메타 AI 챗봇 악용한 인스타그램 계정 탈취 사건

주장해커들이 메타의 인공지능(AI) 기반 고객 지원 챗봇을 악용해 인스타그램 계정을 탈취했습니다. 이번 사례는 AI 자동화 시스템이 보안 프로세스에서 예상치 못한 취약점으로 작용할 수 있음을 보여줍니다.

팩트이번 공격으로 오바마 행정부 시절의 백악관 인스타그램 계정과 미국 우주군 소속 존 벤틴베냐 상사의 계정이 해킹되었습니다. 보안 연구원 제인 웡 또한 자신의 계정이 탈취당했다고 밝혔습니다.

팩트해커들은 가상사설망(VPN)을 사용해 피해자의 위치 정보를 위장했습니다. 이들은 인스타그램의 자동 보안 탐지 시스템을 우회한 뒤 메타 AI 지원 챗봇에 접근했습니다.

팩트공격자들은 챗봇에게 피해자 계정에 새로운 이메일 주소를 추가해달라고 요청했습니다. 챗봇은 해커가 제공한 이메일 주소로 인증 코드를 발송했습니다.

팩트해커가 해당 인증 코드를 챗봇에 다시 입력하자 챗봇은 비밀번호 재설정 버튼을 활성화했습니다. 이 과정을 통해 해커는 계정 탈취를 완료했습니다.

교차검증이번 공격의 핵심은 해커가 피해자의 기존 이메일 계정에 접근할 필요가 없었다는 점입니다. AI 챗봇이 본인 확인 절차를 충분히 검증하지 않고 해커의 요청을 그대로 수행한 것이 문제였습니다.

팩트인스타그램 대변인 앤디 스톤은 월요일에 해당 보안 문제가 수정되었다고 발표했습니다. 다만 이번 사고로 정확히 몇 명의 사용자가 피해를 입었는지는 아직 밝혀지지 않았습니다.

주장이번 사건은 기업이 고객 지원을 자동화하는 과정에서 AI의 권한 설정을 엄격하게 관리해야 함을 시사합니다. AI가 보안 인증 과정에 개입할 경우 치명적인 보안 구멍이 될 수 있습니다.

팩트테크크런치는 해커가 공개한 영상 속 이메일 주소로 실제 인증 코드가 전송되는 상황을 확인했습니다. 이는 해당 공격 방식이 기술적으로 실현 가능했음을 입증합니다.

교차검증메타는 이번 사건에 대한 테크크런치의 공식적인 논평 요청에 즉각 응답하지 않았습니다. 플랫폼의 보안 책임과 투명한 정보 공개에 대한 의문이 제기되는 상황입니다.

주장기업은 AI 도입 시 편의성뿐만 아니라 보안성 검증을 최우선으로 고려해야 합니다. 자동화된 시스템이 인간의 판단을 완전히 대체할 수 없는 영역에 대한 경계가 필요합니다.

출처테크크런치의 보도 내용을 교차 검증했습니다. (https://techcrunch.com/2026/06/01/hackers-hijacked-instagram-accounts-by-tricking-meta-ai-support-chatbot-into-granting-access/)