Gumamit ang mga hacker ng AI support chatbot ng Meta para sakupin ang mga Instagram account
Mga pag-takeover ng Instagram account na konektado sa Meta AI support bot
Ginagamit ng mga hacker ang AI-powered support chatbot ng Meta para makakuha ng access sa mga Instagram account, na nagbubunyag ng bagong uri ng atake na gumagamit ng isang automated na assistant bilang bahagi ng landas ng paglusob.
Sinabi ng Instagram noong Lunes na inayos na nila ang isang isyu sa seguridad matapos mag-ulat ang ilang user na na-kompromiso ang kanilang mga account noong katapusan ng linggo. Naglarawan ang mga post sa Reddit at X ng magkaparehong mga pag-hijack, at kabilang sa mga apektadong account ang Instagram handle ng Obama-era White House, na tila hindi aktibo mula pa noong 2017, pati na rin ang account ng U.S. Space Force chief master sergeant John Bentivegna.
Sinabing na-takeover din ng security researcher na si Jane Wong ang kanyang account. “Nagbago ang password nang hindi ko nalalaman at nakatanggap ako ng iba't ibang mga pagtatangka ng password reset kahapon,” sabi ni Wong. “Medyo nakakabahala.”
Isang video na ipinost sa X ang lumilitaw na nagpapakita ng metodong ginamit sa mga pag-atake. Ayon sa video, unang gumamit ang hacker ng VPN para i-spoof ang inaakala nilang lokasyon ng target, tila upang maiwasang mag-trigger ang automated protections ng Instagram. Pagkatapos ay nagbukas ang attacker ng chat sa Meta AI Support Assistant at hiniling sa bot na magdagdag ng bagong email address sa account ng biktima.
Iniulat na nagpadala ang chatbot ng verification code sa email address ng attacker, na saka ipinasa ng attacker pabalik sa bot. Ang interaksiyong iyon ang nag-prompt sa chatbot na ipakita ang isang button na "I-reset ang Password", pagkatapos ay naglagay ang attacker ng bagong password at sinakop ang account.
Napatunayan ng TechCrunch na ang pampublikong email mailbox ng hacker, na ipinakita sa video, ay tumanggap ng verification code. Hindi kinailangan ng ataker na kunin ang kontrol ng lehitimong email address na naka-link sa Instagram account ng biktima, kaya naging hindi karaniwan at direktang landas papunta sa takeover ang atake.
Sinabi ng Instagram spokesperson na si Andy Stone bilang tugon kay Wong at sa iba noong Lunes na naayos na ang isyu. Hindi pa malinaw kung ilang user ang naapektuhan. Hindi kaagad tumugon ang Meta sa kahilingan ng TechCrunch para sa komento.
Sources:
Basahin pa ang mga balita sa teknolohiya sa Doppler VPN Blog.