Meta segir galla í stuðningstól gervigreindar hafa afhjúpað 20.000 Instagram-reikninga

Meta greindi frá því að 20.225 Instagram-reikningar hafi verið komnir í hendur óviðkomandi aðila eftir að "High Touch Support" tól fyrirtækisins, sem byggir á gervigreind, mistókst að staðfesta netföng við endurstillingu lykilorða.cybernews+1
Brotist var inn í kerfið 17. apríl og það uppgötvaðist 31. maí; skotmörkin voru meðal annars eftirsóttir "OG"-notendanöfn eins og Instagram-reikningur Hvíta hússins á tímum Obama, samkvæmt Krebs on Security.krebsonsecurity
Meta hefur gert endurstillingartólið óvirkt, ógilt alla myndaða endurstillingartengla og segir að reikningar með hvers kyns tveggja þátta auðkenningu hafi ekki orðið fyrir áhrifum.bleepingcomputer+1

Meta hefur formlega greint frá öryggisatviki þar sem galli í tól fyrirtækisins til endurheimtar á Instagram-reikningum, sem byggir á gervigreind, gerði árásarmönnum kleift að ræna yfir 20.000 notendareikningum með því að blekkja kerfið til að senda tengla fyrir endurstillingu lykilorða á óviðkomandi netföng.

Hvernig árásin virkaði

Í bréfi um gagnabrot sem sent var til skrifstofu ríkissaksóknara í Maine, útskýrði Amber Hannah, lögfræðingur hjá Meta sem sér um viðbrögð við öryggisatvikum, að veikleikinn væri í "High Touch Support" tóli fyrirtækisins. Það er kerfi sem notar gervigreind til að hjálpa notendum sem læstust úti að endurheimta aðgang að Instagram-reikningum sínum.cybernews+1

Tólið mistókst að staðfesta hvort netfangið sem gefið var upp við beiðni um endurstillingu lykilorðs væri í raun það sama og skráð var á reikninginn. "Þegar einstaklingur gaf upp netfang sem ekki var áður tengt reikningnum, sendi kerfið ranglega tengil fyrir endurstillingu lykilorðs á það ótengda netfang í stað þess að hafna beiðninni," skrifaði Hannah. Árásarmenn sem fengu endurstillingartengilinn gátu síðan skráð sig inn á hvaða reikning sem er sem var ekki með tveggja þátta auðkenningu virka.bleepingcomputer

Samkvæmt gögnum frá Maine hófst brotið 17. apríl og uppgötvaðist 31. maí 2026. Alls urðu 20.225 reikningar fyrir áhrifum. BleepingComputer greindi fyrst frá árásunum 1. júní eftir að fjöldi notenda tilkynnti um vandamálið á samfélagsmiðlum, og 404 Media greindi frá því að tölvuþrjótar hefðu birt myndband á Telegram þar sem þeir sýndu hvernig árásin virkaði. Hún fólst í því að nota VPN nálægt staðsetningu fórnarlambsins og biðja gervigreind spjallmenni Meta einfaldlega um að tengja nýtt netfang við reikninginn.krebsonsecurity+3

Áberandi skotmörk

Árásarmennirnir virtust einbeita sér að eftirsóttum "OG"-notendanöfnum — stuttum eða áberandi notendanöfnum. Öryggisblaðamaðurinn Brian Krebs greindi frá því að meðal reikninga sem brotist var inn á væri reikningur sem tilheyrði yfirforingja geimhers Bandaríkjanna, John F. Bentivegna, og Instagram-reikningur Hvíta hússins frá tímum Obama. Írans-hliðhollir tölvuþrjótahópar lýstu yfir ábyrgð á herferðinni á Telegram-rásum.cybernews+1

Viðbrögð Meta

Meta hefur gert HTS-tólið óvirkt, ógilt alla tengla fyrir endurstillingu lykilorða sem það hafði myndað og sett viðkomandi reikninga í skyldubundið öryggiseftirlit sem krefst þess að notendur auðkenni sig aftur. Fyrirtækið sagðist ætla að laga staðfestingu netfanga áður en tólið verður opnað aftur og er að fara yfir svipaða endurheimtarferla á öllum kerfum sínum.bleepingcomputer

Andy Stone, varaforseti samskiptasviðs Meta, sagði á X að "vandamálið hefur verið leyst og við erum að tryggja öryggi þeirra reikninga sem urðu fyrir áhrifum". Árásin virkaði ekki gegn reikningum sem voru með hvers kyns fjölþátta auðkenningu virka, sem undirstrikar þá ráðleggingu öryggissérfræðinga til langs tíma að notendur ættu að virkja jafnvel tveggja þátta vernd sem byggir á SMS.krebsonsecurity+1

Heimildir (15)