Incidentul a fost semnalat pentru prima dată în weekend, când utilizatori de pe Reddit și X (fosta Twitter) au raportat că conturile lor de Instagram au fost preluate fără autorizație. Printre victime se numără contul oficial al Casei Albe din era Obama, care părea inactiv din 2017, și contul sergentului-șef John Bentinvegna al Forțelor Spațiale ale SUA. De asemenea, cercetătoarea în securitate Jane Wong a confirmat că propriul ei cont a fost compromis. „Parola a fost schimbată fără știrea mea și am primit diferite încercări de resetare a parolei pe parcursul zilei de ieri,” a declarat Wong. „Este destul de îngrijorător.”
Metoda de atac, detaliată într-un videoclip postat pe X, relevă o vulnerabilitate critică în sistemul de suport al Meta. Hackerul a folosit o rețea VPN pentru a falsifica locația țintei, evitând astfel declanșarea măsurilor automate de protecție ale Instagram. Apoi, atacatorul a deschis o conversație cu Meta AI Support Assistant și a cerut chatbot-ului să adauge o nouă adresă de e-mail la contul victimei. În mod surprinzător, chatbot-ul a trimis un cod de verificare la adresa de e-mail furnizată de hacker, iar acesta a partajat codul înapoi cu chatbot-ul. Ca răspuns, chatbot-ul a afișat un buton „Resetează parola”, permițând hackerului să introducă o nouă parolă și să preia controlul asupra contului.
TechCrunch a reușit să verifice că adresa de e-mail publică a hackerului, afișată în videoclip, a primit efectiv codul de verificare. Atacul s-a bazat pe faptul că hackerul nu a trebuit să preia controlul asupra adresei de e-mail legitime asociate contului Instagram al victimei. Aceasta este o breșă majoră, deoarece arată că sistemul de suport AI al Meta poate fi manipulat pentru a ocoli procesele standard de securitate.
Luni, purtătorul de cuvânt al Instagram, Andy Stone, a răspuns la postările lui Wong și ale altora, confirmând că problema a fost rezolvată. Cu toate acestea, nu este clar câți utilizatori Instagram au fost afectați de această vulnerabilitate. Incidentul ridică întrebări serioase cu privire la securitatea sistemelor de suport bazate pe inteligență artificială și la capacitatea acestora de a distinge între cererile legitime și cele malițioase.
Deși Meta a remediat rapid problema, acest caz subliniază necesitatea unei supravegheri umane constante în procesele de securitate cibernetică. Chatbot-urile AI, deși eficiente în gestionarea cererilor de rutină, pot fi păcălite de actori pricepuți care exploatează lacune în logica lor. În plus, utilizarea VPN-urilor pentru a falsifica locația și a evita măsurile de protecție arată că hackerii sunt din ce în ce mai sofisticați în abordările lor.
Pentru utilizatorii de Instagram, acest incident servește ca un avertisment cu privire la importanța securizării conturilor cu autentificare în doi factori (2FA) și a monitorizării atente a activităților suspecte. De asemenea, subliniază necesitatea ca platformele de social media să își actualizeze constant protocoalele de securitate pentru a face față amenințărilor emergente.
În concluzie, deși Meta a acționat rapid pentru a remedia această vulnerabilitate, incidentul evidențiază o problemă mai amplă: integrarea AI în serviciile de suport trebuie să fie însoțită de măsuri de securitate robuste și de o monitorizare atentă. Pe măsură ce inteligența artificială devine mai prezentă în viața noastră de zi cu zi, este esențial să ne asigurăm că aceste sisteme nu devin puncte slabe care pot fi exploatate de actori rău intenționați.
