Meta* устранила критическую уязвимость в ИИ-помощнике, позволявшую обходить двухфакторную аутентификацию

Корпорация Meta* закрыла серьезную брешь в системе безопасности, которой воспользовались хакеры для захвата учетных записей в Instagram*. Злоумышленникам удалось обмануть ИИ-агента службы поддержки, заставив его отправить ссылки для сброса пароля без прохождения стандартной процедуры проверки личности и подтверждения через двухфакторную аутентификацию.

Механика атаки и цели злоумышленников

Согласно данным исследователей безопасности ZachXBT и Dark Web Informer, основной целью атаки стали дорогостоящие аккаунты с короткими и редкими именами (так называемые short-handle accounts). Киберпреступники применяли методы социальной инженерии в диалоге с чат-ботом Meta*, что позволяло им инициировать процедуру восстановления доступа к чужим профилям без каких-либо проверок.

В отчетах экспертов подчеркивается риск делегирования чувствительных задач, связанных с безопасностью, системам искусственного интеллекта. В данном случае алгоритм не смог распознать манипуляцию и предоставил доступ к кодам сброса пароля по запросу посторонних лиц.

Продажа украденных данных на теневом рынке

По информации профильных изданий, похищенные учетные записи, в том числе профили под именами @hey и @jowo, были оперативно выставлены на продажу в закрытых Telegram-каналах. Суммарная рыночная стоимость этих лотов оценивается более чем в 92 миллиона рублей (свыше 1 миллиона долларов). Исследователи отследили цепочку перепродаж, зафиксировав активность в нескольких хакерских группировках.

Представители Meta* подтвердили наличие проблемы, заявив об исправлении ошибки в кратчайшие сроки. По официальному заявлению компании, прямого взлома систем не произошло, а механизмы защиты Instagram* в настоящее время функционируют в штатном режиме.

Рекомендации по обеспечению безопасности

В данном инциденте пользователи не могли предотвратить атаку самостоятельно, так как уязвимость находилась на стороне программного обеспечения самой платформы. Тем не менее, эксперты отмечают ряд мер, которые помогают усилить защиту личных данных в обычных условиях:

• Использование многофакторной аутентификации (MFA), при этом рекомендуется отдавать предпочтение приложениям-аутентификаторам, а не SMS-кодам.
• Регистрация аккаунтов на отдельные почтовые адреса, которые не фигурируют в публичном доступе.
• Регулярная проверка списка активных сессий в настройках безопасности профиля.

* — деятельность компании запрещена на территории РФ

Твитнуть