Хакеры захватили ряд крупных аккаунтов Instagram, используя ИИ-чатбот поддержки Meta для смены привязанного адреса электронной почты. Двухфакторная аутентификация при этой схеме фактически не сработала.
По данным исходного материала, атаки затронули аккаунт Obama White House, Chief Master Sergeant of the US Space Force и сеть косметики Sephora. Также злоумышленники быстро перехватывали короткие редкие имена пользователей и перепродавали их через Telegram.
Речь идет об OG-никах — коротких именах из нескольких букв или обычных слов, которые на сером рынке могут стоить шестизначные суммы. Исследователи ZachXBT и Dark Web Informer, отслеживающие криптопреступность и подпольные рынки, публично зафиксировали последствия атак. По их данным, два скомпрометированных ника вместе стоили более $1 млн.
Схема атаки была простой. Злоумышленники включали VPN, чтобы выглядеть как пользователь из того же региона, что и жертва, запускали сброс пароля, а затем просили ИИ-помощника поддержки обновить адрес электронной почты в аккаунте, обещая сразу отправить код подтверждения.
После этого бот отправлял восьмизначный код подтверждения уже на почту атакующего, а затем ссылку для сброса пароля. Если включалась автоматическая проверка личности Meta, злоумышленники, по информации The CyberSec Guru, пропускали публичные фото жертвы из Instagram через ИИ-сервисы генерации видео и получали реалистичные селфи-ролики, которые проходили автоматическую проверку безопасности.
The CyberSec Guru называет этот случай типичным примером известной в IT-безопасности проблемы confused deputy. Суть в том, что вспомогательная система имеет больше прав, чем сам пользователь, а атакующий заставляет ее применить эти права в своих интересах.
В этом случае ИИ-ассистент мог менять email и запускать сброс пароля — действия, которые обычный пользователь Instagram напрямую выполнить не может. Как утверждается в материале, бот выполнял такие запросы даже без входа в аккаунт.
The CyberSec Guru также описывает инцидент как prompt injection с особенно дорогими последствиями. Языковая модель не может стабильно отличить безобидный запрос пользователя от вредоносной инструкции, потому что в обоих случаях получает обычный текст.
Автор проводит аналогию с SQL-инъекцией, где ввод тоже может быть ошибочно принят за команду. Но если SQL можно ограничить четкими правилами, то у языковой модели нет ясного разделения между данными и инструкциями.
Для необратимых действий, таких как сброс пароля, должна была быть обязательная дополнительная проверка — например, подтверждение через исходный адрес электронной почты или push-уведомление на уже проверенное устройство. По данным The CyberSec Guru, такой защиты не было в API-маршруте, который вызывал ИИ.
Meta объявила в марте, что расширяет ИИ-поддержку для всех аккаунтов Facebook и Instagram, включая сброс пароля и операции, связанные с безопасностью. По информации 404 Media, на странице продукта компания описывала ИИ как инструмент, который решает запросы, а также помогает с защитой и восстановлением аккаунтов.
В блоге Meta прямо представляла этот ИИ как защиту от захвата аккаунтов и заявляла, что система будет выявлять подозрительную смену геолокации и пароля. Фактически этот механизм стал точкой входа для атаки.
Пострадавшие пользователи рассказали 404 Media, что не могли быстро выйти на живого сотрудника поддержки через обычные каналы. Официальное оспаривание кражи аккаунта отправляет пользователя в ручную проверку Meta, которая, по словам The CyberSec Guru, занимает дни, а не минуты.
К моменту восстановления аккаунта он уже мог быть перепродан в Telegram. Волна заметных захватов началась в пятницу, 29 мая.
В тот же вечер Meta выпустила экстренный hotfix и отключила уязвимые ИИ-сценарии, которые имели доступ к смене привязанного email и сбросу пароля. В понедельник компания подтвердила 404 Media, что проблема устранена и затронутые аккаунты дополнительно защищают.
При этом, по данным The CyberSec Guru, сама схема могла работать незаметно несколько месяцев. Первое упоминание в профильных Telegram-каналах датируется концом марта.
Meta не согласилась с трактовкой инцидента как утечки данных. Компания заявила, что взлома ее внутренних систем не было, а аккаунты пользователей Instagram оставались защищены.
The CyberSec Guru возражает, что технически это может быть верно, но для пользователя разница невелика. Если ценный короткий ник был украден за одну ночь, то спор о том, затронута ли база данных, уже вторичен. Ошибка в логике, которая позволяет массово перехватывать аккаунты, подрывает доверие к сервису.
Кроме того, CyberSec Guru сообщил еще об одном возможном эксплойте, который на момент публикации, как утверждается, оставался без исправления и уже распространялся в Telegram. По этим данным, схема связана с процессом восстановления Facebook: атакующие якобы заставляют Meta AI включить так называемый режим разработки и дополняют запрос «доказательствами» взлома и нужным адресом электронной почты.
Источник: The Decoder, 404 Media, The CyberSec Guru, ZachXBT, Dark Web Informer.
*Организация Meta (владелец Facebook и Instagram) признана экстремистской организацией и ее деятельность запрещена на территории России.
