인스타그램 계정 탈취가 이렇게 허술하게? 거대 플랫폼의 황당한 보안 구멍 이야기

또 터진 Meta의 계정 탈취 이슈

보안 연구자 0xsid가 공개한 글이 개발자들 사이에서 화제예요. 인스타그램을 비롯한 Meta 계정을 탈취할 수 있는 취약점을 찾았는데, 그 수법이 너무 단순하고 허술해서 "이게 정말 천억 달러짜리 회사 시스템 맞나?" 싶을 정도라는 거죠. 글쓴이가 "내가 본 것 중 가장 멍청한(goofiest) 익스플로잇"이라고 표현했을 정도니까요.

이게 왜 중요하냐면, 인스타그램은 전 세계 20억 명 넘게 쓰는 서비스잖아요. 거기에 더해 Meta 계정 하나로 페이스북, 왓츠앱, 메신저까지 다 연결되어 있어서 한 번 뚫리면 피해 범위가 어마어마하거든요. 그런데도 이런 단순한 빈틈이 계속 발견된다는 건 단지 "Meta가 못한다"의 문제가 아니라, 거대 시스템이 가진 본질적인 복잡성을 보여주는 사례라고 볼 수 있어요.

계정 탈취(ATO)가 보통 어떻게 일어나는지

계정 탈취, 줄여서 ATO(Account Takeover)는 보통 몇 가지 패턴을 따라요. 가장 흔한 건 비밀번호 재설정 흐름의 허점이에요. "비밀번호를 잊으셨나요?" 링크를 눌렀을 때 서버가 토큰을 발급해서 이메일로 보내주잖아요. 그 토큰의 유효 시간, 재사용 여부, 다른 계정과의 격리 같은 부분에서 미묘한 실수가 생기면 공격자가 남의 계정으로 비밀번호를 바꿀 수 있게 돼요.

또 자주 나오는 게 이메일 인증 우회예요. 새 이메일을 등록하면 "확인 링크를 눌러주세요" 메일이 가잖아요. 그런데 클릭 전에도 이메일이 일부 권한을 갖게 설계되어 있거나, 비슷한 도메인이나 대소문자 차이를 다르게 처리하면 인증 안 된 이메일로도 계정을 빼앗을 수 있어요. 그리고 계정 복구 흐름에서 휴대폰 번호와 이메일의 우선순위가 꼬여 있으면, 둘 중 하나만 장악해도 다 뺏기는 경우도 생기고요.

이번 사건도 큰 줄기는 비슷한 패턴이에요. 거대 플랫폼일수록 로그인 방법, 계정 복구 방법, 연결된 서드파티 앱이 너무 많아서 그 조합 어딘가에 빈틈이 남는 거죠. 마치 문이 100개 있는 집인데 그중 하나가 잠금이 약하면 결국 그 문이 뚫리는 거랑 비슷해요.

큰 회사일수록 이런 일이 왜 자꾸 생기나

재밌는 건 이런 "황당한" 취약점이 스타트업이 아니라 보통 거대 기업에서 발견된다는 점이에요. 이유를 생각해보면 명확해요. 첫째, 시스템이 너무 오래되고 거대해서 여러 인증 시스템이 시간 차로 누적돼요. 인스타그램이 페이스북에 인수되면서 한 번 합쳐졌고, 메신저 분리됐다가 다시 합쳐지고, 비즈니스 계정 추가되고... 이런 식으로 레이어가 쌓이면 "이 경로는 우리도 잊고 있었네" 하는 코드가 분명히 남거든요.

둘째, 버그 바운티 프로그램이 잘 돼 있어서 외부 연구자들이 적극적으로 찾아내요. Meta는 한 건당 수십에서 수만 달러까지 포상하는데, 그러다 보니 전 세계 화이트해커들이 끊임없이 파고들어요. 우리가 보는 건 "또 뚫렸다"는 뉴스지만, 사실 그 뒤에는 "또 한 건이 책임감 있게 신고됐다"는 좋은 신호이기도 해요.

한국 개발자에게 주는 시사점

실무에서 인증 시스템을 만들거나 손볼 때 꼭 점검해야 할 포인트가 있어요. 비밀번호 재설정 토큰은 짧은 유효시간과 일회용 사용을 기본으로 하고, 이메일 변경은 새 주소 인증이 끝난 뒤에만 실제로 반영되도록 해야 해요. 또 "OAuth로 로그인", "매직 링크 로그인", "비밀번호 로그인"처럼 여러 경로가 있을 때 그것들이 서로 어떻게 상호작용하는지 한 번에 표로 그려놓고 점검하는 게 의외로 도움이 많이 돼요.

그리고 우리 서비스에 외부 보안 연구자가 신고할 수 있는 채널이 있는지도 다시 봐야 해요. security@도메인 같은 이메일이라도 살아 있고, 거기에 누가 응답하는지 명확하면 이런 사고가 외부로 떠들썩하게 터지기 전에 조용히 막을 수 있거든요. 작은 회사라도 보안 신고 받는 프로세스 하나 마련해두는 게 큰 차이를 만들어요.

마무리

결국 이 사건이 알려주는 핵심은, 보안은 가장 약한 한 곳에서 무너진다는 오래된 진리예요. 아무리 시스템이 거대하고 보안팀이 크다고 해도, 잊혀진 한 줄의 로직 때문에 전체가 흔들릴 수 있어요. 여러분이 만드는 서비스의 인증 흐름, 마지막으로 처음부터 끝까지 따라가본 게 언제인가요? 한 번쯤 종이에 그려보면 의외의 빈틈이 보일지도 몰라요.