인스타그램 계정 탈취, 이번엔 메타 지원 AI가 문을 열어준 꼴

• 이번 인스타그램 계정 탈취 흐름은 진짜 어이없는 쪽으로 무서움

  • 공격자가 필요한 건 피해자의 사용자명 정도였다고 글쓴이는 설명함
  • 그다음 피해자 도시 근처 VPN이나 프록시를 써서 인스타그램 보안 알고리즘이 이상하게 보지 않게 만듦
  • 위치 정보는 공개 프로필, About 섹션, 기타 공개 정보에서 꽤 쉽게 추정할 수 있다고 함

• 핵심 문제는 메타 지원 AI가 계정 복구 흐름에서 공격자 이메일을 받아줬다는 점임

  • 공격자는 “계정이 해킹됐다”고 말하고, 인증 코드를 자신이 제어하는 임의 이메일로 보내달라고 요청함
  • 글쓴이에 따르면 그 이메일이 기존 계정에 연결된 적 있는지 제대로 확인하지 않은 것으로 보임
  • 공격자는 자기 이메일로 받은 보안 코드를 다시 제출하고, 비밀번호 재설정 링크를 받아 계정 소유권을 가져감

• 더 황당한 건 “그게 끝”이라는 점임

  • 글쓴이는 이를 “프로덕션에서 본 첫 제대로 된 zero-auth password reset”에 가깝게 표현함
  • 추가 검증이 약했고, 경우에 따라 영상 셀피를 요구하더라도 공개 사진을 AI로 움직인 수준으로 통과했다는 보고가 있었다고 함
  • 진짜면 보안 설계 입장에서는 웃기기보다 등골이 서늘한 케이스임

• 2FA도 도움이 안 됐다고 함

  • 시스템이 이 복구 절차를 ‘진짜 소유자에 의한 전체 계정 재설정’으로 처리했기 때문임
  • 기존 세션은 취소되고, 비밀번호는 바뀌고, 원래 소유자에게 이메일·문자·푸시 알림도 가지 않았다고 설명함
  • 이메일과 전화번호가 공격자 쪽으로 매핑되면 원래 소유자는 복구조차 시작하기 어려워짐

• AI 지원 옵션이 켜진 계정은 사용자가 끌 수도 없었다는 점도 문제임

  • 글쓴이는 A/B 테스트 대상 계정에서는 AI support 옵션이 활성화돼 있었고, 이를 비활성화할 수 없었다고 말함
  • 즉 사용자는 자기 계정의 고위험 복구 경로가 AI에 의해 처리되는지 통제하기 어려웠다는 얘기임

• 이 취약 흐름은 바로 돈으로 연결됐음

  • 텔레그램 블랙마켓 그룹에서 account takeover 서비스를 비싼 가격과 빠른 처리 시간으로 팔았다고 함
  • 짧은 핸들은 수십만 달러에서 수백만 달러 가치가 있을 수 있어서 공격 동기가 충분함
  • 실제로 hey 같은 계정이 넘어갔고, obamawhitehouse, 미국 우주군 Chief Master Sergeant 계정인 ocmssf 같은 고프로필 계정도 언급됨

• 현재는 메타가 패치한 것으로 보인다고 함
  • 글쓴이는 관련 텔레그램 그룹들이 조용해졌다고 적음
  • 다만 이 방식이 몇 주, 길면 몇 달 동안 가능했을 수 있다고 추정함
  • 1.5조 달러 규모 회사의 지원 AI가 “좋게 말하면” 계정 이메일을 바꿔줬다는 점이 이 사건의 핵심 농담이자 공포임

---

기술 맥락

• 여기서 문제가 된 건 비밀번호 입력창이 아니라 계정 복구 플로우예요. 왜냐하면 복구 절차는 사용자가 로그인 수단을 잃었을 때를 위해, 기존 인증보다 더 강한 권한으로 계정을 재설정할 수 있거든요.

• 2FA가 무력화된 이유도 이 구조 때문이에요. 2FA는 정상 로그인 과정에서는 강력하지만, 시스템이 공격자를 계정의 진짜 소유자로 인정하고 이메일과 비밀번호를 새로 설정해 버리면 기존 2FA는 보호막 역할을 못 해요.

• AI support agent를 넣을 때 가장 위험한 지점이 바로 이런 고권한 작업이에요. 단순 FAQ 답변이면 틀려도 피해가 제한적이지만, 인증 코드 발송이나 이메일 변경은 한 번 잘못 처리하면 계정 소유권이 넘어가요.

• 그래서 계정 복구에는 “친절한 응답”보다 “검증 가능한 불변 조건”이 필요해요. 예를 들어 새 이메일을 임의로 받는 게 아니라, 과거에 확인된 채널과 독립적인 신원 검증을 요구해야 하는 식이에요.

• 이번 사례가 개발자에게 주는 교훈은 AI를 고객지원에 붙일 때 권한 경계를 아주 작게 잡아야 한다는 거예요. 자연어로 요청을 이해하는 능력이 좋아질수록, 반대로 어떤 요청은 절대 수행하지 못하게 만드는 정책 집행이 더 중요해져요.