- Chyba v chatbotu podpory usnadňovala změnu přidružených e-mailů bez skutečného ověření.
- Více než 20 000 uživatelů se stalo obětí této chyby, která postihla zejména profily s krátkými a hodnotnými jmény.
- Útočníci k obejití standardních bezpečnostních opatření použili nástroje umělé inteligence a VPN sítě.
- Společnost dočasně deaktivovala dotčenou službu, zatímco implementuje robustnější ověřovací systémy.
Zdá se, že technologický pokrok si s námi někdy hraje triky a tentokrát utrpěla společnost Marka Zuckerberga. To, co bylo původně navrženo jako asistent založený na umělé inteligenci, který měl uživatelům Instagramu usnadnit život, se nakonec stalo... Trojský kůň, který umožnil krádež účtu v poměrně znepokojivém rozsahu.
Problém se dostal do popředí poté, co vyšlo najevo, že tisíce lidí přes noc ztratily přístup ke svým profilům, což mnoho lidí ohromilo, když zjistili, že jejich fotografie a kontakty se dostaly do rukou cizích lidí. Tato událost znovu oživila odvěkou debatu o tom, zda jsme... automatizace příliš kritických funkcí aniž by měli pod kontrolou všechny možné díry, které kyberzločinci dychtivě najdou.
Jak k tomuto úniku v systému Meta došlo?
Všechno to začalo implementací nového systému podpory, interně nazvaného High Touch Support, který měl urychlit obnovu účtů pomocí inteligentního chatbota. Útočníci však zjistili, že tento asistent... příliš sebevědomý a dovolil si modifikace e-mail pro obnovení pouhým vyžádáním, bez provedení kontrol totožnosti, které bychom od společnosti tohoto kalibru očekávali.
Aby to bylo ještě složitější, zločinci nemuseli být počítačoví géniové, protože metoda se šířila bleskovou rychlostí prostřednictvím kanálů Telegramu. Používání VPN připojení k předstírat, že jsou ve stejném městě že oběť, podařilo se jim přimět Metaovu umělou inteligenci, aby během několika minut snížila ostražitost a předala klíče od profilu, v mnoha případech dokonce přeskočila dvoufázové ověření.
Nejznepokojivějším aspektem celé záležitosti je, že podle několika bezpečnostních analytiků systém přijímal naprosto zpackaná ověření identity. Dokonce bylo zdokumentováno i použití... Videa generovaná umělou inteligencí, jejichž cílem je klamat k vlastním systémům rozpoznávání obličeje platformy, což dokazuje, že obranná technologie Instagramu nebyla schopna rozlišit mezi skutečným člověkem a dobře provedenou syntetickou montáží.
Masivní dopad: od anonymních uživatelů až po profily na vysoké úrovni
Ačkoli se potenciální obětí mohl stát jakýkoli uživatel, hackeři se zaměřili zejména na tzv. „OG handles“, což jsou jednoduše velmi krátká nebo vyhledávaná uživatelská jména, která Mají velmi vysokou tržní hodnotu černý trh. Tyto účty byly během několika hodin dále prodány prostřednictvím specializovaných fór, takže původní majitelé neměli žádnou možnost získat zpět to, co jim patřilo.
Ale tím to neskončilo, protože profily osobností jako Barack Obama a velkých značek jako Sephora byly také zneužity k publikování podivného obsahu nebo propagandy. Celkem se odhaduje, že Vidělo více než 20 000 lidí postižených touto chybou, což je číslo, které donutilo společnost Meta podat hlášení bezpečnostním orgánům několika teritorií, včetně Evropy a Spojených států.
V konkrétním případě Španělska a zbytku kontinentu jsou obavy nejvyšší kvůli přísným předpisům o ochraně osobních údajů. Útočníci nejenže ukradli účet, ale také... Mohli mít přístup k přímým zprávám, kontaktní údaje a data narození, což představuje značné porušení soukromí, které by mohlo mít důsledky v podobě správních sankcí.
Andy Stone ze společnosti uvedl, že problém již byl opraven a že neúnavně pracují na zabezpečení postižených účtů. Jako nouzové opatření… Virtuální asistent byl zcela deaktivován. Podpora a všechny odkazy na resetování hesla, které byly podezřele vygenerovány během týdnů trvání útoku, byly deaktivovány.
Dotčení uživatelé nyní nemají jinou možnost než být trpěliví a projít poměrně zdlouhavým procesem manuálního ověřování, aby obnovili svou digitální identitu. Tato událost nám připomíná, že ať už je nástroj jakkoli moderní, Nikdy nesmíme polevit v ostražitosti a že je nezbytné mít externí metody ověřování, jako například záloha Instagramuaby nám obyčejný bot nezkazil den a neodnesl s sebou naše digitální vzpomínky.
Toto narušení bezpečnosti, které ohrozilo Metu, ukazuje, že automatizace kritických podpůrných procesů má stále značné mezery v ověřování identity. Vzhledem k více než dvaceti tisícům napadených účtů a používání klamavých technik založených na VPN a syntetických videích je zřejmé, že Průmysl musí přehodnotit své protokoly. než ponechá bezpečnostní rozhodnutí výhradně v rukou umělé inteligence. Prozatím zůstává služba chytré asistence neaktivní, zatímco společnost důkladně prověřuje své systémy na Facebooku, WhatsAppu a dalších platformách, aby se v budoucnu vyhnula opakování podobné chyby.
