Instagram устранил проблему с безопасностью аккаунтов. Согласно сообщению TechCrunch, злоумышленники временно могли добавлять новые адреса электронной почты к аккаунтам других пользователей, обманув AI-чат-бота Meta, и далее инициировать сброс пароля, чтобы полностью взять контроль над аккаунтом.
Несколько пользователей сообщили о взломе своих аккаунтов
Этот инцидент вызвал внимание на выходных. Несколько пользователей на Reddit и X сообщили, что их аккаунты были взломаны, включая аккаунт Instagram Белого дома периода администрации Обамы и аккаунт главного сержанта Воздушных сил США Джона Бентиневгна. Также исследователь безопасности Джейн Вонг сообщила, что её аккаунт был взят под контроль и изменён пароль без её ведома.
Процесс атаки обходит контроль исходной электронной почты
Согласно отчету, злоумышленники сначала использовали VPN, чтобы маскировать местоположение цели, снижая вероятность срабатывания автоматических систем контроля рисков платформы. Затем злоумышленники начали диалог с Meta AI Support Assistant и запросили добавление нового адреса электронной почты для целевого аккаунта.
В демонстрационном видео робот-служба поддержки отправляет код подтверждения на электронную почту, предоставленную злоумышленником. Злоумышленник затем вводит этот код обратно в робота, после чего система отображает кнопку «Сбросить пароль». После выполнения этого шага злоумышленник может установить новый пароль и получить контроль над аккаунтом.
TechCrunch сообщила, что проверила электронную почту, демонстрируемую в видео, и подтвердила, что на нее действительно приходил код подтверждения. В ходе всего процесса злоумышленнику не требовалось сначала получать контроль над исходной электронной почтой жертвы.
Meta сообщает, что уязвимость устранена
Представитель Instagram Энди Стоун в понедельник ответил на соответствующие посты в социальной сети, заявив, что проблема уже устранена. Однако Meta пока не сообщила, сколько пользователей пострадало.
Из уже раскрытых данных следует, что это событие выявило, что инструменты AI-поддержки, имеющие доступ к изменению ключевой информации аккаунта, могут быть использованы для захвата аккаунтов при недостаточной проверке личности. На момент публикации статьи Meta не ответила на дополнительный запрос TechCrunch о комментариях.