Штучний інтелект, розроблений для допомоги користувачам, став інструментом для масового викрадання облікових записів. Зловмисники обманом змусили чат-бота Meta AI змінити дані власників профілів, обходячи системи безпеки.
Чи може інструмент підтримки стати головною загрозою для безпеки користувача? Хакери використали чат-бота Meta AI Support Assistant для отримання повного контролю над численними акаунтами в Instagram. Цей інцидент доводить, що автоматизація без суворих протоколів перевірки особи створює критичні діри в захисті навіть для відомих осіб.
Основні тези
Зловмисники маніпулювали логікою ШІ, щоб додати свою пошту до чужих профілів.
Атака дозволяла скинути пароль без доступу до оригінальної електронної скриньки власника.
Серед жертв опинилися архівний акаунт Білого дому часів Обами та військові посадовці США.
Раніше повідомлялося, що CrowdStrike та Google знищили ботнет Glassworm, але, як виявилося, хакери живіші всіх живих.
Хакерська схема базувалася на експлуатації довіри між чат-ботом та серверами Meta. Згідно з відеодоказами в мережі X, зловмисники спочатку використовували VPN для підміни геолокації. Після цього вони просили Meta AI Support Assistant додати нову електронну адресу до облікового запису цілі.
Чат-бот, налаштований на максимальну зручність користувача, надсилав код підтвердження на адресу хакера. Після введення цього коду система дозволяла скинути пароль. Зловмисники отримували повний доступ до профілю, ігноруючи двофакторну автентифікацію (MFA) та доступ до основної пошти власника.
Злам акаунтів Instagram – як це сталося?
Чому система дозволила обійти такі базові засоби захисту?
Масштаби атаки підтверджують, що під ударом опинилися як приватні користувачі, так і публічні сторінки. Дослідниця з кібербезпеки Джейн Вонг повідомила про зміну пароля без її відома та численні спроби скидання доступу протягом доби.
Серед постраждалих опинився архівний акаунт Білого дому часів президентства Барака Обами, який не оновлювався з 2017 року.
“Пароль був змінений без мого відома, і я отримувала різні спроби скидання пароля протягом учорашнього дня. Це досить тривожно”, — повідомила Джейн Вонг.
Представник Instagram Енді Стоун заявив у понеділок, що проблему усунуто. Компанія Meta не надала точних даних про кількість постраждалих. Деякі власники зламаних акаунтів зазначають, що не змогли відновити доступ через відсутність можливості зв’язатися з реальним співробітником підтримки.
Злам акаунтів Instagram – чому це важливо
Виникнення такої вразливості зумовлене системним конфліктом між бажанням компаній створити безшовний інтерфейс та необхідністю дотримуватися жорстких стандартів безпеки. Коли адміністративні права передаються автоматизованій системі без належної перевірки вводу користувача, ШІ стає найслабшою ланкою в захисті. Короткостроково це призвело до втрати контролю над сотнями акаунтів, а в довгостроковій перспективі підриває довіру до автоматизованих систем підтримки.
Традиційна двофакторна автентифікація стає марною, якщо зловмисник може переконати систему підтримки, що він є законним власником.
Будь-яка компанія, яка замінює людей на ШІ-агентів у процесах верифікації, створює нову точку входу для соціальної інженерії, де об’єктом маніпуляції стає алгоритм.