AI 챗봇으로 인스타 계정 털렸다 — 지금 당장 켜야 할 설정

AI 챗봇 악용 인스타그램 계정 탈취와 2단계 인증 설정법

먼저 결론부터. 2026년 5~6월, 메타의 AI 고객지원 챗봇을 속여 남의 인스타그램 비밀번호를 재설정하는 수법이 텔레그램에 퍼졌습니다. 하지만 2단계 인증(MFA)을 켜둔 계정은 이 공격에 단 하나도 뚫리지 않았습니다. 인스타그램 설정에서 2단계 인증을 켜는 데 걸리는 시간은 약 5분. 이 글 하나면 끝납니다.

저는 개발 조직을 이끌어온 CTO로서 계정 복구(account recovery) 흐름이 왜 보안의 가장 약한 고리가 되는지 실무에서 여러 번 봤습니다. 이번 사건은 그 약한 고리를 AI가 그대로 물려받았다는 점에서 시사하는 바가 큽니다. 핵심만 짚겠습니다.

이 글이 속한 주제: 계정·비밀번호 보안

왜 이 문제가 발생하는가? — 비밀번호가 아니라 '복구 절차'가 뚫렸다

이번 사건의 핵심은 비밀번호가 유출된 게 아니라는 점입니다. 공격자는 여러분의 비밀번호를 알 필요가 없었습니다. 대신 메타의 AI 지원 봇에게 "계정에 새 이메일을 연결해 달라"고 요청했고, 봇이 그 이메일로 일회용 코드(OTP)를 보내면서 비밀번호 재설정 권한을 통째로 넘겨준 것입니다.

KrebsOnSecurity가 보도한 공격 흐름은 이렇습니다.

공격자가 VPN으로 피해자의 평소 거주 지역과 가까운 IP를 확보해 신원을 위장한다.
대상 계정의 비밀번호 재설정을 요청한 뒤, 메타의 AI 지원 어시스턴트와 채팅을 시작한다.
봇에게 "이 계정에 새 이메일을 연결해 달라"고 지시한다.
봇이 그 새 이메일로 일회용 코드를 발송 → 공격자가 비밀번호를 재설정한다.

루멘(Lumen)의 보안 연구조직 블랙로터스랩스(Black Lotus Labs)의 위협 연구원 이안 골딘(Ian Goldin)은 "사람 상담원을 사회공학으로 속이듯, AI 봇도 설득과 속임수에 똑같이 취약하다"며 "앞으로 이런 공격이 훨씬 많아질 것"이라고 경고했습니다. CTO 관점에서 보면 정확한 진단입니다. AI 챗봇은 '친절하게 도와주도록' 설계됩니다. 그런데 보안에서 '친절함'은 곧 공격 표면이 됩니다.

실제 피해는 어디까지 갔나

2026년 5월 31일 텔레그램 채널에 수법이 퍼진 직후, 오바마 백악관(Obama White House) 인스타그램 계정과 미 우주군 주임원사 계정이 친이란 성향의 이미지·메시지로 일시 도배(deface)됐습니다. 공격자들은 재판매 가치가 50만 달러를 넘는 것으로 알려진 짧은(short) 인스타 핸들들도 탈취했다고 주장했습니다.

메타의 앤디 스톤(Andy Stone)은 X(트위터)에서 "문제는 해결됐고 영향받은 계정을 보호 조치 중"이라고 밝혔습니다. 보안 블로그 thecybersecguru.com은 메타가 주말 동안 긴급 패치를 배포했으며 백엔드 데이터베이스가 침해된 것은 아니라고 명확히 했다고 전했습니다.

균형을 위해 덧붙이면: 이 특정 취약점 자체는 패치됐습니다. 하지만 "AI가 계정 복구를 대신 처리한다"는 구조적 흐름은 그대로 남아 있고, 골딘의 지적대로 비슷한 공격은 또 나올 수 있습니다. 그래서 개별 사용자의 방어선(MFA)이 여전히 가장 확실한 보험입니다.

해결 방법: 인스타그램 2단계 인증 켜기 (약 5분)

가장 중요한 사실부터. 텔레그램에 수법을 공개한 해커들조차 "MFA가 켜진 계정에는 공격이 전부 실패했다"고 인정했습니다. 즉, 2단계 인증 하나가 이 모든 시나리오를 차단합니다.

모바일 앱에서 설정하는 법

인스타그램 앱에서 내 프로필 → 오른쪽 위 메뉴(≡) → 설정 및 활동
계정 센터(Accounts Center) 진입
비밀번호 및 보안 선택
2단계 인증 탭
인증 방법 선택 후 안내에 따라 등록

어떤 인증 방법을 고를까 (보안 강도 순)

패스키 / 보안 키 (가장 강력): 피싱·사회공학에 가장 강합니다. 가능하면 1순위.
인증 앱 (Google Authenticator, Authy 등): SMS보다 안전. 앱이 30초마다 코드를 생성합니다. 실무적으로 가장 무난한 선택.
SMS 문자 코드 (최소한의 방어): 가장 약한 축이지만, 이번 공격은 SMS 인증만 있어도 막혔습니다. "아무것도 안 켠 것"보다는 압도적으로 낫습니다.

CTO로서 조언하면, 일반 사용자는 인증 앱으로 시작하고, 계정이 중요하다면 패스키까지 추가하는 조합을 권합니다. SMS는 SIM 스와핑에 약하지만, 지금 당장 다른 방법을 설정할 시간이 없다면 SMS라도 오늘 안에 켜두십시오.

인증 방법	보안 강도	설정 난이도	추천 대상
패스키 / 보안 키	매우 높음	보통	팔로워·수익이 걸린 계정
인증 앱(OTP)	높음	쉬움	일반 사용자 전체
SMS 문자	낮음(그래도 유효)	매우 쉬움	지금 당장 1분 안에

그래도 불안하다면 — 추가로 점검할 것

2단계 인증을 켰다면 90%는 끝났습니다. 남은 10%를 위해:

로그인 활동 확인: 설정 → 계정 센터 → 비밀번호 및 보안 → 로그인된 위치에서 모르는 기기를 로그아웃.
연결된 이메일 점검: 내 계정에 내가 모르는 이메일 주소가 연결돼 있지 않은지 확인. 이번 공격의 핵심이 '몰래 이메일 추가'였습니다.
복구 코드 백업: 2단계 인증 설정 시 제공되는 백업 코드를 안전한 곳에 따로 보관.
공식 지원 채널만 사용: "계정 복구해 드린다"는 DM·외부 링크는 100% 사기입니다. 메타는 DM으로 비밀번호를 묻지 않습니다.

자주 묻는 질문 (FAQ)

비밀번호만 자주 바꾸면 되는 거 아닌가요?

아닙니다. 이번 공격은 비밀번호를 몰라도 성공했습니다. 비밀번호 변경보다 2단계 인증 활성화가 훨씬 결정적입니다. 둘 다 하면 가장 좋습니다.

SMS 인증은 안전하지 않다던데, 켜는 게 의미 있나요?

SMS는 SIM 스와핑 등에 상대적으로 약한 것은 맞습니다. 하지만 이번 사건에서 해커들조차 "MFA가 켜진 계정은 SMS든 뭐든 전부 실패했다"고 했습니다. 인증 앱이 가장 권장되지만, 아무것도 안 한 상태가 가장 위험합니다.

메타가 패치했다면 이제 안전한 거 아닌가요?

이 특정 취약점은 패치됐습니다. 다만 AI 챗봇이 계정 복구를 처리하는 구조는 그대로라, 유사 공격이 재등장할 수 있다는 게 보안 전문가의 견해입니다. MFA는 그런 미래 공격까지 대비하는 기본 방어선입니다.

페이스북·왓츠앱도 같이 설정해야 하나요?

네. 같은 계정 센터에서 페이스북·왓츠앱 등 메타 제품을 함께 관리합니다. 인스타와 같은 방식으로 각각 2단계 인증을 켜두는 것을 권합니다.

마무리

핵심은 단 하나입니다. 오늘 안에 인스타그램 2단계 인증을 켜세요. 비밀번호가 아니라 '복구 절차'가 뚫린 사건이었고, MFA를 켠 계정은 단 하나도 피해를 입지 않았습니다. 5분이면 됩니다.

⚠️ 이 글은 일반적인 보안 정보 제공을 목적으로 합니다. 계정이 이미 탈취된 경우 인스타그램 공식 도움말 센터의 복구 절차를 따르시고, 의심스러운 링크나 DM에는 절대 응하지 마세요.

참고 출처

Hackers Used Meta's AI Support Bot to Seize Instagram Accounts — KrebsOnSecurity, 2026.06.01 (공격 수법·피해 계정·MFA 차단 효과 원문 확인)
Instagram/Meta AI Vulnerability — Account Recovery Exploit — thecybersecguru.com (긴급 패치·백엔드 미침해 보도)
인스타그램 도움말 — 2단계 인증 설정 — Meta 공식 도움말 센터

이 블로그 검색