Instagram, bir hesap güvenliği sorununu giderdi. TechCrunch'a göre, saldırganlar bir zamanlar Meta'nın AI müşteri hizmetleri robotunu kandırarak başkalarının hesaplarına yeni e-posta adresleri ekleyebiliyor ve bu da şifre sıfırlamayı tetikleyerek hesapları ele geçirmeye olanak tanıyordu.
Birden fazla kullanıcı, hesaplarının ele geçirildiğini bildirdi.
Bu olay hafta sonu dikkat çekti. Reddit ve X'te birçok kullanıcı, hesaplarının ele geçirildiğini bildirdi; etkilenen hesaplar arasında Obama yönetimi döneminde Beyaz Saray'ın Instagram hesabı ve ABD Uzay Kuvvetleri Baş Çavuşu John Bentinvegna'nın hesabı da yer aldı. Güvenlik araştırmacısı Jane Wong da, hesabının kendi bilgisi dışında şifresi değiştirilip ele geçirildiğini belirtti.
Saldırı akışı orijinal e-posta kontrolünü atlar
Raporlara göre, saldırgan önce platformun otomatik güvenlik sistemlerinin tetiklenme olasılığını azaltmak için VPN kullanarak hedefin konumunu gizledi. Daha sonra, saldırgan Meta AI Support Assistant ile iletişim kurarak hedef hesaba yeni bir e-posta adresi eklemeyi talep etti.
Gösteri videosunda, müşteri hizmetleri botu, saldırganın sağladığı e-postaya doğrulama kodu gönderir. Saldırgan, doğrulama kodunu bot'a geri girer ve sistem ardından "Şifreyi sıfırla" butonunu görüntüler. Bu adım tamamlandıktan sonra, saldırgan yeni bir şifre belirleyebilir ve hesap kontrolünü ele geçirebilir.
TechCrunch, videoda açıkça gösterilen e-posta adresini doğruladı ve bu e-posta adresinin gerçekten doğrulama kodunu aldığını tespit etti. Tüm süreçte, saldırganın ilk olarak kurbanın orijinal e-posta adresini kontrol etmesine gerek yoktu.
Meta, güvenlik açığını düzeltti
Instagram sözcüsü Andy Stone, Pazartesi günü sosyal medyada ilgili gönderilere yanıt vererek sorunun düzeltildiğini belirtti. Ancak Meta, etkilenen kullanıcı sayısını henüz açıklamadı.
Açıklanan bilgilere göre, bu olay, AI müşteri hizmetleri aracının hesap kritik bilgilerini değiştirme yetkisine sahip olduğunda ve kimlik doğrulama süreçleri yetersiz olduğunda hesap ele geçirme amacıyla kullanılabileceğini ortaya koymaktadır. Meta, haberin yayımlanma anına kadar TechCrunch’un ek yorum isteğine yanıt vermemiştir.