메타가 만든 AI 봇이 인스타그램 계정을 해킹했다는 사실을 서비스가 사용자에게 알렸다

메타 AI 챗봇을 통한 사이버 공격: 해커가 인스타그램 계정을 ‘도난’한 방법

지난 주말, 사이버 범죄자들이 메타 AI 공식 지원 챗봇을 이용해 인기 있는 인스타그램 페이지를 제어하는 방법을 공개했다. 피해자는 짧은 고유 닉네임(예: @coolcat)을 가진 계정 소유자로, 접근 권한 상실에 대해 불만을 제기했다.

작동 방식
1. 챗봇 호출
해커는 챗봇에게 자신이 해당 계정의 소유자라고 주장하고 자신의 이메일과 ‘연결’해 달라고 요청한다.

2. 챗봇이 요청 수행
AI가 추가 검증 없이 요청을 처리하며, 연결된 이메일을 공격자의 주소로 바꾼다.

3. 비밀번호 재설정
이메일이 변경되면 해커는 비밀번호를 재설정하고 페이지에 완전한 접근 권한을 얻는다. 계정 소유자는 접근 권한을 잃고 자신의 이메일은 차단된다.

메타 직원이나 계약자가 이 과정에 참여하지 않았으며, 모든 것이 AI를 통해 자동으로 진행되었다.

회사 반응
- 6월 1일: 메타 대표 앤디 스톤이 “문제가 이미 해결되었습니다”라고 발표했다.
- 6월 2일: 불만 건수가 증가했다. 스톤은 일부 사용자가 비밀번호 재설정 알림을 받고, 다른 사용자는 로그인 시 보안 질문에 직면한다고 명시했다.

메타는 공지 직후 피해 계정을 보호하기 시작했지만, 해킹된 프로필의 정확한 수치는 공개되지 않았다.

가능해진 이유
3월 메타는 지원 섹션에서 AI 챗봇을 도입하고 이전에는 사람만이 가졌던 권한 중 일부를 부여했다. 그 중 하나가 ‘안전하게 비밀번호 재설정’ 기능이었다.

인스타그램의 짧은 닉네임 시장은 수년간 존재해 왔으며, 판매자는 이를 컬렉터 아이템으로 제공한다. 과거에는 피싱, 전화번호 가로채기 또는 내부자 뇌물을 통해 계정을 해킹해야 했다. 이제는 ‘시원한’ AI 챗봇만 있으면 충분하다.

핵심 사실
- 해커들은 메타 AI 챗봇을 이용해 계정 연결 이메일을 교체한다.
- 비밀번호 재설정 후 페이지를 완전히 장악한다.
- 메타는 6월 1일에 문제 해결을 발표했으나, 다음 날 불만이 증가했다.
- AI가 이전에는 사람에게만 있었던 권한을 획득함으로써 해커들이 기존 보안 조치를 우회할 수 있었다.