X, 대규모 비밀번호 재설정 메일 폭주...해킹 시도 정황
Decrypt2026년 9월 2일 01:262
소셜 미디어 플랫폼 X(구 트위터) 사용자들 사이에서 최근 자신들이 요청하지 않은 대규모 비밀번호 재설정 이메일이 쏟아지고 있다는 신고가 빗발치고 있어 사용자들의 불안감이 고조되고 있습니다. 단순한 오류인지, 아니면 해킹 시도의 전조인지에 대한 논란이 뜨거운 가운데, X 측은 현재까지 새로운 데이터 유출 사실을 공식적으로 인정하거나 보고하지 않고 있습니다. 그러나 전문가들은 2021-2022년 API 취약점, 2025년에 유출된 2억 1백만 건의 사용자 정보 데이터셋, 그리고 현재 활발히 활동 중인 봇넷과 지난 7월부터 진행된 피싱 캠페인 등 복합적인 요인이 작용한 것으로 분석하고 있습니다.
이번 사태는 지난 8월 초부터 본격적으로 제기되기 시작했으며, 일부 사용자들은 비밀번호 재설정 이메일뿐만 아니라 알 수 없는 지역에서의 로그인 시도 알림, 심지어는 장기간 사용하지 않았던 계정에 대한 강제 잠금 조치까지 경험했다고 보고하고 있습니다. 특히, 오늘(이 기사가 작성된 시점) 대규모로 재설정 이메일이 집중적으로 발송된 것으로 알려져 사용자들의 혼란을 가중시키고 있습니다.
문제는 이러한 재설정 이메일이 가짜가 아니라는 점입니다. X의 공식 시스템에서 발송된 합법적인 이메일이라는 사실이 확인되면서, 사용자들은 본인이 직접 요청하지 않은 이메일을 받게 된 상황에 대해 심각한 우려를 표하고 있습니다. 이는 계정 보안에 대한 근본적인 의문을 제기하며, 개인 정보 유출 가능성에 대한 불안감을 증폭시키고 있습니다.
이러한 유형의 사태는 이번이 처음이 아닙니다. 불과 지난 1월, 인스타그램 사용자들도 유사한 경험을 했습니다. 당시에도 요청하지 않은 비밀번호 재설정 이메일이 대량으로 발송되었고, 그 직전 다크웹 포럼에 1,750만 개의 계정과 관련된 데이터셋이 유출된 정황이 포착되었습니다. 당시 메타(Meta) 측은 자체 시스템의 데이터 유출은 부인했으나, 외부에서 비밀번호 재설정 이메일을 트리거할 수 있는 버그가 존재했음을 인정했습니다.
X 측은 현재까지 새로운 데이터 유출 사실을 인정하지 않고 있으나, 상황의 심각성을 인지하고 있는 것으로 보입니다. X의 엔지니어인 미둘 싱하이(Mridul Singhai)는 최근 트위터를 통해 불편을 끼친 점에 대해 사과하며, 새로운 데이터 유출은 인지하지 못했으며 해커들이 X 머니(X Money)에 접근하기 위해 X 계정을 탈취하려는 시도를 하는 것으로 보인다고 밝혔습니다. 그는 “공격자들은 이제 @XMoney가 널리 보급되었기 때문에 계정에 무단으로 접근할 수 있다고 믿는 것으로 보인다. 우리는 이 문제를 적극적으로 조사하고 있으며, 현재까지 어떤 데이터 유출의 증거도 발견하지 못했다”고 덧붙였습니다.
하지만 전문가들은 이번에 발생한 대규모 이메일 폭주가 몇 년 전 발생했던 보안 취약점과 관련이 있을 가능성을 제기하고 있습니다. 2022년 1월, 트위터 API의 취약점을 통해 공격자는 이메일 주소와 전화번호를 계정과 연결시킬 수 있었습니다. 이로 인해 수집된 2억 명 이상의 사용자 데이터는 현재 'Have I Been Pwned' 웹사이트에 별도의 항목으로 등록되어 있습니다. 해당 사이트 창립자인 트로이 헌트(Troy Hunt)는 이 데이터셋에 포함된 이메일 주소의 98%가 이미 이전의 다른 유출 사건에서 발견된 것이라고 언급하며, 이번 사태가 기존에 유출된 정보를 악용하려는 시도와 연관되어 있을 가능성을 시사했습니다.
이 문제는 여기서 끝나지 않습니다. 더욱 심각한 문제는 2025년 4월에 발생한 또 다른 데이터 유출 사건과 얽혀 있다는 점입니다. 당시 'ThinkingOne'이라는 해커는 34기가바이트(GB)에 달하는 파일에 2억 1백만 명의 X 사용자 기록(스크린 이름, 이메일 주소, 계정 생성 날짜, 팔로워 수 등)을 담아 BreachForums라는 포럼에 게시했습니다. 보안 연구업체 SafetyDetectives의 조사 결과, 이 데이터셋의 일부를 실제 X 프로필과 대조했을 때 일치하는 부분이 확인되었다고 합니다.
이러한 일련의 사건들은 X 플랫폼의 보안 시스템에 대한 근본적인 질문을 던지고 있습니다. 특히 2억 건 이상의 방대한 사용자 데이터가 여러 차례에 걸쳐 유출되거나 악용될 수 있는 상황에 놓여 있다는 것은 사용자들에게 직접적인 위협이 될 수 있습니다. X 머니와 같은 새로운 기능의 등장과 맞물려, 계정 탈취 시도가 더욱 빈번해지고 있다는 점은 사용자들의 주의를 요합니다.
현재 X 측은 문제 해결을 위해 노력하고 있다고 밝히고 있지만, 명확한 원인 규명과 재발 방지 대책 마련까지는 시간이 더 필요할 것으로 보입니다. 사용자들은 자신의 계정에 대한 비밀번호를 즉시 변경하고, 2단계 인증(2FA)을 설정하며, 의심스러운 로그인 시도나 알림에 대해 각별히 주의를 기울여야 할 것입니다. 또한, X 외 다른 서비스에서도 동일한 이메일 주소와 비밀번호를 사용하고 있다면, 해당 서비스의 보안 상태 역시 점검하는 것이 현명합니다.
이번 사태는 소셜 미디어 플랫폼뿐만 아니라 온라인 상의 모든 개인 정보가 잠재적인 위협에 노출될 수 있음을 다시 한번 상기시키는 계기가 되고 있습니다. 사용자들은 지속적인 보안 인식 개선과 함께, 플랫폼 제공 업체의 투명하고 신속한 정보 공개 및 보안 강화 노력을 촉구해야 할 것입니다.