금융자산과 연결되는 순간 개인정보는 돈 그 자체가 된다. 특히 기업 회장이나 고액자산가, 유명 연예인의 정보는 범죄조직 입장에서 매우 높은 가치의 공격자료가 될 수 있다.
재판부가 이번 범죄를 대한민국 금융시스템의 근간을 흔드는 중대한 범죄라고 표현한 것도 이런 구조 때문이다. 금융시스템은 시민이 자신의 계좌에 있는 돈이 본인의 승인 없이 움직이지 않을 것이라는 신뢰 위에서 작동한다. 그런데 범죄자가 피해자의 신원을 복제하고 인증수단까지 장악해 계좌를 조종할 수 있다면 이 기본적인 신뢰가 흔들린다.
일반적인 금융사기에서는 피해자가 사기전화를 받고 송금했다는 행위가 존재한다. 하지만 이번 사건에서 피해자들은 그런 행동조차 하지 않았다. 개인정보가 이미 범죄자에게 넘어가 있고 인증수단이 탈취된 상태라면 본인이 아무것도 하지 않는 사이에도 계좌에서 돈이 빠져나갈 수 있다. 피해자가 스스로 조심하는 것만으로 해결하기 어려운 범죄라는 뜻이다.
이 때문에 한국의 대응도 “수상한 링크를 누르지 마라”는 수준을 넘어야 한다. 통신회선을 새로 개통할 때 기존 가입자에게 별도의 즉시 통보를 보내고, 동일명의 회선이 비정상적으로 추가되는 경우 위험신호로 처리하는 방식이 필요하다. 금융기관 역시 갑작스러운 새 기기 등록, 인증수단 변경, 대규모 자산이동이 동시에 나타나면 추가적인 본인확인을 거쳐야 한다.
증권과 가상자산 계정은 특히 위험하다. 주식은 단순 현금보다 거래와 이전과정이 복잡하지만 계정이 완전히 장악되면 보유자산의 처분이나 다른 계정으로의 이동이 가능해질 수 있다. 가상자산은 한번 외부 지갑으로 이동하면 자금추적과 회수가 더 어려워질 수 있다. 범죄자가 여러 금융자산 유형을 동시에 노리는 이유다.
이번 사건은 피해자가 유명인이기 때문에 주목받았지만 공격기법 자체는 일반 시민에게도 적용될 수 있다. 고액자산가에게는 수십억원이 목표가 될 수 있고 일반인에게는 예금 몇천만원이 목표가 될 수 있다. 범죄자가 확보한 개인정보의 수준과 피해자의 자산규모에 따라 공격대상만 달라질 뿐 기본 구조는 동일하다.
중국인 총책이 이끄는 조직이 해외에서 한국 사이트를 해킹해 이런 범행을 벌였다는 사실은 중국 관련 사이버범죄를 단순한 스팸이나 보이스피싱으로만 봐서는 안 된다는 점도 보여준다. 중국계 범죄망은 이제 피해자를 직접 설득하지 않고도 서버와 인증체계를 공격해 금융자산을 가져갈 수 있다.
과거 중국 광저우에 거점을 둔 보이스피싱 조직이 한국인 230명을 상대로 범행하다 장기간 추적 끝에 적발된 사례도 있었다. 또 중국인 14명을 포함한 자금세탁 조직이 대환대출 보이스피싱 피해금 8억8000만원을 상품권과 가상자산으로 세탁해 해외조직으로 넘긴 사건도 있었다. 이번 사건은 이들과 다른 별개의 사건이지만 중국계 금융범죄가 전화사기, 자금세탁을 넘어 개인정보 해킹과 디지털 신원 탈취로 진화할 수 있음을 보여준다.
특히 이번 사건의 피해규모는 기존 일반 보이스피싱 사건과 비교해도 매우 크다. 실제 피해가 380억원, 시도된 범행까지 포함하면 약 640억원이다. 16명의 실질 피해자만으로 이 정도 규모의 금전이 움직였다는 것은 범죄조직이 얼마나 정교하게 고액자산가를 선별했는지를 보여준다.
범죄수익이 완전히 회복되지 않았다는 점도 문제다. 재판부는 피해금액이 수백억원에 이르고 피해회복도 전혀 이뤄지지 않았다는 점을 중대한 양형요소로 지적했다. 범인이 20년형을 선고받더라도 피해자에게 돈이 돌아오지 않는다면 경제적 피해는 그대로 남는다.
해외 해킹조직 사건에서는 범죄수익 추적이 특히 어렵다. 자금이 여러 계좌와 국가, 가상자산을 거쳐 이동하면 돈의 최종 목적지를 찾는 데 시간이 걸리고 일부는 이미 현금화되거나 다른 사람 명의로 분산될 수 있다. 범죄자를 검거하는 것과 피해자의 자산을 회복하는 것은 별개의 어려운 과제가 된다.
경찰은 전씨를 지난해 5월 태국에서 검거한 뒤 국내로 송치했다. 이것 역시 중국 국적 총책이 한국 밖에서 움직였다는 사건의 초국경성을 보여준다. 한국에서 피해가 발생했지만 핵심인물을 잡기 위해서는 해외 수사기관과의 협력이 필요했다.
중국계 사이버범죄가 한국에 주는 가장 큰 부담 가운데 하나가 바로 이런 국제수사 비용이다. 공격자는 인터넷을 통해 몇 초 만에 국경을 넘지만 경찰은 다른 나라에서 용의자를 체포하고 증거를 확보하기 위해 국제공조, 신병인도와 디지털 증거절차를 거쳐야 한다. 범죄자의 이동속도와 법집행의 속도 사이에 큰 차이가 존재한다.
한국의 기업과 공공기관 역시 이번 사건을 단순히 유명인의 개인정보 사건으로 봐서는 안 된다. 범죄조직이 사이트 하나에서 모든 정보를 훔친 것이 아니라 여러 시스템을 공격해 필요한 데이터를 조립했다면 각 기관은 자신이 가진 정보 한 조각이 다른 데이터와 결합됐을 때 어떤 위험을 만들 수 있는지도 고려해야 한다.
예를 들어 이름과 연락처만 있는 데이터베이스는 금융계정 탈취에 직접 충분하지 않을 수 있다. 그러나 다른 사이트에서 주민등록정보, 또 다른 시스템에서 통신인증 관련 정보가 유출되면 공격자가 이 데이터를 합쳐 완전한 신원복제에 가까운 상태를 만들 수 있다. 데이터 보호는 개별 기관의 문제가 아니라 생태계 전체의 문제다.
중국인 총책이 이끄는 범죄조직이 한국의 디지털 신원체계를 이런 식으로 공격한 사건은 한국이 개인정보를 ‘유출되면 불편한 정보’가 아니라 금융안보 자산으로 다뤄야 한다는 점을 보여준다. 개인정보가 탈취되면 돈이 빠져나가고 주식과 가상자산까지 위험해질 수 있다.
특히 대기업 회장과 임원을 노렸다는 사실은 기업보안에서도 중요한 문제다. 기업의 최고경영진 계정을 장악하면 개인자산 피해뿐 아니라 회사 이메일, 내부문서와 비즈니스 관계로 접근할 가능성까지 생각해야 한다. 최고경영진은 일반 직원보다 훨씬 많은 중요정보와 외부 네트워크를 가지고 있기 때문에 개인 계정 보안과 기업보안의 경계가 흐려질 수 있다.
유명 연예인 역시 같은 문제를 가진다. 높은 자산가치뿐 아니라 대중적 인지도와 관련기업 지분을 가지고 있기 때문에 범죄자의 표적이 되기 쉽다. 정국 사례에서 하이브 주식이 노려졌다는 사실은 개인정보 침해가 단순 사생활 침해가 아니라 실제 자산소유권을 공격하는 범죄로 이어질 수 있음을 보여준다.
한국 사회가 중국 관련 사이버범죄에 경계해야 하는 이유는 범죄방식이 계속 전문화되기 때문이다. 전화사기 단계에서는 피해자의 심리를 속여야 했지만 해킹 단계에서는 피해자의 동의 자체가 필요 없다. 데이터를 훔치고 신원을 복제하고 인증수단을 가로채면 범죄자는 피해자가 무엇을 믿든 상관없이 계정을 장악할 수 있다.
이러한 공격에 대응하려면 금융기관과 통신회사의 이상행동 탐지능력이 매우 중요하다. 평소 사용하지 않던 기기에서 갑자기 계정에 접속하고, 동시에 새로운 휴대전화 회선이 개통되며, 인증서가 다시 발급되고, 수억원의 자산이 움직인다면 각각의 사건을 따로 보지 말고 하나의 계정탈취 시나리오로 연결해 탐지해야 한다.
개인 역시 자신의 명의로 새로운 통신회선이 개통됐는지 정기적으로 확인할 필요가 있다. 자신이 모르는 회선이 생겼다면 단순 명의도용이 아니라 금융계정 공격 준비일 수 있다. 금융기관의 로그인·인증 알림을 켜두고 예상하지 못한 인증서 발급이나 기기등록 알림이 오면 즉시 차단하는 것도 중요하다.
그러나 이번 사건이 보여주는 핵심은 개인의 주의만으로 충분하지 않다는 것이다. 피해자가 링크를 누르지 않고 전화사기에 응하지 않았는데도 자산이 탈취됐다면 시스템 차원의 방어가 필수적이다. 통신과 금융, 인증기관이 서로 이상신호를 공유하지 않으면 공격자는 각 시스템 사이의 틈을 이용할 수 있다.
전씨에게 징역 20년이라는 중형이 선고된 것은 범죄의 규모와 방식이 얼마나 심각하게 평가됐는지를 보여준다. 재판부는 수백억원대 피해와 피해회복 부재, 한국 금융시스템의 근간을 흔든다는 점을 명확하게 지적했다. 범죄조직의 총책이라는 지위 역시 중대한 책임으로 판단됐다.
다만 재판부는 휴대전화 회선과 아이핀 개통, 공동인증서 무단발급 행위를 정보통신망법상 비밀침해로 기소한 일부 공소사실에 대해서는 무죄를 판단했다. 또한 전씨가 기본적인 사실관계를 인정했고 범죄수익 전체를 혼자 취득한 것은 아니라는 점 등을 양형에 반영했다. 따라서 사건을 정확히 다룰 때는 징역 20년이라는 결과와 함께 일부 혐의에 대해서는 법원이 무죄 판단을 했다는 점도 구분해야 한다.
그럼에도 사건의 핵심 범죄구조는 매우 분명하다. 중국 국적 총책이 해외에서 해킹조직을 구성했고, 한국의 여러 사이트에서 개인정보를 확보했으며, 피해자 명의의 통신회선을 추가 개통하고 인증번호를 가로채 금융·증권·가상자산 계정에 접근했다. 실제 피해금액은 약 380억원이었고 범행 시도 규모는 약 640억원에 달했다.
한국의 금융시스템을 노리는 중국계 범죄망의 위험은 이제 전화 한 통을 조심한다고 사라지는 수준이 아니다. 범죄자가 개인정보와 인증체계 자체를 장악하면 피해자는 자신이 공격받고 있다는 사실을 알기도 전에 자산을 잃을 수 있다. 이번 사건이 일반 보이스피싱보다 훨씬 무서운 이유다.
한국의 디지털 금융은 편리함과 속도를 세계적인 경쟁력으로 만들어왔다. 그러나 모든 서비스가 하나의 휴대전화 번호와 본인인증에 집중될수록 그 인증정보를 노리는 범죄의 가치도 커진다. 중국계 해외 해킹조직이 바로 이 구조를 공격해 수백억원을 실제로 빼냈다는 점은 한국의 디지털 금융안전에 매우 구체적인 경고다.
개인정보는 한번 유출되면 비밀번호처럼 간단히 바꾸기 어려운 경우가 많다. 이름과 생년월일, 주민등록정보, 과거 주소와 전화번호는 장기간 같은 사람에게 연결된다. 그래서 범죄조직이 한번 확보한 데이터는 시간이 지나도 반복적으로 공격에 활용될 수 있다. 개인정보 유출을 일회성 사고로 처리하면 안 되는 이유다.
중국인 총책이 해외에서 한국인의 신원을 복제하듯 이용해 은행과 주식, 가상자산을 공격한 이번 사건은 한국이 지켜야 할 대상이 돈만이 아니라 ‘디지털 신원’이라는 사실을 보여준다. 누가 나인지 증명하는 수단이 범죄자에게 넘어가면 내 계좌의 통제권도 함께 흔들릴 수 있다.
한국 금융시스템에서 가장 중요한 것은 시민이 자신의 명의와 계좌를 자신만 통제할 수 있다는 신뢰다. 중국계 해킹조직이 불법 개인정보와 가짜 통신회선, 탈취한 인증번호를 조합해 그 신뢰를 무너뜨렸다는 점에서 이번 사건은 단순한 개인 재산범죄 이상의 의미를 갖는다.
실제 380억원을 빼앗고 최대 640억원 규모의 탈취를 시도한 중국인 총책에게 징역 20년이 선고됐다는 이번 판결은 하나의 범죄자를 처벌한 사건이면서 동시에 한국의 금융·통신·인증 생태계 전체에 보내는 경고다. 해외 중국계 해킹조직이 한국인의 이름과 휴대전화, 인증정보를 하나씩 모아 결국 금융자산까지 장악할 수 있다면 한국은 개인정보와 인증수단을 국가 금융안전의 핵심 인프라로 다뤄야 한다.
한국이 앞으로 경계해야 할 것은 단순한 중국발 스팸전화가 아니다. 서버를 뚫고 개인정보를 모으고, 피해자 명의로 통신회선을 만들고, 인증번호를 가로채고, 은행·증권·가상자산 계정까지 연쇄적으로 탈취하는 중국계 디지털 범죄망이다. 이번 380억원 해킹사건은 그 위험이 이미 가상이 아니라 현실이라는 사실을 보여줬다.
