수백만 명의 X(구 트위터) 사용자들이 계정 보안을 위해 “모든 것을 제대로” 했음에도 지난 24시간 동안 계정이 잠기고, 끝없는 2단계 인증 루프에 갇혀 혼란스러운 메시지를 마주했다:
“YubiKey를 다시 등록해야 합니다.”
이 오류는 일론 머스크가 twitter.com의 마지막 흔적을 지우고 로그인 방식을 완전히 x.com으로 옮기려는 오랜 노력과 직접적으로 연결되어 있다. 이는 이미 비평가들 사이에서 기술 업계에서 가장 혼란스러운 리브랜딩 중 하나로 꼽힌 브랜드 및 도메인 전환이다. [1]
무슨 일이 있었는지, 오늘(2025년 11월 13일) 새로워진 점, 그리고 현재 X 계정이 인증 지옥에 갇힌 경우 할 수 있는 일들을 정리했다.
무슨 일이 있었나: X의 보안키 전환이 꼬이다
10월 24~27일, X는 하드웨어 보안키(예: YubiKey)나 패스키로 2단계 인증(2FA)을 사용하는 경우, 새 x.com 도메인에 맞춰 2025년 11월 10일까지 반드시 재등록해야 하며, 그렇지 않으면 계정이 잠길 수 있다고 조용히 공지했다. [2]
당시 X의 Safety 팀은 다음과 같이 강조했다:
- 이 변경은 “어떠한 보안 사고와도 관련이 없다”
- 오직 보안키와 패스키에만 영향을 미친다,
- 그리고 이 조치는 해당 키들이 암호학적으로 twitter.com에 묶여 있기 때문에 필요하다. X는 이를 퇴역시키려 한다. [3]
BleepingComputer, The Register 등 보안 매체들은 twitter.com이 사라지면 해당 도메인에 묶인 키는 더 이상 작동하지 않으므로, 반드시 x.com에 재등록해야 한다고 설명했다. [4]
이것이 계획이었다.
현실은 이번 주에 닥쳤다.
11월 12~13일: YubiKey 오류와 무한 로그인 루프
11월 12일(미국 시간) 늦은 시각부터 2025년 11월 13일 이른 아침까지, X 사용자들은 웹과 모바일 모두에서 더 이상 로그인이 되지 않는다고 보고하기 시작했다:
- 비밀번호를 입력한 후, “YubiKey를 다시 등록해야 한다”는 안내를 받고 x.com과 연결하라는 메시지가 떴다. [5]
- 지침을 따르려고 했을 때, 흐름이 그냥… 반복되었습니다.
- 일부는 YubiKey를 전혀 소유한 적이 없었지만, 여전히 동일한 “YubiKey를 다시 등록하세요” 화면으로 강제로 이동되었습니다. [6]
Android Central, Windows Central, 그리고 TechCrunch 모두 동일한 패턴을 기록했습니다: 보안 키 또는 패스키에 연결된 계정에서 전 세계적인 로그인 문제가 발생했으며, 사용자가 지침을 올바르게 따라도 인증이 막히거나 완전히 잠기는 경우가 많았습니다. [7]
보안 중심 매체 The Tech Buzz는 이를 직설적으로 “잘못된 보안 키 마이그레이션”이라고 표현하며, 도메인 관리가 플랫폼에서 가장 보안에 민감한 사용자들에게 “인증 지옥”으로 변했다고 설명했습니다. [8]
오늘의 업데이트(2025년 11월 13일): 부분 복구, 여전한 혼란
오늘의 새로운 보도와 사용자 게시물에 따르면, 장애의 최악의 상황은 완화되고 있지만 — 아직 모두가 복구된 것은 아닙니다.
뉴스룸: 문제 확인, X는 여전히 대부분 침묵
- NewsBytes는 X가 “필수 2단계 인증 변경 이후 심각한 문제에 직면했다”며, 사용자가 “끝없는 반복 루프에 갇히거나 완전히 잠겼다”고 보도하고, X가 이 오류에 대해 공식적으로 언급하지 않았다고 지적합니다. [9]
- Storyboard18 역시 “엉망이 된 보안 업데이트”로 인해 사용자가 잠기거나 로그인 루프에 갇혔다고 설명하며, X가 공식적인 설명을 내놓지 않은 채 일론 머스크는 자신의 계정에서 평소처럼 게시를 이어가고 있다고 강조합니다. [10]
- Tech Buzz는 오늘 아침, 인증 실패가 계속되고 X의 공식 입장 발표가 여전히 없다는 점을 반영해 기사를 업데이트했습니다. [11]
TechCrunch는 X가 “논평 요청에 응답하지 않았다”고 언급하며, 자체 로그인 보도에서도 11월 10일 마감 이후 끝없는 루프와 광범위한 잠금 현상을 자세히 다뤘습니다. [12]
사용자 보고: 롤백 진행 중, 하지만 모두에게 해당되지는 않음
Windows Central의 라이브 블로그는 내부 소식통을 인용해 11월 12일 X의 엔지니어들이 최근 변경 사항을 롤백하고 있다고 보도했으며, 오후 중반에는 작성자가 다시 로그인할 수 있었고 DownDetector의 장애 신고도 감소세를 보이기 시작했다. [13]Reddit의 r/Yubikey 및 r/Twitter 커뮤니티에서는 사용자들이 다음과 같이 설명한다: [14]
- X의 YubiKey/패스키 로그인 흐름에 대한 전 세계적인 문제.
- 패스키나 인증 앱만 사용한 사람들에게도 “YubiKey를 다시 등록하라”는 혼란스러운 안내가 표시됨.
- 오늘 아침 일찍 “다시 들어갔어요”, “두 계정 모두 해결됨” 등과 같은 댓글이 쏟아졌으나, 동시에 여전히 잠겨 있다는 사람들도 있음.
많이 공유된 한 Reddit 댓글은 인증된 X 엔지니어의 게시글을 인용하며 “보안 키 로그인 문제는 곧 해결될 것”이라고 했으나, 실제로는 수정이 고르게 적용되지 않고 있음: 일부 계정은 다시 작동하지만, 다른 계정은 여전히 반복 루프에 갇혀 있음. [15]
11월 13일 기준 결론:
- 장애는 개선되고 있지만 완전히 해결되지는 않음.
- X로부터 아직 구체적이고 공개적인 사후 분석은 나오지 않음.
누가 영향을 받고, 누가 영향을 받지 않는가?
오늘 보도와 사용자 게시글을 종합하면: [16]
가장 영향을 많이 받은 계정:
- 다음 중 한 번이라도 설정한 계정:
- 하드웨어 보안 키(YubiKey 등) 또는
- 패스키(Face ID, Touch ID, Windows Hello 등 플랫폼 인증기)
- 특히, 키를 처음 등록할 때 서비스가 아직 twitter.com을 로그인에 사용하던 시절에 등록한 사용자.
대체로 영향이 없는 계정(현재까지):
- 앱 기반 인증기(TOTP 앱)를 사용하는 계정,
- SMS 또는 이메일 코드로 2FA를 사용하는 계정,
- 2FA가 없는 계정(보안을 위해 권장하지 않음).
아이러니하게도, 가장 강력한 보호 수단(하드웨어 토큰과 패스키)에 투자한 사람들이 이번 엉망진창인 마이그레이션에서 가장 큰 피해를 입었습니다. 여러 사용자 보고에 따르면, 일부 비키(non-key) 사용자들도 버그가 있는 로그인 플로우 때문에 자신의 설정을 제대로 감지하지 못해 오류에 휘말린 것으로 보입니다. [17]
왜 twitter.com → x.com 전환이 로그인을 망가뜨렸나
이 장애를 이해하려면, 보안 키와 패스키가 어떻게 작동하는지 알아야 합니다.
비밀번호와 달리, WebAuthn/FIDO2 보안 키와 패스키는 특정 도메인에 연결되어 있습니다. 처음에 twitter.com에 키를 등록할 때, 해당 키는 정확히 그 오리진에 암호학적으로 잠깁니다. [18]
그래서 X가 결국 옛 도메인을 완전히 없애고 로그인을 x.com으로 완전히 이전하기로 결정했을 때:
- twitter.com에 등록된 키는 새 도메인과 일치하지 않게 되었습니다.
- 따라서 X는 사용자들에게 등록 해제 및 재등록을 x.com에서 하도록 요구했습니다.
- 재등록 과정 자체가 고장난 것으로 보이며, 그로 인해 다음과 같은 현상이 발생했습니다:
- “YubiKey를 재등록하세요” 화면으로 무한 반복,
- 패스키나 앱만 사용하던 계정에 YubiKey 로그인 프롬프트가 뜸,
- 변경이 필요한 설정 페이지에 접근할 수 없음. [19]
X Safety는 이전에 이것이 단순 유지보수이며 “어떠한 보안 문제와도 관련이 없다”고 사용자들을 안심시켰지만, 실제 실행은 기본적인 신뢰성 기대치조차 충족하지 못했습니다. 보안 마이그레이션은 사람들을 더 안전하게 만들어야지, 대량 로그아웃을 유발해서는 안 됩니다. [20]
이것이 해킹이나 데이터 유출인가요?
현재까지는 이 사건이 해킹, 유출, 또는 외부 사이버 공격이라는 증거는 없습니다.
- X 측의 10월 해명에서도 키 재설정을 도메인 마이그레이션으로 설명했으며, 사고 대응이 아니었습니다. [21]
- 현재 NewsBytes, Storyboard18, TechBuzz, TechCrunch 등에서 보도한 내용에 따르면 이번 장애는 X 시스템의 침해가 아니라 계획된 보안 키 마이그레이션의 실패한 구현와 관련이 있습니다. [22]
다만, X 측에서 아직 상세한 기술적 설명을 내놓지 않아 외부 관찰자들은 행동 양상과 유출된 내부 코멘트를 바탕으로 근본 원인을 추정하고 있습니다.
X 계정에 잠겼을 때 대처 방법
현재 YubiKey/패스키 루프에 갇혀 있다면, X의 기존 안내와 보안 전문가들의 권고를 바탕으로 한 실질적인 조치 방법은 다음과 같습니다. [23]
1. 이미 로그인된 기기에서 시도해보기
아직 X 세션이 활성화된 경우:
- 휴대폰,
- 태블릿, 또는
- 다른 브라우저 프로필,
해당 로그인된 세션을 이용해:
- 설정 → 보안 및 계정 접근 → 보안 → 2단계 인증으로 이동하세요.
- 기존 twitter.com이 참조된 보안 키/패스키 항목을 일시적으로 비활성화하세요.
- 아직 없다면 백업 2FA 방법(인증 앱 또는 다른 하드웨어 키)을 추가하세요.
- 마이그레이션 문제가 명확히 해결된 후에만 YubiKey/패스키를 x.com에 다시 등록하세요.
2. 다른 2FA 옵션 확인
일부 사용자는 다음을 통해 여전히 로그인할 수 있다고 보고합니다: [24]
- 이전에 설정한 인증 앱,
- SMS 또는 이메일 코드,
- 백업 하드웨어 키.
이 중 하나로 인증이 가능하다면, 바로 설정에 들어가 다음을 확인하세요:
- 등록된 보안 키 목록,
- 내 키가 현재 x.com에 연결되어 있는지,
- 그리고 최소한 하나의 작동하는 백업 방법이 있는지.
3. X의 계정 복구 양식 사용하기
로그인 방법이 전혀 통하지 않고 완전히 계정에 접근할 수 없는 경우, 공식적으로 할 수 있는 유일한 방법은 X의 “계정 접근 권한 되찾기” 양식을 통해 X 지원팀에 연락하는 것입니다. 여러 Reddit 사용자들이 이 방법을 사용했다고 말합니다. [25]
이 과정은 느릴 수 있고 성공이 보장되지 않지만, 2FA가 고장났을 때 X가 제공하는 유일한 합법적인 복구 경로입니다.
4. 2FA를 완전히 비활성화하는 것은 피하세요 (가능하다면)
X가 마감일 전에 내린 경고에 따르면, 11월 10일 이후에는 다음을 할 수 있습니다: [26]
- 키 또는 패스키를 다시 등록하기,
- 다른 2FA 방식으로 전환하기, 또는
- 2FA를 완전히 비활성화하기 (X 측에서도 “강력히 비추천”함).
즉시 계정에 다시 접근해야 하고 다른 방법이 전혀 없다면 어쩔 수 없지만, 2FA를 영구적으로 비활성화하지 않도록 하세요. 그렇게 하면 계정이 피싱, 비밀번호 재사용, SIM 스와프 공격 등 — 보안 키가 막으려는 바로 그 위협에 노출됩니다.
접근 권한을 되찾기 위해 일시적으로 보안을 약화시켰다면, 다음을 계획하세요:
- 즉시 인증 앱이나 백업 키를 추가하고,
- X의 로그인 시스템이 안정화되는 대로 강력한 2FA를 다시 활성화하세요.
5. 피싱 이메일과 가짜 “지원”에 주의하세요
이런 사건은 사기꾼들에게 좋은 기회가 됩니다. 다음에 주의하세요:
- “X Security”에서 온 것처럼 보이는 이메일로 키를 “수정”하라고 요청하는 경우,
- 계정 복구를 대가로 비용을 요구하는 다이렉트 메시지,
- x.com처럼 보이지만 실제로는 아닌 링크(이상한 문자, 이상한 서브도메인 등).
무언가를 클릭해야 한다면, 직접 x.com을 입력해서 공식 인터페이스로 이동하세요. 메시지 내 링크를 신뢰하지 마세요.
X의 길고 혼란스러운 리브랜딩의 마지막 걸림돌
브랜딩 관점에서 이번 장애는 상징적으로 매우 치명적입니다.
- 디자인 사이트 Creative Bloq는 최근 머스크의 X 리브랜딩을 “지난 10년간 가장 혼란스러운 리브랜딩 중 하나”라고 평하며, 2년이 지난 지금도 사람들이 본능적으로 이 플랫폼을 “X, 이전 명칭은 트위터”라고 부른다고 지적했다. [27]
- 해당 기사에서는 트위터의 마지막 기술적 흔적 중 하나였던 twitter.com URL이 마침내 퇴역하고, 로그인 시 x.com으로 완전히 리디렉션된 점을 지적했다.
이제 twitter.com을 묻는 행위 자체가 옛 브랜드를 다시 헤드라인으로 끌어올렸고, 사용자들은 트위터의 마지막 흔적을 고치려다 “트위터가 또 망쳤다”고 불평하고 있다. [28]
비평가들에게 이 사건은 머스크 인수 이후 그들이 지적해온 패턴과 맞아떨어진다: 축소된 엔지니어링 팀과 제한적으로 보이는 안전장치 하에서, 빠른 속도로 강압적이고 상향식의 변화가 도입된다는 것이다. 오늘날 수많은 매체들은 이번 장애를 440억 달러 인수 이후 연이은 운영상 실수의 최신 사례로 명시적으로 다루고 있다. [29]
그렇다면 패스키와 보안키가 나쁜 선택이라는 뜻일까?
짧은 답변: 아니다 — 하지만 어떻게 도입하느냐에 대한 경고다.
BleepingComputer, The Verge, The Register의 보도 모두 하드웨어 키와 패스키가 오늘날 사용 가능한 가장 안전한 인증 방식 중 하나임을 강조한다. 이들은 등록된 정확한 도메인에서만 반응하기 때문에 피싱 위험을 획기적으로 줄여준다. [30]
여기서 잘못된 것은 근본 기술이 아니었다. 문제는:
- 부실하게 처리된 마이그레이션 계획 (강제 재등록을 촉박한 기한에 맞춰 요구),
- 신뢰할 만한 대체 수단이 없는 버그가 많은 재등록 절차,
- 장애 기간 중 약한 소통으로, 사용자들이 공개적으로 보안 실패를 직접 해결하게 만든 점. [31]
이 상황을 지켜보는 다른 플랫폼들에게 교훈은 분명하다:
수백만 명의 사용자를 하드웨어 기반 자격 증명과 함께 새 도메인으로 옮기려면, 완벽한 테스트, 점진적 롤아웃, 견고한 복구 경로가 필요하다.
FAQ: X 보안 키 장애, 2025년 11월 13일
X의 로그인 장애를 유발한 원인은 무엇인가요?
보안 키와 패스키를 twitter.com 도메인에서 x.com 도메인으로 강제 이전하는 과정에서, 재등록 절차가 제대로 작동하지 않아 사용자가 YubiKey/패스키 무한 반복에 빠지고 계정 설정 접근이 차단된 것이 원인입니다. [32]
가장 큰 영향을 받은 사람은 누구인가요?
2FA를 위해 하드웨어 보안 키 또는 패스키를 설정한 사용자, 특히 로그인에 twitter.com을 사용하던 시절에 키를 등록한 사람들이 가장 큰 영향을 받았습니다. 이들 중 상당수는 일시적으로 또는 여전히 완전히 계정에 접근하지 못하고 있습니다. [33]
이 문제가 지금(2025년 11월 13일) 해결되었나요?
Windows Central과 Reddit의 보고에 따르면, X가 일부 변경 사항을 되돌린 후 많은 사용자가 다시 로그인할 수 있게 되었지만, 여전히 문제를 겪는 이들도 있으며 X는 아직 상세한 공식 사후 분석을 내놓지 않았습니다. [34]
X가 해킹당한 건가요?
해킹이나 데이터 유출의 공개된 증거는 없습니다. X와 독립 보안 보고 모두 이번 사건의 원인을 실패한 내부 보안 키 이전으로 보고 있으며, 외부 공격이 아니라고 밝혔습니다. [35]
X 계정에서 2FA를 꺼야 하나요?
최후의 수단으로만 권장합니다. 2FA를 끄면 계정이 훨씬 쉽게 침해될 수 있습니다. 보안을 약화시켜야만 접근이 가능하다면, 인증 앱이나 백업 키를 추가한 뒤 X 시스템이 안정되면 강력한 2FA를 다시 켜세요. [36]
11월 13일 현재, 사태는 서서히 진정되고 있지만 사용자 신뢰에 입힌 손상과 이미 논란이 많은 X 리브랜딩에 대한 타격은 장애 자체보다 훨씬 오래갈 수 있습니다.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
