Instagram đã khắc phục một vấn đề bảo mật tài khoản. Theo báo cáo của TechCrunch, kẻ tấn công từng có thể lừa giao diện AI hỗ trợ khách hàng của Meta để thêm địa chỉ email mới vào tài khoản của người khác, từ đó kích hoạt quá trình đặt lại mật khẩu và chiếm quyền kiểm soát tài khoản.
Nhiều người dùng báo cáo tài khoản bị xâm nhập
Sự kiện này đã thu hút sự chú ý vào cuối tuần. Nhiều người dùng trên Reddit và X cho biết tài khoản của họ bị xâm nhập, bao gồm cả tài khoản Instagram của Nhà Trắng thời chính quyền Obama và tài khoản của Tổng quân sĩ trưởng Không gian Hoa Kỳ, John Bentinvegna. Nhà nghiên cứu bảo mật Jane Wong cũng cho biết tài khoản của cô đã bị thay đổi mật khẩu và chiếm quyền kiểm soát mà không có sự đồng ý của cô.
Quy trình tấn công vượt qua quyền kiểm soát email gốc
Báo cáo cho thấy, kẻ tấn công ban đầu đã sử dụng VPN để giả mạo vị trí mục tiêu, nhằm giảm xác suất kích hoạt hệ thống kiểm soát rủi ro tự động của nền tảng. Sau đó, kẻ tấn công đã bắt đầu cuộc hội thoại với Meta AI Support Assistant, yêu cầu thêm một địa chỉ email mới vào tài khoản mục tiêu.
Trong video hướng dẫn, robot hỗ trợ sẽ gửi mã xác minh đến địa chỉ email do kẻ tấn công cung cấp. Kẻ tấn công sau đó nhập lại mã xác minh vào robot, hệ thống sẽ hiển thị nút “Đặt lại mật khẩu”. Sau khi hoàn thành bước này, kẻ tấn công có thể thiết lập mật khẩu mới và chiếm quyền kiểm soát tài khoản.
TechCrunch cho biết họ đã xác minh địa chỉ email được công khai trong video và xác nhận rằng địa chỉ email đó thực sự đã nhận được mã xác minh. Trong suốt quá trình này, kẻ tấn công không cần phải kiểm soát trước địa chỉ email ban đầu được liên kết với nạn nhân.
Meta cho biết lỗ hổng đã được khắc phục
Người phát ngôn của Instagram, Andy Stone, đã trả lời các bài đăng liên quan trên nền tảng mạng xã hội vào thứ Hai rằng vấn đề này đã được khắc phục. Tuy nhiên, Meta chưa tiết lộ có bao nhiêu người dùng bị ảnh hưởng.
Từ những thông tin đã được tiết lộ, sự việc này phơi bày rằng công cụ AI hỗ trợ khách hàng, nếu được cấp quyền chỉnh sửa thông tin quan trọng của tài khoản và quy trình xác minh danh tính không đầy đủ, có thể bị lợi dụng để chiếm đoạt tài khoản. Tính đến thời điểm bài viết được đăng tải, Meta chưa phản hồi ngay lập tức yêu cầu bình luận thêm từ TechCrunch.