페이스북 계정 도용, 2단계 인증 켜도 뚫립니다 — 지금 해야 할 7가지
페이스북 계정 도용, 2단계 인증 켜도 뚫립니다 — 지금 해야 할 7가지
계정이 이미 도용돼 지인들에게 사칭 메시지가 나가는 중이라면, 설명은 건너뛰고 아래 “5분 안에 해야 할 것”부터 순서대로 하세요.
2단계 인증(2FA)을 켰는데도 페이스북 계정이 털렸다면, 대부분 비밀번호가 뚫린 게 아닙니다. 범인은 로그인을 하지 않았거나, 로그인에 필요한 이메일 계정을 먼저 장악했기 때문에 2단계 인증 화면 자체를 만나지 않았을 가능성이 높습니다. 그래서 “비밀번호만 바꾸면 되겠지”라고 생각하면 몇 시간 뒤 다시 털립니다. 순서가 틀리면 복구가 안 됩니다.
특히 내 이메일이 여러 데이터 유출 사고에 포함돼 있고 그 이메일을 페이스북 로그인에 그대로 쓰고 있다면, 지금 상황은 우연이 아닙니다. 아래에서 뚫린 경로부터 정확히 짚고, 다시 뺏기지 않는 순서로 조치를 정리합니다.
이 글이 속한 주제: 계정·비밀번호 보안
왜 2단계 인증을 켰는데도 뚫렸나
핵심 직답부터. 2단계 인증은 “누군가 새로 로그인할 때” 한 번 더 확인하는 장치입니다. 그런데 계정이 넘어가는 흔한 두 경로는 새 로그인을 아예 거치지 않거나, 인증 코드를 받는 이메일 자체를 범인이 갖고 있는 경우입니다.
첫째, 이메일 계정이 먼저 뚫린 경우입니다. 여러 유출 사고에서 같은 비밀번호를 재사용했다면, 범인은 유출된 이메일·비밀번호 조합으로 이메일에 로그인합니다. 그다음 페이스북에서 “비밀번호 재설정”을 눌러 재설정 링크와 인증 코드를 그 이메일로 받습니다. 2단계 인증이 이메일로 오도록 설정돼 있으면 그 코드도 범인이 받습니다.
둘째, 정보탈취형 악성코드(인포스틸러)에 세션 쿠키를 통째로 도둑맞은 경우입니다. 브라우저에 저장된 로그인 상태(세션 쿠키)를 훔치면, 범인은 이미 로그인된 상태를 복제하므로 비밀번호도 2단계 인증도 물어보지 않습니다. 이 경우 비밀번호만 바꾸면 기존 세션이 그대로 살아 있어 계속 털립니다.
| 구분 | 경로 A — 이메일 계정 장악 | 경로 B — 세션 쿠키 탈취 |
|---|---|---|
| 어떻게 시작되나 | 유출된 이메일·비밀번호 재사용으로 이메일에 먼저 로그인 | 정보탈취 악성코드가 브라우저의 로그인 상태(쿠키)를 통째로 탈취 |
| 2단계 인증이 왜 무력화되나 | 재설정 링크·인증 코드가 범인의 이메일로 감 | 로그인 자체를 건너뛰어 코드를 물어보지 않음 |
| 의심 신호 | 이메일이 여러 유출에 노출·비밀번호 재사용 | 비밀번호를 바꿔도 다시 로그아웃·낯선 로그인 반복 |
| 가장 먼저 할 일 | 이메일 비밀번호 변경·전달 규칙 점검 | 다른 기기 전부 로그아웃 + 악성코드 검사 |
내 이메일이 여러 유출에 나타났다는 사실은 첫째 경로(재사용 비밀번호)의 강한 신호이고, 나도 모르게 계정이 활동 중이라는 건 둘째 경로(세션 탈취)를 의심하게 합니다. 그래서 조치는 두 경로를 동시에 막는 순서로 가야 합니다.
5분 안에 해야 할 것 — 순서가 중요합니다
지금 당장은 완벽한 복구가 아니라 출혈을 멈추는 것이 목표입니다. 아래 순서를 지키세요. 특히 이메일을 페이스북보다 먼저 지키는 게 핵심입니다. 이메일이 뚫려 있으면 페이스북을 아무리 복구해도 다시 재설정당합니다.
| 순서 | 할 일 | 어디서 |
|---|---|---|
| 1 | 모르는 기기·위치 전부 로그아웃 | 페이스북 설정 → 로그인한 위치 |
| 2 | 이메일 비밀번호 변경·전달 규칙·복구수단 점검 | 이메일 서비스 보안 설정 |
| 3 | 유출 확인 후 재사용 비밀번호 전부 교체 | haveibeenpwned.com |
| 4 | 로그인 불가 시 계정 복구 접수 | facebook.com/hacked |
| 5 | 전체 악성코드 검사·의심 프로그램 제거 | 최신 백신 / 감염 의심 기기 회피 |
| 6 | 사칭 사기 공지·지인 개별 알림 | 복구한 프로필·개별 메시지 |
| 7 | 명의도용·침해 신고(한국) | pd.fss.or.kr · KISA 118 |
아래 각 단계를 하나씩 풉니다.
1단계: 로그인된 다른 기기부터 전부 로그아웃
페이스북에 아직 들어갈 수 있다면 가장 먼저 다른 세션을 끊습니다. 설정에서 ‘비밀번호 및 보안’ → ‘계정 센터’ → ‘로그인한 위치’(앱 버전에 따라 ‘보안 및 로그인 → 로그인한 위치’로 표시되기도 합니다) 메뉴를 찾아, 내가 모르는 기기·위치를 모두 로그아웃합니다. 메뉴 이름은 버전마다 다르니 ’로그인’ 또는 ’기기’라는 단어가 들어간 항목을 찾으세요. 세션 탈취였다면 이 조치가 사실상 복구의 절반입니다.
2단계: 페이스북보다 이메일을 먼저 지켜라
이메일은 모든 계정의 마스터키입니다. 페이스북 이메일로 쓰는 계정에 들어가 비밀번호를 새것으로 바꾸고, 그 이메일의 2단계 인증이 켜져 있는지, 복구용 전화번호·이메일에 낯선 것이 추가되지 않았는지 확인하세요. 이메일에서 자동 전달(포워딩) 규칙이 몰래 설정돼 있는 경우도 많으니 ‘필터/전달’ 설정을 함께 점검합니다. 이메일 비밀번호는 다른 어디에도 쓰지 않은 완전히 새 것으로 만듭니다.
3단계: 어떤 유출로 시작됐는지 확인하고 재사용 비밀번호 끊기
내 이메일이 어떤 유출에 포함됐는지 알면, 그때 그 사이트에서 쓴 비밀번호를 지금도 다른 곳에 재사용하고 있는지 판단할 수 있습니다. 실제로 haveibeenpwned.com에 접속해 확인해 보니, 이메일 주소 하나만 넣으면 그 주소가 어떤 유출 사고에 포함됐는지 목록으로 보여줍니다. 그 목록에 걸린 서비스에서 쓰던 비밀번호와 같은 비밀번호를 다른 곳에서 쓰고 있다면, 그 계정들부터 서로 다른 비밀번호로 바꾸세요. 비밀번호 재사용을 끊는 것이 첫째 경로를 영구히 막는 방법입니다.
4단계: 로그인이 안 되면 facebook.com/hacked로 복구
범인이 이미 비밀번호·이메일·전화번호를 바꿔 로그인이 안 된다면, 주소창에 facebook.com/hacked를 입력해 ‘내 계정이 도용된 것 같습니다’ 흐름을 시작하세요. 여기서 남아 있는 이메일·전화번호로 코드를 받거나, 그것도 막혔다면 신분증 제출로 본인 확인을 하는 경로가 안내됩니다. 페이스북은 복구 소요 시간을 보장하지 않으므로 빠르게 접수할수록 성공률이 높습니다. 친구의 로그인된 계정에서 내 프로필로 들어가 신고·지원 흐름으로 복구를 요청하는 방법도 있습니다.
5단계: 세션을 다시 뺏기지 않으려면 — 악성코드 점검
비밀번호를 바꿨는데도 다시 로그아웃되거나 낯선 로그인이 뜬다면, 세션 쿠키를 훔치는 악성코드가 기기에 남아 있을 가능성이 있습니다. 이 경우 비밀번호를 몇 번 바꿔도 소용없습니다. 최신 백신으로 전체 검사를 돌리고, 최근 설치한 출처 불명 프로그램·브라우저 확장 프로그램을 제거하세요. 감염이 의심되면 그 기기에서는 로그인하지 말고 깨끗한 다른 기기에서 비밀번호를 다시 바꾸는 것이 안전합니다.
6단계: 지인에게 퍼진 사칭 사기 차단·알림
계정이 도용돼 지인에게 미스터비스트 사칭 같은 암호화폐 투자 사기 메시지가 나가고 있다면, 이건 음성통화로 시작한 보이스피싱이 아니라 메신저·계정을 탈취해 지인을 노리는 메신저피싱(사칭)입니다. 계정을 되찾는 즉시 프로필·스토리에 “제 계정이 도용됐으니 저를 사칭한 투자·송금 요청에 응하지 마세요”라고 공지하고, 가까운 지인에게는 개별로 알리세요. 이미 돈을 보낸 지인이 있다면 그 사람은 즉시 송금 은행 고객센터와 경찰(112)에 지급정지를 요청해야 합니다. 시간이 지날수록 회수가 어려워집니다.
7단계: 한국이라면 — 명의도용·침해 신고 어디에
유출된 개인정보로 내 명의의 금융거래가 악용될까 걱정된다면, 금융감독원 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 직접 들어가 보니, 노출 사실을 등록하면 내 명의로 신규 계좌 개설이나 카드 발급을 시도할 때 본인확인 절차를 강화한다고 안내하고 있습니다. 통신 명의도용이 걱정되면 명의도용방지서비스 엠세이퍼(msafer.or.kr)에서 내 명의로 개통된 회선을 조회할 수 있습니다.
해킹·악성코드 피해 자체를 상담·신고하려면 KISA 118 상담센터를 이용하세요. KISA 118 상담센터 안내 페이지를 직접 확인하니 해킹·악성코드 상담은 연중무휴 24시간 운영이라고 적혀 있습니다. 개인정보 침해 신고는 privacy.kisa.or.kr에서, 금전 피해가 발생했다면 경찰청 사이버범죄 신고시스템(ECRM)과 금융감독원 상담(☎1332)을 이용합니다.
자주 묻는 질문
2단계 인증을 켰는데 왜 소용이 없었나요?
2단계 인증은 새 로그인을 막지만, 세션 쿠키를 훔치는 악성코드는 로그인 자체를 건너뛰고, 이메일이 먼저 뚫리면 인증 코드도 범인이 받기 때문입니다. 그래서 이메일 보안과 기기 악성코드 점검이 함께 가야 합니다.
비밀번호만 바꾸면 안 되나요?
세션 탈취였다면 기존 로그인 세션이 살아 있어 비밀번호를 바꿔도 계속 접근됩니다. 반드시 ’로그인한 위치’에서 다른 기기를 로그아웃하고, 악성코드까지 제거해야 합니다.
어떤 계정부터 손대야 하나요?
이메일이 먼저입니다. 이메일이 뚫려 있으면 페이스북·다른 SNS를 복구해도 재설정 링크로 다시 넘어갑니다.
지인이 이미 돈을 보냈어요.
돈을 보낸 지인 본인이 즉시 송금 은행 고객센터와 경찰(112)에 지급정지를 요청해야 합니다. 시간이 관건입니다.
결론
정리하면, 2단계 인증을 켜도 계정이 뚫리는 이유는 인증 화면을 우회하는 두 경로 때문입니다. 이메일 장악과 세션 쿠키 탈취입니다. 그래서 다른 기기 로그아웃 → 이메일 먼저 보호 → 재사용 비밀번호 끊기 → 페이스북 복구 → 악성코드 점검 → 지인 알림 순서를 지켜야 다시 뺏기지 않습니다. 유출된 이메일을 계속 여러 서비스에 재사용하는 습관을 끊는 것이 근본 해결입니다.
함께 보면 좋은 글
- 계정·비밀번호 보안 — 이 주제의 글 전체 목록
- 👉 AI 챗봇으로 인스타 계정 털렸다 — 지금 당장 켜야 할 설정
- 👉 개인정보 유출·피싱 당했을 때 — 지급정지부터 명의도용 차단까지 공통 대응 5단계
- 👉 QR코드 피싱 링크 눌렀다면, 계정 털리기 전에 해야 할 7가지