메타의 AI 지원 봇은 누구든 Instagram 비밀번호를 재설정할 수 있었다. 그것은 44일 동안 운영되었다.

2026년 6월 1일, 404 Media와 KrebsOnSecurity는 텔레그램 그룹에서 유포 중이던 녹화물을 공개했다. 녹화물에는 Meta의 AI 계정 복구 도우미가 요청만 하면 누구든지 Instagram 계정에 새 이메일 주소를 연결한 뒤, 그 주소로 비밀번호 재설정을 보내는 모습이 담겨 있었다. 공격자에게는 사용자 이름 하나와 설득력 있는 문장 하나만 있으면 됐다. 일주일 이내에 메인주 법무장관에게 보낸 유출 통지에서 Meta는 노출 규모를 2026년 4월 17일부터 5월 31일까지의 기간에 걸쳐 20,225개 계정으로 밝혔다. Sephora의 브랜드 계정, 미국 우주군의 주임원사, 연구자 Jane Manchun Wong이 탈취되었다고 보고된 사례에 포함됐으며, 그중 일부는 이의를 제기할 인간 지원 상담원이 없어 며칠 동안 계정이 잠겼다. 출처와 심각도 등급을 포함한 전체 기록은Orca AI Incident Archive에 수록되어 있으며, 이 아카이브는 실제 발생한 AI 사건을 날짜, 시스템, 실패 유형별로 분류한다.

아카이브는 이 사건을 '치명적' 등급으로 평가하며, AI 관여와 실제 피해가 확인된 것으로 보고, 간접 프롬프트 인젝션 및 자격 증명 남용으로 분류한다. 이어지는 내용은 Meta가 공식적으로 밝힌 것과 피해자, 연구자, 최초 72시간 보도가 주장한 것을 구분한다 — 한 가지 핵심 쟁점에서 양측이 서로 일치하지 않기 때문이다.

실패 원인은 탈옥이 아니라 검사 누락이었습니다.

{{1}}Meta는 2026년 3월 Facebook과 Instagram 전반에 이 어시스턴트를 출시했으며, 404 Media에 따르면 "제안이 아닌 해결책"을 제공하는 계정 보안 및 복구 기능으로 마케팅했습니다. 내부적으로는 High Touch Support, 즉 HTS라고 불렸는데, 이는 정적 복구 양식으로는 해결하지 못하는 잠긴 사용자를 돕기 위해 만들어진 대화형 에이전트로, 새 이메일 주소를 계정에 연결하고 해당 주소로 비밀번호 재설정을 트리거할 권한을 부여받았습니다.{{/1}}

메타가 결국 설명한 결함은 범위가 좁았으며, 모델이 도움이 되기로 결정한 것은 아니었다. 메인주 법무장관실에 제출된 데이터 침해 서한에서 메타의 사고 대응 법무 부문 부총괄 변호사인 앰버 해나(Amber Hannah)는 이렇게 썼다. "도구 자체는 제대로 작동했고 의도된 대로 기능했다. 그러나 별도의 코드 경로에 있는 버그 때문에 시스템은 비밀번호 재설정을 요청한 개인이 제공한 이메일 주소가 해당 사용자의 Instagram 계정과 연결된 이메일 주소와 일치하는지 제대로 확인하지 못했다." 그녀는 주소가 일치하지 않을 때 시스템이 "요청을 거부하는 대신 연결되지 않은 해당 이메일로 비밀번호 재설정 링크를 잘못 전송했다"고 덧붙였다.

실제로 KrebsOnSecurity가 텔레그램 녹음 기록을 토대로 재구성한 이 순서는 네 단계였다:

• 공격자는 Instagram의 위치 확인을 피하기 위해 대상의 지역 또는 인근 지역 주소를 사용하는 VPN을 통해 연결했습니다.

• 사용자 이름에 대해 복구 흐름을 열고 AI 지원 어시스턴트를 선택했습니다.

• 그들은 봇에게 자신들이 통제하는 이메일 주소를 연결하라고 지시했고 — 한 녹음은 "내 새 이메일 주소를 연결해 줘"로 시작했습니다 — 봇은 일회용 코드를 그 주소로 보냈습니다.

• 코드를 입력하고 재설정 링크를 받아 비밀번호를 변경하면 정당한 소유자는 접속할 수 없게 됩니다.

악성코드도 없고, 탈취된 비밀번호도 없으며, 피싱 페이지도 없습니다. 브라이언 크렙스는 그 기법이 5월 31일부터 텔레그램 채널을 통해 확산되었다고 지적했으며, 해당 영상을 게시한 친이란 계정들이 그 주말에 압수된 프로필 일부를 훼손했다고도 밝혔습니다.

44일, 그리고 움직인 숫자

이 기간은 기록 중 공개되기까지 가장 오래 걸린 부분이다. 메인주 법무장관에게 보낸 통지에서 Meta는 2026년 5월 31일 취약점을 발견했으며 그날 HTS를 비활성화했다고 밝혔다. 제출 서류는 침해 자체를 4월 17일로 기록하는데, BleepingComputer는 이것이 해당 결함을 악용한 최초의 공격일 가능성이 크다고 보도했다. 이는 Instagram의 계정 신원 필드에 대한 인증되지 않은 쓰기 경로가 44일 동안 존재했다는 뜻이며, Cloud Security Alliance의 연구 부문도 이 기간을 44일로 산정한다.

집계 수치는 두 차례 바뀌었다. Meta의 제출 서류에 따르면 20,225개 계정이 잠재적으로 침해되었으며 여기에는 메인주 내 30개 계정이 포함되는데, 회사는 일부 접근 시도가 정당한 계정 소유자로부터 비롯되었을 수 있기 때문에 이를 상한으로 설명한다. 6월 9일 New York Times의 조사 보도를 다룬 Android Authority는 약 34,000명의 Instagram 사용자가 영향을 받았고 약 20,000개 계정이 침해되었으며, 수천 개가 추가로 사용자 이름이 변경되거나 일시적으로 접근 권한을 상실했다고 밝혔다. 차이는 모순이 아니라 정의의 문제다. 34,000은 영향을 받은 계정의 풀이고, 20,225는 Meta가 공식적으로 확인할 의사가 있는 탈취 건수다. Meta의 서한은 또한 회사가 잠재적으로 접근 가능했던 데이터 중 실제로 어떤 데이터가 열람되었는지 알지 못한다고 밝힌다. 해당 목록에는 연락처 정보, 생년월일, 게시물, 다이렉트 메시지, 활동 이력, 프로필 정보, 연결된 타사 서비스가 포함된다.

수정 주장과 수정 시점도 공개적으로 엇갈렸다. 6월 1일, Meta의 커뮤니케이션 부사장 앤디 스톤은 X에서 "실제로 발생한 문제는 이미 수정되었다"고 말했다. 6월 2일, TechCrunch는 사용자들이 여전히 계정 탈취를 주장하고 있으며 Telegram 채널 회원들이 여전히 탈취된 핸들을 판매한다고 광고하고 있다고 보도했다. 다만 보고된 모든 탈취가 동일한 수법과 연결될 수 있는 것은 아니라고 주의를 덧붙였다.

2단계 인증이 실제로 한 일과 초기 보도가 그것이 했다고 전한 내용

바로 이 지점에서 기록과 보고가 갈라지며, 이 점은 정확히 짚고 넘어갈 가치가 있다.

메타의 자체 설명은 분명하다. Hannah의 서한에 따르면 비밀번호 재설정 후 "계정 소유자가 2단계 인증(2FA)을 활성화하지 않은 경우, 무단 제3자가 해당 계정에 로그인할 수 있었다." KrebsOnSecurity는 익스플로잇 녹취록을 통해 같은 내용을 보도했다. 이 기법은 MFA가 활성화된 계정에서는 실패했다. Cloud Security Alliance의 분석은 2FA를 "실효적인 제한 통제"라고 불렀으며, 복구 흐름이 2FA가 관장하는 인증 계층에 대한 접근 권한을 부여한 적이 없다고 지적했다. 취약점은 로그인 문 자체가 아니라 로그인 문 옆의 복구 문이었다.

그와 달리, 첫 며칠 동안 쏟아진 피해자 신고들은 정반대를 말했다. BleepingComputer는 6월 2일, 얼굴 스캔으로 신원이 확인되었고 2FA를 활성화했다고 주장하는 사용자들을 인용했으며, 한 사용자 André가 그 수법이 "2FA 보호를 우회한다"고 말한 것을 인용했다. gHacks는 6월 3일 같은 내용을 보도했다. 이 사건에 대한 아카이브의 한 줄 요약도 그 더 강한 주장을 담고 있으며, 해당 봇이 2단계 인증을 우회한다고 설명한다.

메타는 기술적 사후 분석을 공개하지 않았으므로, 이 불일치는 해결된 것이 아니라 미해결 상태다. 말할 수 있는 것은 메타 자체 법률 고문이 서명한 제출 문서라는 유일한 1차 자료가 2차 인증 요소가 없는 계정에 그친 탈취를 설명하고 있으며, 익스플로잇 녹음에 가장 가까운 매체들도 같은 내용을 보도했다는 점이다. "봇이 2FA를 무력화했다"는 것을 확립된 사실이 아니라 주장으로 취급하라.

보고된 두 번째 메커니즘도 같은 범주에 속한다. 사용자들은 BleepingComputer와 gHacks에 복구 절차가 셀피 영상을 받아들였으며, 공격자들이 대상의 공개 사진을 AI 영상 생성기로 움직이게 만들어 이를 통과시켰다고 말했다. Meta의 제출 서류에도, Krebs의 녹음 재구성에도 그 단계는 언급되지 않는다. 이는 병행 경로였을 수 있으나, 공개된 기록만으로는 이를 입증할 수 없다.

피해자들, 그리고 메타가 반박하는 설명

확인된 클러스터는 브랜드, 군, 연구자 계정이 기묘하게 뒤섞인 집단이다. 세포라 브랜드 계정, 미국 우주군의 존 벤티베냐 주임원사, 그리고 자신의 게시물로 해당 계정을 잃었다는 사실을 기록한 제인 맨춘 웡이 포함된다. BleepingComputer는 또한 한 단어 핸들인 @hey와 @korn을 거명했으며, @korn 소유자는 사람과 연결되기 위해 여섯 시간을 보냈고 Meta의 지원 AI로부터 네 개의 깨진 링크를 받았다고 보도했다. 같은 기사는 한 글자 핸들인 @e와 @f에 대한 주장은 독립적으로 검증할 수 없었으며, 일부는 이를 대신 내부자 소행으로 돌리기도 했다고 언급했다.

널리 회자되는 피해자 한 명에 대해서는 논란이 있다. 404 Media, KrebsOnSecurity, TechCrunch는 모두 휴면 상태였던 오바마 백악관 계정 핸들이 압수되어 잠시 변조된 것 중 하나라고 보도했다. BBC에 따르면 Meta는 지도자들의 계정이 침해됐다는 주장을 "전혀 사실이 아니다"라고 일축했고, TechCrunch는 회사의 이의 제기를 직접 기록했다. 피해자 목록의 나머지 모든 항목은 해당 보도에 근거해 성립하지만, 그 한 항목은 그렇지 않다.

귀속은 조직이 아니라 채널에서 멈춘다. 보도는 실제로 작동하는 익스플로잇 지침과 탈취된 핸들이 Telegram 그룹에서 거래되었다는 점, 탈취된 일부 계정이 친이란 메시징에 사용되었다는 점, 그리고 짧은 "OG" 사용자 이름이 수만 달러대의 그레이마켓 가치를 지닌다는 점을 입증한다 — Krebs는 해커들이 자신들이 보유한 이름의 재판매 가치가 50만 달러를 넘는다고 주장했다고 인용했다. 어떤 보도도 특정 그룹을 지목하지 않고, 누구에게도 혐의를 제기하지 않으며, 단일 작전이 이 캠페인을 운영했다고 입증하지도 않는다. 조직화된 재판매 작전에 대한 아카이브의 설명은 해당 보도와 일치하지만, 인용된 출처가 입증하는 내용은 아니다.

그 후 무엇이 달라졌나요?

제출 서류와 BleepingComputer에 대한 설명에 따르면, Meta의 대응은 HTS 도구를 비활성화하고 결함이 있는 코드 경로를 제거하며, 시스템이 생성한 모든 비밀번호 재설정 링크를 무효화하고, 영향을 받은 계정을 인증된 채널을 통한 재설정을 요구하는 필수 보안 검문소에 배치하는 것이었다. 재출시 전에 회사는 Instagram 복구 진입점의 인증 확인을 수정하여 재설정이 시작되기 전에 제공된 이메일이 계정 기록과 대조해 검증되도록 하고, 다른 플랫폼의 유사한 복구 흐름도 검토할 것이라고 밝혔다.

더 넓은 프로그램 중 실제로 일시 중단된 범위는 그렇게 들리는 것보다 좁다. New York Times가 인용한 내부 문서에 따르면 Meta는 해당 사건과 관련된 특정 Instagram 비밀번호 복구 실험만 일시 중단하고, 더 광범위한 AI 기반 지원 계획은 그대로 유지한 것으로 나타났다고 Android Authority가 보도했다. Cloud Security Alliance의 메모는 더 나아가 Meta가 5월 31일 챗봇의 자율 이메일 연결 및 비밀번호 재설정 기능을 비활성화했다고 밝히는데, 이 같은 설명은 Meta의 성명이 아니라 해당 연구 그룹의 설명이다.

프롬프트 인젝션으로 분류되는 이유와 그 라벨이 논쟁의 대상인 이유

아카이브는 해당 사건에 자격 증명 남용과 나란히 IPI — 간접 프롬프트 주입 — 라는 태그를 붙인다. 그리고 혼동된 대리인(confused deputy) 프레이밍은 대다수 분석가가 가장 먼저 꺼내든 설명 틀이었다. 하지만 사건에 가장 가까이 있는 사람들 중 여럿은 ‘주입’이라는 라벨에 저항한다.

프롬프트 인젝션이라는 용어를 만든 Simon Willison은 6월 1일 이렇게 썼다. "Meta는 정말로 자사의 지원 시스템을, 계정 복구 전체 과정을 단번에 통과할 수 있는 능력을 갖춘 AI 챗봇에 연결했다. 이것은 프롬프트 감염이라고 부르기에도 거의 해당하지 않는다. 지원 봇을 일회성 계정 탈취가 가능하도록 연결하지 마라!" Cloud Security Alliance는 더 공식적인 표현으로 같은 구분을 제시했다. 그 공격은 문서나 도구 출력에 숨겨진 적대적 콘텐츠를 필요로 하지 않았고 공격자는 그저 요청했을 뿐이므로, 결과는 동일하더라도 고전적 프롬프트 인젝션과는 다른 위협 모델이다. 이는 OWASP의 LLM06:2025, Excessive Agency에 해당한다. 과도한 기능, 과도한 권한, 과도한 자율성이 모두 동시에 존재한 것이다.

VentureBeat의 해석은 더 직설적이었고, 운영상 중요한 것은 바로 이것이다. 탐지 스택 내부에서는 그 공격이 아무 신호도 만들어내지 못했다. 에이전트가 권한 있는 행위자였고, 그것이 수행한 모든 쓰기 작업이 정당한 트랜잭션으로 기록되었기 때문이다. "찾아낼 발판이 없다. 에이전트가 바로 그 발판이었고, 애초에 거기 있어야 했기 때문이다."

이 기록이 입증하지 않는 것

HTS 결함에 대한 CVE는 없으며, 해당 코드 경로가 실제로 무엇을 했는지 설명한 Meta의 공개 기술 문서도 없다. 20,225라는 수치는 감사된 집계가 아니라 Meta가 제시한 상한이며, 회사는 어떤 데이터가 조회되었는지 밝힐 수 없다고 말한다. 실제로 훼손되거나 재판매되거나 일정 기간 보유된 계정 수는 알려지지 않았다. 아무도 기소되지 않았으며, 여기 요약된 공개 기록 기준으로 이 사건에 특정한 조사 결과를 발표한 규제 당국도 없었다.

확립된 사실은 헤드라인보다 작지만 더 유용합니다. 한 지원 상담원에게 계정 소유권을 결정하는 단 하나의 필드에 대한 쓰기 권한이 주어졌고, 요청자가 그 계정의 소유자인지 확인하는 검사는 다른 코드 경로에 있어 실행되지 않았으며, 상담원은 한 문장으로 그 검사를 넘어설 수 있었습니다. 메타 자체의 제출 서류에는 그 도구가 "제대로 작동했고 의도된 대로 기능했다"고 적혀 있습니다. 그것이 바로 그 발견입니다. 버그는 그 도구를 둘러싼 아키텍처에 있었습니다.