Meta AI podrška postala saučesnik hakera: jedna rečenica i mogu vam hakovati Instagram nalog

Meta AI chatbot za korisničku podršku, zamišljen kao pomoć pri vraćanju pristupa nalogu, resetovanju lozinke i uključivanju dvofaktorske zaštite, iskorišćen je kao alat za napad na Instagram naloge. Slučaj je izazvao veliku pažnju jer, prema dostupnim informacijama, napadačima nije bilo potrebno posebno napredno tehničko znanje.

Problem se pojavio nakon što je Meta u martu šire uvela AI korisničku podršku. Sistem je trebalo da ubrza rešavanje problema korisnika, ali je u praksi navodno omogućio zloupotrebu u procesu promene povezane e-mail adrese.

Meta AI podrška stvorila opasan bezbednosni propust

Na snimcima koji su se pojavili na internetu vidi se jednostavan scenario. Napadač od Meta AI podrške traži da poveže novu e-mail adresu sa nalogom i pošalje verifikacioni kod. Umesto da strogo proveri da li zahtev zaista dolazi od vlasnika naloga, sistem je kod slao na adresu koju je naveo napadač.

Kada bi dobio kod, napadač je mogao da završi proveru e-mail adrese, zatim resetuje lozinku i zaključa pravog vlasnika van njegovog Instagram naloga. Pojedini napadači koristili su i VPN kako bi prikrili lokaciju i naveli sistem da pomisli da se nalaze u istoj oblasti kao žrtva.

Pre nego što je propust javno otkriven, više poznatih Instagram naloga već je bilo hakovano. Među njima se pominju arhivski nalog Bele kuće iz perioda administracije Baraka Obame i nalog John Bentivegna, glavnog podoficira Američkih svemirskih snaga.

Najveći problem je u tome što je Meta AI podrška, prema navodima, izvršavala rizične izmene bez dovoljno jake provere identiteta. To znači da napadači nisu morali da razbijaju lozinke niti da direktno upadaju u sistem, već su mogli da iskoriste samu podršku kao najlakši put do kontrole naloga.

Meta je nakon objave slučaja saopštila da je propust ispravljen i da kompanija radi na zaštiti pogođenih naloga. Ipak, korisnici su posebno ogorčeni jer su napadači mogli lako da preuzmu nalog preko AI sistema, dok pravi vlasnici često nisu uspevali da ga povrate istim putem. Dodatni problem je izostanak opcije za prelazak na živu korisničku podršku, zbog čega su mnogi ostali bez jasnog načina da brzo reše krađu naloga, piše LTN.