Хакеры похищали аккаунты Instagram через чат-бот поддержки Meta AI

Социальная сеть Instagram от компании Meta устранила проблему безопасности, которая позволяла злоумышленникам захватывать чужие аккаунты с помощью чат-бота поддержки с искусственным интеллектом Meta AI. Для осуществления атаки хакерам не нужно было получать доступ к электронной почте, привязанной к учетной записи пользователя, они должны были лишь сбросить пароль, передает TechCrunch.

О серии похищений аккаунтов в течение выходных сообщали пользователи Reddit и X. Среди пострадавших оказались как обычные пользователи, так и публичные аккаунты, в частности страница Белого дома времен администрации Барака Обамы и аккаунт главного мастер-сержанта Космических сил США Джона Бентивеньи. О захвате аккаунта хакерами также заявила исследовательница кибербезопасности Джейн Вонг.

"Пароль изменили без моего ведома, и я получала различные сообщения о попытках сбросить пароль в течение вчерашнего дня. И я неоднократно выходила из приложения. Довольно тревожно", — отметила Вонг.

По данным TechCrunch, схема атаки использовала чат-бот поддержки Meta AI. Опубликованное в X видео демонстрировало процесс, во время которого хакер сначала менял свое виртуальное местонахождение с помощью VPN, а затем обращался к чат-боту с просьбой добавить новый электронный адрес в учетную запись жертвы.

После этого бот отправлял код подтверждения на электронную почту, которую контролировал злоумышленник. Получив код, хакер передавал его чат-боту, после чего система предоставляла возможность сбросить пароль и установить новый.

Журналисты TechCrunch проверили описанный механизм и подтвердили, что указанный в видео электронный ящик действительно получал коды подтверждения от Instagram. При этом злоумышленникам не нужно было получать доступ к почте, которая была привязана к аккаунту жертвы.

Представитель Instagram Энди Стоун 1 июня сообщил, что проблему уже устранили. Компания не раскрыла, сколько именно пользователей могли пострадать от этой уязвимости и сколько аккаунтов скомпрометировали.

Недавно злоумышленникизаявили о продаже масштабной базы данных пользователей платформы OnlyFans, которая якобы содержит около 340 миллионов записей. В компании назвали утверждения об утечке ложными.