„Meta“ teigia, kad dėl dirbtinio intelekto palaikymo įrankio klaidos buvo atskleista 20 000 „Instagram“ paskyrų

„Meta“ ↘ 4.90% oficialiai atskleidė saugumo incidentą, kurio metu dėl „Instagram“ paskyros atkūrimo įrankio su dirbtiniu intelektu klaidos užpuolikai galėjo perimti daugiau nei 20 000 vartotojų paskyrų, apgaulingai priversdami sistemą siųsti slaptažodžio atkūrimo nuorodas neįgaliotiems el. pašto adresams.

Kaip veikė išnaudojimas

Meino generalinio prokuroro biurui pateiktame pranešime apie duomenų saugumo pažeidimą „Meta“ asocijuotoji generalinė patarėja incidentų reagavimo klausimais Amber Hannah paaiškino, kad pažeidžiamumas buvo įmonės „High Touch Support“ įrankyje – dirbtinio intelekto palaikomoje sistemoje, skirtoje padėti užblokuotiems vartotojams susigrąžinti prieigą prie savo „Instagram“ paskyrų.cybernews+1

Įrankis neatliko patikros, ar slaptažodžio atkūrimo užklausos metu pateiktas el. pašto adresas iš tikrųjų atitinka paskyroje nurodytą adresą. „Kai asmuo pateikdavo el. pašto adresą, kuris anksčiau nebuvo susietas su paskyra, sistema klaidingai išsiųsdavo slaptažodžio atkūrimo nuorodą tuo neįgaliotu el. paštu, užuot atmetusi užklausą“, – rašė Hannah. Užpuolikai, gavę atkūrimo nuorodą, galėjo prisijungti prie bet kurios paskyros, kurioje nebuvo įjungtas dviejų veiksnių autentifikavimas.bleepingcomputer

Remiantis Meino dokumentais, pažeidimas prasidėjo balandžio 17 d., o buvo aptiktas 2026 m. gegužės 31 d. Iš viso nukentėjo 20 225 paskyros. „BleepingComputer“ apie atakas pirmą kartą pranešė birželio 1 d., kai socialiniuose tinkluose pasirodė vartotojų pranešimų banga, o „404 Media“ pranešė, kad įsilaužėliai „Telegram“ kanale paskelbė vaizdo įrašą, kuriame pademonstravo šį išnaudojimo būdą: naudojant VPN šalia taikinio vietos ir tiesiog paprašant „Meta“ dirbtinio intelekto pokalbių roboto susieti naują el. pašto adresą su paskyra.krebsonsecurity+3

Aukšto profilio taikiniai

Atrodė, kad užpuolikai orientavosi į geidžiamus „OG“ vartotojų vardus – trumpus arba žinomus vartotojų vardus. Saugumo žurnalistas Brianas Krebsas pranešė, kad tarp pažeistų paskyrų buvo JAV kosmoso pajėgų vyriausiojo seržanto Johno F. Bentivegna ir Obamos Baltųjų rūmų laikų „Instagram“ paskyra. Už šią kampaniją „Telegram“ kanaluose atsakomybę prisiėmė su Iranu susijusios įsilaužėlių grupės.cybernews+1

„Meta“ atsakas

„Meta“ išjungė HTS įrankį, anuliavo visas jo sugeneruotas slaptažodžio atkūrimo nuorodas ir įtraukė paveiktas paskyras į privalomą saugumo patikrą, reikalaujančią vartotojų iš naujo autentifikuotis. Įmonė teigė planuojanti ištaisyti el. pašto patikros funkciją prieš vėl paleidžiant įrankį ir atlieka panašių atkūrimo procesų peržiūrą visose savo platformose.bleepingcomputer

„Meta“ komunikacijos viceprezidentas Andy Stone'as X tinkle pareiškė, kad „problema išspręsta ir mes užtikriname paveiktų paskyrų saugumą“. Šis išnaudojimo būdas neveikė prieš paskyras, kuriose buvo įjungtas bet koks daugiapakopis autentifikavimas, o tai pabrėžia ilgalaikę saugumo ekspertų rekomendaciją vartotojams aktyvuoti net ir SMS pagrindu veikiančią dviejų veiksnių apsaugą.krebsonsecurity+1