Хакеры обошли защиту поддержки Meta* и захватили тысячи аккаунтов в Instagram*

Злоумышленники нашли уязвимость в работе службы поддержки на базе искусственного интеллекта и получили доступ к множеству учетных записей, включая профили государственных ведомств США и известных специалистов по кибербезопасности.

Простой метод обхода ИИ-защиты

По словам обозревателей, метод взлома оказался предельно простым. Для получения контроля над чужими профилями хакерам не потребовались сложные технические инструменты.

• Злоумышленники инициировали стандартную процедуру сброса пароля.
• При выборе способа восстановления они запрашивали помощь ИИ-ассистента службы поддержки Meta*.
• Хакеры просили чат-бота привязать к аккаунту новый адрес электронной почты.
• Инструмент выполнял этот запрос без дополнительной проверки авторизации.
• После этого ИИ отправлял код подтверждения на новую почту, с помощью которого злоумышленники меняли пароль и автоматически выходили из аккаунта на всех устройствах прежнего владельца.

Масштаб инцидента

В отчетах экспертов отмечается, что в общей сложности было скомпрометировано около 20 225 учетных записей Instagram*. Среди пострадавших оказались архивный аккаунт Белого дома времен администрации Барака Обамы, профиль главы штаба Космических сил США Джона Бентивегньи, а также страница исследователя безопасности Джейн Вонг.

В результате атаки в руки хакеров могли попасть личные сообщения, контактные данные, даты рождения и история активности пользователей.

Реакция платформы

В обзоре ситуации сообщается, что компания Meta* временно отключила уязвимую функцию поддержки и пообещала вернуть ее только после доработки механизмов безопасности. Все созданные в ходе атаки ссылки для сброса паролей аннулированы, а пострадавшие пользователи получили уведомления о принудительном сбросе учетных данных.

* — деятельность компании запрещена на территории РФ

Твитнуть