Instagram закрыл опасную уязвимость для взлома аккаунтов через Meta AI

Instagram устранил уязвимость, которая позволяла злоумышленникам получать доступ к чужим аккаунтам через ИИ-ассистента службы поддержки Meta AI.

О проблеме, как пишет TechCrunch, стало известно после того, как пользователи Reddit и X заявили о краже своих профилей.

Среди пострадавших оказались аккаунт Белого дома времен администрации Барака Обамы, неактивный с 2017 года, а также страница главного сержанта Космических сил США Джона Бентивеньи. О взломе своего профиля также рассказала исследователь безопасности Джейн Вонг. По ее словам, пароль был изменен без ее ведома, а накануне она получала многочисленные запросы на его сброс.

Опубликованное в соцсетях видео продемонстрировало предполагаемый механизм атаки. Согласно записи, злоумышленник использовал VPN для имитации местоположения жертвы, после чего обращался к Meta AI Support Assistant с просьбой добавить новый адрес электронной почты к чужому аккаунту. Чат-бот отправлял код подтверждения на указанный злоумышленником адрес, а после его ввода предлагал кнопку сброса пароля. Это позволяло установить новый пароль и получить контроль над учетной записью.

Журналисты TechCrunch подтвердили, что код действительно поступал на публичный почтовый ящик, использованный в демонстрации. При этом злоумышленнику не требовалось получать доступ к электронной почте, которая была изначально привязана к аккаунту жертвы.

Представитель Instagram Энди Стоун сообщил, что проблема уже устранена. Сколько пользователей могли пострадать от уязвимости, в компании не уточнили.