ইনস্টাগ্রাম একটি অ্যাকাউন্ট নিরাপত্তা সমস্যা সমাধান করেছে। টেকক্রাঞ্চের প্রতিবেদন অনুযায়ী, আক্রমণকারীরা মেটা এআই কাস্টমার সাপোর্ট বটকে প্রলোভন দিয়ে অন্যের অ্যাকাউন্টে নতুন ইমেইল ঠিকানা যোগ করতে পারত এবং তা থেকে পাসওয়ার্ড রিসেট ট্রিগার করে অ্যাকাউন্ট দখল করতে পারত।
অনেক ব্যবহারকারী জানিয়েছেন যে তাদের অ্যাকাউন্ট হ্যাক করা হয়েছে
এই ঘটনাটি সপ্তাহান্তে মনোযোগ আকর্ষণ করে। রেডিট এবং এক্স-এ অনেক ব্যবহারকারী তাদের অ্যাকাউন্ট হ্যাক করা হয়েছে বলে জানিয়েছেন, যার মধ্যে অবামা প্রশাসনের সময়ের সাদা বাড়ির ইনস্টাগ্রাম অ্যাকাউন্ট এবং মার্কিন স্পেস ফোর্সের চিফ মাস্টার সার্জেন্ট জন বেনটিভেগনার অ্যাকাউন্টও অন্তর্ভুক্ত। সিকিউরিটি গবেষক জেন ওংও জানিয়েছেন যে, তার অ্যাকাউন্টটি তিনি জানতেন না এমনভাবে পাসওয়ার্ড পরিবর্তন এবং নিয়ন্ত্রণহীন হয়েছিল।
আক্রমণ প্রক্রিয়াটি মূল ইমেইল নিয়ন্ত্রণ এড়িয়ে যায়
প্রতিবেদন অনুসারে, আক্রমণকারীরা প্রথমে ভিপিএন ব্যবহার করে লক্ষ্যের অবস্থান ছুটিয়ে দেয়, যাতে প্ল্যাটফর্মের স্বয়ংক্রিয় রিস্ক কন্ট্রোল ট্রিগার হওয়ার সম্ভাবনা কমে যায়। তারপর, আক্রমণকারীরা মেটা এআই সাপোর্ট অসিসটেন্টের সাথে কথোপকথন শুরু করে লক্ষ্য অ্যাকাউন্টের জন্য একটি নতুন ইমেইল ঠিকানা যোগ করার অনুরোধ জানায়।
প্রদর্শনী ভিডিওতে, কাস্টমার সাপোর্ট বটটি হামলাকারীর প্রদত্ত ইমেইলে ভেরিফিকেশন কোড পাঠায়। তারপর হামলাকারী বটের কাছে ভেরিফিকেশন কোডটি ফিরিয়ে দেয়, যার ফলে সিস্টেমে “পাসওয়ার্ড রিসেট” বোতামটি দেখা যায়। এই ধাপটি সম্পন্ন হওয়ার পর, হামলাকারী নতুন পাসওয়ার্ড সেট করতে পারে এবং অ্যাকাউন্টের নিয়ন্ত্রণ অর্জন করে।
টেকক্রঞ্চ বলেছে যে তারা ভিডিওতে প্রকাশ্যে দেখানো ইমেইলটি যাচাই করেছে এবং নিশ্চিত করেছে যে সেই ইমেইলটিতে বারিফিকেশন কোডটি প্রাপ্ত হয়েছে। পুরো প্রক্রিয়ায়, আক্রমণকারীকে বিক্রেতার মূল বাঁধা ইমেইলটি নিয়ন্ত্রণের প্রয়োজন হয়নি।
মেটা বলেছে যে দুর্বলতাটি ঠিক করে দেওয়া হয়েছে
ইনস্টাগ্রামের প্রতিনিধি এ্যান্ডি স্টোন সোশ্যাল মিডিয়ায় সংশ্লিষ্ট পোস্টের উত্তরে বলেন যে এই সমস্যাটি সমাধান করা হয়েছে। তবে, মেটা এখনও বলেননি যে কতজন ব্যবহারকারী প্রভাবিত হয়েছিলেন।
প্রকাশিত তথ্য অনুযায়ী, এই ঘটনাটি প্রকাশ করে যে যদি AI কাস্টমার সার্ভিস টুলগুলির অ্যাকাউন্টের গুরুত্বপূর্ণ তথ্য পরিবর্তনের অনুমতি থাকে এবং পরিচয় যাচাইয়ের প্রক্রিয়া অপর্যাপ্ত হয়, তবে এটি অ্যাকাউন্ট হ্যাকের জন্য ব্যবহার করা যেতে পারে। প্রতিবেদনটি প্রকাশের সময় পর্যন্ত Meta TechCrunch-এর আরও মন্তব্যের জন্য প্রতিক্রিয়া দেয়নি।