В Instagram сообщили об устранении проблемы, позволявшей хакерам обманом заставлять ИИ-инструмент поддержки предоставлять доступ к чужим аккаунтам.
Согласно утверждениям, подкрепленным скриншотами и видео, ИИ-чатбот приложения в последние дни позволял пользователям «перехватывать» чужие учетные записи.
Злоумышленники могли менять пароли других аккаунтов, подделывая данные о своем местоположении, а затем просить ИИ изменить привязанные к аккаунту адреса электронной почты.
«Проблема устранена, и мы принимаем меры для защиты затронутых аккаунтов», — заявил представитель Meta Энди Стоун в публикации в X.
В ответ на другой пост он добавил, что сообщения о взломе аккаунтов мировых лидеров с помощью этой уязвимости «полностью ложны».
Технологическое издание 404 Media отметило, что сообщения об уязвимости совпали «с серией громких захватов аккаунтов в Instagram», включая верифицированный аккаунт, которым бывший президент США Барак Обама пользовался во время пребывания в Белом доме.
По данным издания, в аккаунте некоторое время появлялись публикации в поддержку Ирана, прежде чем доступ был восстановлен.
Точное число пострадавших аккаунтов пока неизвестно.
Среди тех, кто сообщил о проблеме, — исследовательница в области кибербезопасности и бывшая сотрудница Meta Джейн Манчун Вонг. Она написала в X, что пароль от ее аккаунта был изменен без ее ведома, а весь предыдущий день она получала уведомления о попытках сброса пароля.
«Довольно тревожно», — отметила она.
Инцидент произошел на фоне растущих опасений относительно того, как все более мощные и распространенные системы искусственного интеллекта влияют на безопасность пользовательских данных.
В соцсетях появились видео, которые, как утверждается, демонстрируют возможный механизм взлома.
На одном из роликов, опубликованном исследователем Dark Web Informer в X, показано, как пользователь в процессе восстановления доступа ищет нужный аккаунт, используя VPN для имитации местоположения настоящего владельца.
После выбора профиля злоумышленник отправлял ИИ‑помощнику запрос с просьбой привязать новый адрес электронной почты и отправить на него код подтверждения. Чат‑бот выполнял запрос, после чего злоумышленник получал письмо со ссылкой для смены пароля.
Один из пользователей X сообщил, что после взлома своего аккаунта не смог найти способ связаться со службой поддержки.
«Мы дошли до момента, когда один ИИ украл аккаунт, а другой не может это исправить — и нигде в процессе нет ни одного человека», — написал он.
Би‑би‑си направила запрос Meta о том, доступны ли пользователям, чьи аккаунты были взломаны, сотрудники поддержки. Компания и ранее подвергалась критике за недостаточную помощь пользователям, чьи аккаунты были взломаны или ошибочно заблокированы.
Независимый орган, рассматривающий споры пользователей соцсетей в ЕС, на прошлой неделе заявил, что Meta практически никогда не отвечает на обращения людей, утверждающих, что их аккаунты были несправедливо заблокированы.
Кроме того, компания недавно значительно сократила штат сотрудников на фоне многомиллиардных инвестиций в развитие ИИ.