Tin tặc lợi dụng chatbot hỗ trợ AI của Meta để chiếm đoạt tài khoản Instagram
Các vụ chiếm đoạt tài khoản Instagram liên quan đến bot hỗ trợ AI của Meta
Tin tặc đã lợi dụng chatbot hỗ trợ AI của Meta để truy cập các tài khoản Instagram, phơi bày một dạng tấn công mới sử dụng trợ lý tự động làm một phần trong đường dẫn xâm nhập.
Instagram cho biết vào thứ Hai rằng họ đã sửa một lỗ hổng bảo mật sau khi vài người dùng báo cáo tài khoản của họ bị xâm phạm trong cuối tuần. Các bài đăng trên Reddit và X mô tả những vụ chiếm đoạt tương tự, và các tài khoản bị ảnh hưởng bao gồm tài khoản Instagram của Nhà Trắng thời Obama, dường như không hoạt động kể từ 2017, cũng như tài khoản của thượng sĩ trưởng John Bentivegna thuộc Lực lượng Không gian Hoa Kỳ.
Nhà nghiên cứu bảo mật Jane Wong cho biết tài khoản của cô cũng bị chiếm đoạt. «Mật khẩu bị thay đổi mà tôi không hay biết và hôm qua tôi liên tục nhận được các cố gắng đặt lại mật khẩu khác nhau,» Wong nói. «Khá đáng lo ngại.»
Một video được đăng trên X có vẻ cho thấy phương thức được dùng trong các cuộc tấn công. Theo video, kẻ tấn công trước tiên dùng một VPN để giả mạo vị trí dự kiến của mục tiêu, rõ ràng nhằm tránh kích hoạt các biện pháp tự động của Instagram. Sau đó kẻ tấn công mở cuộc trò chuyện với Trợ lý hỗ trợ AI của Meta và yêu cầu bot thêm một địa chỉ email mới vào tài khoản nạn nhân.
Chatbot được cho là đã gửi một mã xác minh tới hộp thư email công khai của kẻ tấn công, và kẻ tấn công sau đó chuyển mã đó lại cho bot. Tương tác đó đã khiến chatbot hiển thị nút «Đặt lại mật khẩu», sau đó kẻ tấn công nhập mật khẩu mới và chiếm đoạt tài khoản.
TechCrunch xác nhận rằng hộp thư công khai của kẻ tấn công, như được hiển thị trong video, đã nhận được mã xác minh. Cuộc tấn công không yêu cầu kẻ tấn công phải kiểm soát địa chỉ email hợp lệ liên kết với tài khoản Instagram của nạn nhân, làm cho con đường chiếm đoạt trở nên trực tiếp một cách bất thường.
Người phát ngôn của Instagram, Andy Stone, trả lời Wong và những người khác vào thứ Hai rằng vấn đề đã được khắc phục. Hiện vẫn chưa rõ có bao nhiêu người dùng bị ảnh hưởng. Meta không phản hồi ngay lập tức yêu cầu bình luận của TechCrunch.
Nguồn:
Đọc thêm tin tức công nghệ trên Doppler VPN Blog.