Пользователи Instagram заблокированы после того, как Meta AI использовалась для кражи аккаунтов.

[zender]

У нескольких пользователей Instagram были взломаны аккаунты после того, как злоумышленники убедили инструменты поддержки Meta, работающие на основе искусственного интеллекта, в том, что они являются законными владельцами.


Во многих случаях пострадавшие пользователи не могут восстановить доступ из-за использования платформой автоматизированной помощи, которая включает в себя только циклы искусственного интеллекта/чат-ботов и не предусматривает участия операторов-людей.


В понедельник несколько владельцев редких и дорогостоящих счетов сообщили о внезапной потере доступа к своим аккаунтам, утверждая, что их личности были подтверждены с помощью сканирования лиц и что они включили такие средства защиты, как двухфакторная аутентификация (2FA).

Среди пострадавших аккаунтов были один, ранее использовавшийся командой Белого дома Обамы, аккаунт исследователя приложений Джейн Манчун Вонг , а также аккаунты @hey и @korn.


Владелец аккаунта @korn, отметивший, что группа никогда официально не подтверждала права на этот аккаунт и использует другой, выразил недовольство механизмом восстановления аккаунта Meta, который затянул его в бесконечный цикл.


«Я потратил 6 часов, пытаясь связаться со службой поддержки, и искусственный интеллект Meta выдал мне 4 подряд неработающие ссылки», — объяснил пользователь, представившийся как Kornel .


«Мы дошли до того момента, когда один ИИ украл это, а другой не может это исправить, и нигде нет участия человека», — заявил владелец аккаунта @korn.


По словам некоторых журналистов, атаки с целью взлома аккаунтов были тривиальными. Суть заключалась в общении с ИИ-помощником Meta, убеждении его в том, что злоумышленник является законным владельцем аккаунта, и обмане с целью изменения связанного с аккаунтом адреса электронной почты.


Процесс захвата начинается с того, что злоумышленник активирует протокол «забыли пароль» из-за взлома аккаунта. Когда искусственный интеллект Instagram запрашивает у пользователя подтверждение с помощью селфи, злоумышленник использует фотографию из целевого аккаунта, пропускает её через генератор видео на основе ИИ, чтобы превратить в анимацию, и загружает её в Meta для подтверждения.


Пользователь Андре утверждает, что «искусственный интеллект Meta просто принимает это, потому что не может отличить настоящее селфи от видео с лицом человека, сгенерированного ИИ». Он также добавил, что этот метод обходит двухфакторную аутентификацию.


«Затем вы пытаетесь восстановить свой аккаунт, и общаетесь с чат-ботом, который совершенно не в состоянии помочь. Вы не можете связаться с человеком. Вы просто в тупике. Ваши активы потеряны, и позвонить некому», — сказал Андре .


В некоторых сообщениях утверждается, что злоумышленники использовали VPN- сервисы, чтобы создать видимость подключения из обычного региона жертвы, что позволило бы пройти проверку геолокации и запустить более сложную процедуру авторизации для повышения безопасности.

Пообщайтесь с агентом поддержки искусственного интеллекта Meta.
Источник: @thecomfeed

После изменения адреса электронной почты злоумышленник мог инициировать процесс сброса пароля и получить необходимый код безопасности для доступа к учетной записи.


В некоторых онлайн-сообщениях утверждается, что однобуквенные аккаунты @e и @f в Instagram были получены в результате активной эксплуатации уязвимости. Однако другие оспаривают эту информацию, утверждая, что имена пользователей были получены лицом, обладающим внутренними привилегиями. BleepingComputer не смог независимо подтвердить ни одно из этих утверждений.


Поскольку аккаунты в социальных сетях, состоящие всего из одной буквы, встречаются крайне редко, они имеют высокую ценность на черном рынке, обычно исчисляемую десятками тысяч долларов США.


Хотя компания Meta пока не опубликовала пресс-релиз с официальным комментарием по поводу ситуации, вице-президент по коммуникациям Энди Стоун ответил в социальных сетях пострадавшему пользователю, заявив, что «проблема решена, и мы обеспечиваем безопасность затронутых аккаунтов».


Издание BleepingComputer обратилось к Meta с просьбой прокомментировать ситуацию, но на момент публикации ответа не получило.