Було достатньо просто попросити. ШІ-чатбот Meta дозволяв хакерам привласнювати акаунти Instagram

Про проблему першим повідомило видання 404 Media. У відео, опублікованому в Telegram, хакер продемонстрував, як за допомогою чатбота підтримки Meta можна змінити електронну адресу, прив’язану до чужого акаунта, а потім змінити пароль.

Читайте также: Monobank, ПриватБанк, Viber та інші сервіси лягли через масштабний цифровий збій: що відомо

У Meta заявили, що вразливість уже усунули. Інцидент стався приблизно в той самий час, коли був зламаний Instagram-акаунт Білого дому часів президента Барака Обами. Користувачі помітили, що на сторінці @obamawhitehouse почали з’являтися зображення з іранською пропагандою.

За даними 404 Media, хакери також могли отримати доступ до акаунтів, пов’язаних із Головним сержантом Космічних сил США та косметичним ритейлером Sephora.

Meta запустила свого ШІ-помічника для підтримки користувачів у березні. Сервіс мав допомагати зі скиданням паролів, налаштуванням двофакторної автентифікації та відновленням доступу до акаунтів.

У відео хакер попросив чатбота прив’язати нову електронну адресу до облікового запису. Після цього ШІ надіслав код підтвердження на вказану пошту. Отримавши код, зловмисник підтверджував нову адресу та встановлював власний пароль.

Читайте также: Сын Нарика: биография, личная жизнь и карьера

Деякі хакери використовували VPN, щоб приховати своє реальне місцеперебування та видавати себе за користувачів із того самого регіону, що й власник акаунта. Зловмисники переважно полювали на цінні короткі імена користувачів, наприклад акаунти з однієї літери або простого слова.

Дослідниця безпеки та реверс-інженерка Джейн Манчун Вонг також повідомила, що її акаунт був захоплений. За її словами, пароль змінили без її відома, протягом дня вона отримувала численні запити на скидання пароля, а додаток Instagram на iPhone неодноразово примусово виходив із її облікового запису.

У відповідь на запити журналістів Meta послалася на заяву керівника комунікацій компанії Енді Стоуна. Він повідомив, що проблему вже вирішено, а компанія працює над захистом акаунтів, які могли постраждати.

Автор розсилки The Pragmatic Engineer Гергелі Орош заявив, що останніми тижнями команда Instagram, яка відповідає за довіру та безпеку користувачів, суттєво скоротилася через звільнення та переведення співробітників на інші завдання, зокрема пов’язані з ШІ. За його словами, атака не була складною, а проблема могла виникнути через надмірне використання штучного інтелекту в сервісах компанії та недостатню увагу до питань безпеки.

Читайте также: Після критики за таємне завантаження 4 ГБ моделі у Chrome з’явиться кнопка вимкнення Gemini