메타의 가장 어이없는 버그 — 인스타그램 계정이 이렇게 쉽게 털린다고?

전 세계 20억 명이 쓰는 인스타그램입니다. 그런데 이 거대한 서비스의 계정을 탈취하는 방법이 생각보다 너무 허술했다면 어떨까요. 최근 한 보안 연구자가 공개한 취약점이 화제인데요. 본인이 직접 “내가 찾은 가장 어이없는(goofiest) 버그"라고 표현했을 정도입니다. 오늘은 이 사건이 왜 단순한 버그 하나의 문제가 아닌지 짚어보겠습니다.

세계 최대 SNS의 계정이 이렇게 털린다고?

이번에 주목받은 연구자는 핸들 0xsid로 활동하는 보안 리서처입니다. 그가 공개한 인스타그램 계정 탈취 취약점의 핵심은 의외로 단순했습니다.

계정 탈취 버그라고 하면 흔히 복잡한 암호 해독이나 정교한 코드 인젝션을 떠올리기 쉬운데요. 실제로 메타급 회사를 노리는 공격은 그렇게 정교한 경우가 많습니다. 하지만 이번 사례는 정반대였습니다.

문제의 핵심은 인증 흐름의 빈틈이었습니다. 비밀번호 재설정이나 인증 코드 검증 같은, 가장 기본적인 보안 관문에서 허점이 발견된 것이죠. 흔히 말하는 레이트 리미팅, 즉 시도 횟수 제한이 제대로 걸리지 않으면 공격자는 6자리 인증 코드를 무차별로 대입해볼 수 있습니다.

여기서 잠깐 설명을 덧붙이자면, 6자리 숫자 코드는 경우의 수가 100만 개입니다. 시도 횟수에 제한이 없다면 자동화 도구로 몇 시간 안에 전부 시도해볼 수 있습니다. 이걸 막는 게 보안의 기본 중 기본인데, 바로 그 기본이 뚫렸다는 이야기입니다.

“어이없다"는 말이 나온 진짜 이유

연구자가 스스로 “goofiest"라는 표현을 쓴 데는 이유가 있습니다. 공격에 필요한 기술 난이도가 너무 낮았기 때문입니다.

이런 종류의 버그가 황당한 이유는 명확합니다. 수천 명의 엔지니어와 막대한 보안 예산을 가진 회사에서, 신입 개발자도 아는 기본 방어가 특정 경로에서 빠져 있었다는 뜻이니까요.

보안 업계에는 이런 말이 있습니다. 가장 위험한 버그는 가장 단순한 버그라는 것이죠. 복잡한 취약점은 발견하기도 어렵지만 악용하기도 어렵습니다. 반면 이런 단순한 빈틈은 일단 발견되면 누구나 따라 할 수 있습니다. 공격의 진입 장벽이 사실상 사라지는 셈입니다.

게다가 인스타그램 같은 서비스는 단순한 SNS가 아닙니다. 많은 사람이 인스타 계정으로 다른 서비스에 로그인하고, 비즈니스 계정은 광고와 결제 수단까지 연결돼 있습니다. 계정 하나가 뚫리면 도미노처럼 피해가 번질 수 있다는 의미입니다.

버그바운티는 왜 늘 논란이 될까

이번 사건에서 또 하나 주목할 지점은 메타의 대응입니다. 보안 연구자들이 취약점을 제보하면 기업이 포상금을 지급하는 제도를 버그바운티라고 부르는데요. 메타는 이 분야에서 업계 선두주자로 꼽힙니다.

그런데 연구자들 사이에서는 늘 비슷한 불만이 나옵니다. 제보한 취약점의 심각도를 기업이 낮게 평가해 포상금을 깎거나, 중복 제보라며 보상을 거부하거나, 처리 과정이 지나치게 느리다는 것이죠.

계정 탈취는 보안 등급에서 가장 심각한 축에 속합니다. 사용자의 데이터, 사생활, 때로는 금전까지 직접 위협하기 때문입니다. 그런데 이런 심각한 버그가 너무 단순한 원인에서 비롯됐을 때, 기업과 연구자 사이에는 묘한 긴장이 생깁니다. 기업 입장에서는 “이미 알고 있었다"거나 “영향 범위가 제한적"이라고 평가하고 싶을 수 있고, 연구자 입장에서는 “내가 실제로 계정을 탈취했는데 무슨 소리냐"고 반박하게 되는 것이죠.

이런 갈등이 반복되면 연구자들은 점점 공개 폭로 쪽으로 기웁니다. 제보해도 제대로 평가받지 못한다면, 차라리 블로그에 글을 올려 인정받겠다는 심리입니다. 결국 손해를 보는 건 기업의 평판입니다.

우리가 진짜 배워야 할 것

이번 사건이 던지는 메시지는 분명합니다. 보안의 기본기가 규모와 상관없이 가장 중요하다는 것입니다.

메타처럼 인재와 자본이 풍부한 회사조차 인증 흐름의 기본 방어를 놓칠 수 있습니다. 이는 거꾸로 말하면, 수많은 중소 서비스와 스타트업은 더 큰 위험에 노출돼 있다는 뜻이기도 합니다. 화려한 신기술 도입보다 레이트 리미팅, 인증 코드 만료, 시도 제한 같은 기본을 꼼꼼히 챙기는 게 먼저라는 교훈입니다.

일반 사용자 입장에서 할 수 있는 일도 있습니다. 가장 확실한 방어는 2단계 인증 설정입니다. 비밀번호나 인증 코드 하나가 뚫려도, 추가 인증 단계가 있으면 공격자가 마지막 관문에서 막히기 때문입니다.

참고로 이번 주제는 아직 커뮤니티에서 활발하게 논의되는 단계는 아닙니다. 보안 연구자가 공개한 기술 분석이 중심이라, 시간이 지나면서 메타의 공식 대응과 함께 더 많은 이야기가 나올 가능성이 큽니다.

세계 최대 SNS의 계정이 어이없을 만큼 단순한 빈틈으로 뚫렸다는 사실. 이건 메타만의 문제일까요, 아니면 모든 서비스가 언제든 마주할 수 있는 거울일까요. 여러분이 매일 쓰는 서비스의 보안은, 과연 그 기본기를 제대로 갖추고 있을까요.