메타가 인스타그램 계정 2만 225개가 AI 지원 챗봇 결함을 통해 해킹당했다고 공식 확인했다. 메인주 법무장관실에 제출한 데이터 침해 신고서에서 밝힌 내용이다.
문제의 도구는 잠긴 계정을 복구해주는 'High Touch Support'다. 비밀번호 재설정을 요청할 때 입력한 이메일 주소가 해당 계정의 실제 이메일과 일치하는지 검증하는 코드 경로에 결함이 있었다. 공격자는 챗봇에 타인 계정의 비밀번호 재설정을 요청하고 자신의 이메일 주소를 입력하기만 하면 됐다. 시스템은 이를 걸러내지 못하고 공격자 이메일로 재설정 링크를 보냈다. 2단계 인증이 설정되지 않은 계정은 이 방법만으로 탈취가 가능했다.
공격은 2026년 4월 17일부터 시작됐고, 메타가 이를 인지한 것은 5월 31일이었다. 약 7주간 결함이 방치된 셈이다. 메타 커뮤니케이션 책임자 앤디 스톤은 6월 1일 사태를 수습했다고 밝혔다. 피해 계정에는 버락 오바마 전 대통령의 전 백악관 계정, 미 우주군 최선임부사관 존 F. 벤티베냐, 세포라 공식 계정 등이 포함됐다.
탈취된 계정에서 유출됐을 수 있는 정보는 이메일 주소, 전화번호, 생년월일, 게시물, 다이렉트 메시지, 프로필 정보, 계정 활동 내역, 연동 계정 등이다. 메타는 실제로 어떤 정보가 열람됐는지는 파악하지 못하고 있다고 밝혔다.
메타는 즉각 AI 지원 챗봇을 비활성화하고 결함이 있는 코드 경로를 제거했다. 결함을 통해 생성된 비밀번호 재설정 링크는 모두 무효 처리했다. 피해 가능성이 있는 계정에는 의무 보안 체크포인트를 적용해 인증 없이는 접근할 수 없도록 했다. 재활성화 전에는 이메일 검증 단계 수정과 전 플랫폼 대상 유사 계정 복구 시스템 감사를 진행할 계획이다.
국내 인스타그램 사용자라면 지금 바로 2단계 인증 설정 여부를 확인하는 것이 좋다. 이번 피해가 2단계 인증 미설정 계정에 집중됐기 때문이다. 계정 설정 → 보안 → 2단계 인증 경로에서 활성화할 수 있다. 최근 등록하지 않은 이메일로 비밀번호 재설정 메일을 받았다면 계정 접근 기록을 즉시 확인해야 한다.
