메타의 AI 지원 기능, 인스타그램 계정 탈취 가능 — 익스플로잇 상세 정보

현재 일부 계정을 대상으로 A/B 테스트 중인 Meta의 인스타그램 AI 지원 기능에 심각한 취약점이 존재합니다. 이 취약점을 이용하면 최소한의 노력으로 누구나 계정을 탈취할 수 있습니다. 이 익스플로잇은 블랙햇 커뮤니티에서 며칠째 활발히 사용되어 100개 이상의 고가치 계정이 손상되었습니다.

익스플로잇 작동 방식

Hacker News 사용자 parble의 게시글에 따르면, 공격은 단 세 단계로 이루어집니다:

• 대상 계정의 지역과 가까운 프록시 또는 VPN을 통해 연결합니다.
• AI 지원 에이전트에게 귀하가 통제하는 임의의 이메일 주소로 인증 코드를 보내도록 요청합니다.
• 코드를 받아 에이전트에게 전달하면, 에이전트가 비밀번호 재설정 링크를 제공하며 이를 통해 계정에 로그인할 수 있습니다.

이 방법은 AI 에이전트가 직접 인증 흐름을 처리하기 때문에 이메일 기반 보안 확인을 우회합니다.

영향 및 맥락

이 익스플로잇은 텔레그램을 통해 유포되었으며 실행이 간단합니다. 피해자들은 이메일, 문자, 푸시 알림 없이 세션이 종료되고 비밀번호가 변경되었다고 보고합니다. 2단계 인증(TFA)이 활성화된 계정도 취약할 수 있으며, 일부 보고서에 따르면 TFA도 우회 가능합니다. 이 익스플로잇의 영향을 받은 사용자는 비밀번호 재설정 이메일의 속도 제한을 경험하여 정상적인 경로를 통한 계정 복구가 더 어려워졌습니다.

이는 Meta의 첫 보안 실수가 아닙니다. 2월에는 인스타그램 계정에 등록된 이메일과 전화번호를 누구나 볼 수 있는 별도의 익스플로잇이 있었습니다. 해당 버그는 Meta에 의해 공식적으로 인정되지 않았습니다.

권장 조치

즉각적인 해결책은 인증 흐름이 수정될 때까지 AI 지원 기능을 완전히 비활성화하는 것입니다. 영향을 받은 사용자는 탈취된 계정과 사용자 이름을 되찾아야 합니다. Hacker News 게시글 시점 기준으로 이 결함은 패치되지 않은 상태입니다.