Хакери викрадали акаунти Instagram через чат-бот підтримки Meta AI

Соціальна мережа Instagram від компанії Meta усунула проблему безпеки, яка дозволяла зловмисникам захоплювати чужі акаунти за допомогою чат-бота підтримки зі штучним інтелектом Meta AI. Для здійснення атаки хакерам не потрібно було отримувати доступ до електронної пошти, прив'язаної до облікового запису користувача, вони мали лише скинути пароль, передає TechCrunch.

Про серію викрадень акаунтів протягом вихідних повідомляли користувачі Reddit та X. Серед постраждалих опинилися як звичайні користувачі, так і публічні акаунти, зокрема сторінка Білого дому часів адміністрації Барака Обами та акаунт головного майстер-сержанта Космічних сил США Джона Бентивеньї. Про захоплення акаунта хакерами також заявила дослідниця кібербезпеки Джейн Вонг.

“Пароль змінили без мого відома, і я отримувала різні повідомлення про спроби скинути пароль протягом вчорашнього дня. І я неодноразово виходила із застосунку. Досить тривожно”, — зазначила Вонг.

За даними TechCrunch, схема атаки використовувала чат-бот підтримки Meta AI. Опубліковане в X відео демонструвало процес, під час якого хакер спочатку змінював своє віртуальне місцезнаходження за допомогою VPN, а потім звертався до чат-бота з проханням додати нову електронну адресу до облікового запису жертви.

Після цього бот надсилав код підтвердження на електронну пошту, яку контролював зловмисник. Отримавши код, хакер передавав його чат-боту, після чого система надавала можливість скинути пароль та встановити новий.

Журналісти TechCrunch перевірили описаний механізм і підтвердили, що вказана у відео електронна скринька справді отримувала коди підтвердження від Instagram. Водночас зловмисникам не потрібно було отримувати доступ до пошти, яка була прив'язана до акаунта жертви.

Представник Instagram Енді Стоун 1 червня повідомив, що проблему вже усунули. Компанія не розкрила, скільки саме користувачів могли постраждати від цієї вразливості та скільки акаунтів скомпрометували.

Нещодавно зловмисники заявили про продаж масштабної бази даних користувачів платформи OnlyFans, яка нібито містить близько 340 мільйонів записів. У компанії назвали твердження про витік неправдивими.