Instagram ने एक खाता सुरक्षा समस्या को ठीक कर दिया है। TechCrunch की रिपोर्ट के अनुसार, हमलावरों ने अस्थायी रूप से Meta के AI कस्टमर सपोर्ट बॉट को धोखा देकर दूसरे खातों पर नए ईमेल पते जोड़े और इससे पासवर्ड रीसेट की प्रक्रिया शुरू कर दी, जिससे वे खातों पर कब्जा कर सकते थे।
Multiple users reported that their accounts were compromised.
इस घटना ने अंतिम सप्ताहांत में ध्यान आकर्षित किया। Reddit और X पर कई उपयोगकर्ताओं ने दावा किया कि उनके खाते हैक हो गए हैं, जिनमें ओबामा प्रशासन के समय व्हाइट हाउस का Instagram खाता और अमेरिकी स्पेस फोर्स के सर्वोच्च सैनिक जॉन बेंटिनवेग्ना का खाता शामिल है। सुरक्षा शोधकर्ता जेन वोंग ने भी कहा कि उनका खाता उनकी अनुमति के बिना पासवर्ड बदलकर हथिया लिया गया था।
Attack flow bypasses original email control
रिपोर्ट के अनुसार, हमलावर ने पहले VPN का उपयोग करके लक्ष्य के स्थान को छिपाया, ताकि प्लेटफॉर्म के स्वचालित रिस्क कंट्रोल को ट्रिगर करने की संभावना कम हो। इसके बाद, हमलावर ने Meta AI Support Assistant के साथ बातचीत शुरू की और लक्ष्य खाते के लिए एक नया ईमेल पता जोड़ने का अनुरोध किया।
डेमो वीडियो में, कस्टमर सर्विस रोबोट वेरिफिकेशन कोड को हमलावर द्वारा प्रदान किए गए ईमेल पर भेजता है। हमलावर फिर वेरिफिकेशन कोड को रोबोट में वापस भरता है, और सिस्टम में "पासवर्ड रीसेट" बटन दिखाई देता है। इस चरण को पूरा करने के बाद, हमलावर नया पासवर्ड सेट कर सकता है और खाते पर नियंत्रण प्राप्त कर सकता है।
टेकक्रंच ने वीडियो में प्रदर्शित ईमेल की पुष्टि की है, जिसमें पुष्टि कोड प्राप्त हुआ है। पूरी प्रक्रिया में, हमलावर को शुरू में पीड़ित के मूल ईमेल से नियंत्रण प्राप्त करने की आवश्यकता नहीं थी।
Meta ने कहा कि दरार को ठीक कर दिया गया है
इंस्टाग्राम के प्रवक्ता एंडी स्टोन ने सोशल मीडिया पर संबंधित पोस्ट का जवाब देते हुए कहा कि यह समस्या ठीक कर दी गई है। हालांकि, मेटा ने अभी तक यह नहीं बताया है कि कितने उपयोगकर्ता प्रभावित हुए हैं।
प्रकाशित जानकारी के अनुसार, यह घटना दर्शाती है कि यदि AI कस्टमर सर्विस टूल को खाते की महत्वपूर्ण जानकारी बदलने का अधिकार है और पहचान सत्यापन प्रक्रिया पर्याप्त नहीं है, तो इसका उपयोग खाते पर कब्जा करने के लिए किया जा सकता है। रिपोर्ट के प्रकाशन तक, मेटा ने TechCrunch के अतिरिक्ट टिप्पणी के अनुरोध का तुरंत प्रतिक्रिया नहीं दी।