Meta AI 계정 탈취, 지원봇 권한의 경고

지원봇이 답변자가 아니라 실행자가 됐다

This Week in Security의 정리와 TechCrunch의 6월 1일 보도는 인스타그램 계정 탈취가 단순 피싱이 아니라 Meta AI 지원봇의 권한 설계 문제였음을 보여준다. 공격자는 자신이 피해 계정 소유자라고 주장하고 새 이메일을 연결해 달라고 요청했다. 이후 받은 인증 코드를 챗봇에 다시 전달해 비밀번호 재설정을 이어 갔다. TechCrunch의 6월 3일 후속 보도는 Meta가 영향을 받은 계정을 보호하고 알림을 보내기 시작했다고 전했다.

중요한 지점은 모델이 민감한 정보를 상상해 냈는지가 아니다. 챗봇이 계정 복구 절차의 일부를 실제로 수행했다는 점이다. 404 Media가 지적했듯, Meta는 2026년 3월 AI 지원을 계정 문제의 처음부터 끝까지 처리하는 방향으로 소개했다. Meta의 AI support assistant 페이지도 24시간 계정 지원과 조치 수행을 강조한다. 한국 기업이 여기서 배워야 할 점은 고객지원 AI를 비용 절감 프로젝트로만 보면 안 된다는 것이다. 챗봇이 버튼을 누를 수 있게 되는 순간 보안 모델은 상담센터가 아니라 권한 위임 시스템이 된다.

Copilot Cowork 유출 실험, 에이전트 보안의 경고, CISA 키 유출, 에이전트 시대 비밀관리 경고, Meta AI 펜던트, 웨어러블 비서의 두 번째 시험는 모두 같은 질문을 던진다. AI가 사용자를 돕는다는 이유로 어느 권한까지 가져야 하는가.

왜 기존 고객지원 통제가 통하지 않았나

전통적인 고객지원은 상담원의 교육, 감사 로그, 승인 절차로 위험을 줄였다. 하지만 AI 지원봇은 대량 요청을 빠르게 처리해야 하므로 자동화 권한을 한곳에 모은다. 공격자는 사람을 속이는 대신 절차의 허점을 문장으로 밀어 넣는다. 위치를 비슷하게 맞추기 위한 VPN 사용, 새 이메일 연결, 인증 코드 회신은 각각 보면 작은 단계지만 합쳐지면 계정 소유권 이전이 된다.

이 차이를 무시하면 AI 고객지원은 좋은 UX가 아니라 공격 표면이 된다. 특히 계정 복구, 환불, 배송지 변경, MFA 초기화처럼 신원과 돈에 가까운 작업은 답변 생성과 같은 레벨로 다룰 수 없다.

한국 서비스가 바로 점검할 목록

첫째, AI가 직접 실행할 수 있는 계정 작업 목록을 분리해야 한다. 이메일 변경, 비밀번호 재설정, MFA 해제, 결제수단 변경은 기본적으로 다중 검증과 지연 시간을 둬야 한다. 둘째, 모델 응답 로그만 보지 말고 도구 호출 전후의 정책 평가 로그를 남겨야 한다. 셋째, 위험 작업은 사람 승인이나 별도 인증 채널을 요구해야 한다. 넷째, 계정 가치가 높은 짧은 핸들, 인플루언서 계정, 기업 계정은 일반 사용자와 다른 회복 절차를 가져야 한다.

OWASP Top 10 for LLM Applications는 프롬프트 인젝션과 과도한 대리 실행을 핵심 위험으로 본다. NIST AI Risk Management Framework는 AI 시스템의 유효성, 안전성, 설명 가능성, 보안을 함께 관리하라고 권한다. 이번 사건은 두 문서가 말한 원칙이 추상론이 아님을 보여준다.

에이전트 UX의 비용 계산이 바뀐다

기업은 AI 지원봇을 도입할 때 상담 건당 비용 절감을 먼저 계산한다. 그러나 계정 탈취 한 번의 비용은 고객 문의 1건보다 훨씬 크다. 브랜드 신뢰 하락, 계정 복구 인력, 법무 대응, 규제 보고, 피해자 보상까지 합치면 자동화로 아낀 비용을 빠르게 초과한다. AI가 더 친절하고 빠를수록 사용자는 더 많은 권한을 맡기고 싶어 한다. 그 권한을 제품팀이 먼저 제한하지 않으면 공격자가 제한선을 찾아낸다.

자주 묻는 질문

Q1: 이 사건은 프롬프트 인젝션인가요?

A: 넓게 보면 프롬프트 기반 절차 우회다. 다만 핵심은 모델 문장이 아니라 계정 변경 도구를 호출할 권한이 있었다는 점이다.

Q2: 2단계 인증이 있으면 안전한가요?

A: 도움이 되지만 충분하지 않다. 복구 절차가 2단계 인증을 우회하거나 새 이메일을 먼저 연결하면 보호가 약해질 수 있다.

Q3: AI 고객지원은 쓰면 안 되나요?

A: 아니다. 읽기 전용 안내, 상태 조회, 문서 탐색은 유용하다. 문제는 계정 소유권과 결제에 가까운 쓰기 작업을 자동 승인하는 구조다.

Q4: 로그는 무엇을 남겨야 하나요?

A: 사용자 입력, 모델 판단, 호출된 도구, 정책 체크 결과, 승인자, 실패한 시도까지 연결해 남겨야 사후 조사가 가능하다.

Q5: 한국 기업의 첫 조치는 무엇인가요?

A: AI 지원봇이 수행 가능한 모든 권한을 표로 만들고, 계정 복구와 결제 변경 작업은 즉시 별도 승인 흐름으로 분리하는 것이다.