Instagram telah memperbaiki masalah keselamatan akaun. Menurut laporan TechCrunch, penyerang pernah boleh memicu bot perkhidmatan pelanggan AI Meta untuk menambah alamat emel baharu ke akaun orang lain, serta memicu set semula kata laluan, akhirnya menguasai akaun tersebut.
Beberapa pengguna melaporkan akaun mereka telah diserang
Peristiwa ini menarik perhatian pada hujung minggu. Beberapa pengguna di Reddit dan X melaporkan bahawa akaun mereka telah disusupi, termasuk akaun Instagram White House semasa pentadbiran Obama, serta akaun Jeneral Sarjan Besar Tentera Angkasa Amerika Syarikat, John Bentinvegna. Penyelidik keselamatan Jane Wong juga menyatakan bahawa akaunnya telah diubah kata laluan dan diambil alih tanpa pengetahuannya.
Proses serangan memintas kawalan e-mel asal
Laporan menunjukkan bahawa penyerang terlebih dahulu menyamar lokasi sasaran melalui VPN untuk mengurangkan kemungkinan sistem pengurusan risiko automatik platform terpicu. Selepas itu, penyerang memulakan perbualan dengan Meta AI Support Assistant, meminta untuk menambahkan alamat emel baru ke akaun sasaran.
Dalam video demonstrasi, bot perkhidmatan pelanggan akan menghantar kod pengesahan ke alamat e-mel yang diberikan oleh penyerang. Penyerang kemudian memasukkan semula kod pengesahan ke dalam bot, dan sistem akan menunjukkan butang "Tetapkan semula kata laluan". Selepas menyelesaikan langkah ini, penyerang boleh menetapkan kata laluan baharu dan mengambil kawalan atas akaun.
TechCrunch menyatakan bahawa mereka telah mengesahkan e-mel yang dipaparkan secara terbuka dalam video, dan mengesahkan bahawa e-mel tersebut memang menerima kod pengesahan. Sepanjang proses ini, penyerang tidak perlu menguasai e-mel asal yang dikaitkan dengan mangsa.
Meta mengatakan lubang keamanan telah diperbaiki
Seorang jurucakap Instagram, Andy Stone, menanggapi post terkait pada hari Isnin bahawa isu tersebut telah diperbaiki. Namun, Meta belum mengumumkan berapa banyak pengguna yang terjejas.
Dari maklumat yang telah diumumkan, insiden ini menunjukkan bahawa alat pelanggan AI, apabila diberi kuasa untuk mengubah maklumat penting akaun, boleh digunakan untuk mengambil alih akaun jika proses pengesahan identiti tidak mencukupi. Meta tidak segera menanggapi permintaan ulasan tambahan daripada TechCrunch pada masa pengeluaran laporan ini.