A Meta által létrehozott AI-bot feltörte az Instagram fiókokat, jelentette a szolgáltatás a felhasználóknak.

Kiberattak a Meta AI csevegőboton keresztül: hogyan „rabolták” az Instagram-fiókokat

A múlt hétvégén kiberbűnözők felfedtek egy módszert, amellyel a Meta AI hivatalos támogatási csevegőbotját használva megszerezzék a népszerű Instagram-oldalak irányítását. A sérültek – azok a felhasználók, akiknek rövid, egyedi beceneveik vannak (például @coolcat) – az elérhetőség elvesztését panaszkodták.

Hogyan működik a trükk
1. Kapcsolatfelvétel a bottal

A hacker azt mondja a csevegőbotnak, hogy ő a fiók tulajdonosa, és kérheti, hogy „hozzárendeljék” a saját e-mailjét.

2. Bot végrehajtja a kérést

Az AI anélkül hajtja végre a kérést, hogy további ellenőrzéseket végezne, és az összekapcsolt e-mailt a támadó címére cseréli.

3. Jelszó visszaállítása

Miután az e-mail megváltozott, a hacker visszaállítja a jelszót, és teljes ellenőrzést szerez az oldalon. A fiók tulajdonosa elveszíti a hozzáférést, és e-mailje letiltásra kerül.

Semmilyen részvétel nem volt a Meta vagy partnerei munkatársaiban – mindent automatikusan, AI által végzett.

A cég reakciója
- 1. június: A Meta képviselője, Andy Stone azt nyilatkozta, hogy „a probléma már megoldódott”.

- 2. június: A panaszok száma nőtt. Stone pontosította, hogy egyes felhasználók jelszó-visszaállítási értesítést kapnak, míg mások belépéskor ellenőrzési kérdésekkel találkoznak.

A Meta azonnal megkezdte a sérült fiókok védelmét a bejelentés után, de a feltört profilok pontos száma nem lett nyilvánossá.

Miért volt ez lehetséges
Májusban a Meta elindította az AI csevegőbotot a támogatási szekcióban, és átadta neki néhány korábban csak embereknek fenntartott hatáskörét. Ilyenek közé tartozik a „biztonságos jelszó-visszaállítás” képessége.

Az Instagram rövid beceneveinek piaca már több év óta létezik: az eladók gyűjthető tárgyként kínálják őket. Korábban ilyen fiókok feltörése phishing, telefonhívás elfogása vagy akár belső személyek hitelezése nélkül nem lehetséges volt. Most már elegendő csak a „hideg” AI bot használata.

Kulcsfontosságú tények

- A hackerek a Meta AI csevegőbotját használják az összekapcsolt e-mail módosítására.

- Jelszó visszaállítása után teljes ellenőrzést szereznek az oldalon.

- A Meta 1. júniusra jelentette, hogy megoldották a problémát, de a panaszok a következő nap erősödtek.

- Az AI olyan hatásköröket kapott, amelyek korábban csak emberekhez tartoztak, ami lehetővé tette a támadók számára a hagyományos biztonsági intézkedések megkerülését.