Instagram виправив проблему безпеки облікового запису. За повідомленням TechCrunch, зловмисники могли через наведення на штучний інтелект-бота підтримки Meta додавати нову електронну пошту до чужих облікових записів, що запускало скидання паролю та призводило до захоплення облікових записів.
Кілька користувачів повідомили про взлом їхніх акаунтів
Ця подія викликала увагу на вихідних. На Reddit та X кілька користувачів повідомили, що їхні акаунти були взяті під контроль, серед постраждалих акаунтів — Instagram-акаунт Білого дому часів адміністрації Обами, а також акаунт генерал-сержанта США Космічних сил Джона Бентінвегна. Дослідник безпеки Джейн Вонг також зазначила, що її акаунт був викрадений, а пароль змінено без її відома.
Процес атаки обходить контроль над початковою електронною поштою
Згідно зі звітом, нападники спочатку використовували VPN, щоб приховати місцезнаходження цілі, зменшуючи ймовірність активізації автоматичних систем контролю ризиків платформи. Потім нападники розпочали діалог із Meta AI Support Assistant і запитали додати нову електронну пошту до цільового облікового запису.
У демонстраційному відео робот-служба підтримки надсилає код підтвердження на електронну пошту, надану атакуючим. Потім атакуючий вводить цей код назад у робота, і система відображає кнопку «Скинути пароль». Після цього кроку атакуючий може встановити новий пароль і отримати контроль над обліковим записом.
TechCrunch зазначає, що перевірила електронну пошту, яка була відкрито продемонстрована у відео, і підтвердила, що на цю пошту дійсно надійшов код підтвердження. У процесі атаки зловмиснику не потрібно було спочатку отримати контроль над початковою прив’язаною поштою жертви.
Meta повідомила, що вразливість вже виправлена
Представник Instagram Енді Стоун у понеділок відповів на відповідні пости у соціальній мережі, сказавши, що цю проблему вже виправлено. Однак Meta ще не повідомила, скільки користувачів було вплинуто.
Згідно з відомими даними, цей інцидент виявив, що інструменти AI-підтримки, якщо мають доступ до зміни ключової інформації облікового запису, а процеси верифікації особи недостатні, можуть бути використані для захоплення облікових записів. На момент публікації матеріалу Meta не відповіла на додаткові запити TechCrunch щодо коментарів.