Obama Beyaz Saray'ının ve ABD Uzay Kuvvetleri Başçavuşunun Instagram hesapları, Meta'nın "AI destek asistanı" botunun hesap şifrelerini sıfırlamak için nasıl kandırılacağını gösteren talimatlar Telegram'da dolaşmaya başladıktan sonra hafta sonu İran yanlısı görüntüler ve mesajlarla kısa süreliğine tahrif edildi.
31 Mayıs'ta, birkaç Telegram anlık mesaj kanalında, Meta'nın AI botunun, botun standart şifre sıfırlama akışının bir parçası olarak mevcut bir hesaba memnuniyetle bir e-posta adresi ekleyeceği haberi yayılmaya başladı.
İran yanlısı bilgisayar korsanları tarafından Telegram'da yayınlanan bir videoda, hedefin normal memleketi içinde veya yakınında bulunan bir IP adresiyle VPN bağlantısının kullanıldığı, hesap için parola sıfırlama talebinde bulunulduğu ve ardından Meta'nın yapay zeka destek asistanıyla sohbet etmeyi seçtiği anlaşılan son derece basit bir istismarı belgelediği iddia edildi. Videoda, saldırganın bota söz konusu hesabı yeni bir e-posta adresine bağlamasını söylediği ve ardından botun görev bilinciyle bu adrese şifre sıfırlamaya izin veren tek seferlik bir kod gönderdiği görülüyor.
Videoyu yayınlayan Telegram hesabı ayrıca, saldırıya uğrayan Instagram hesaplarını tahrif eden İran yanlısı görsellerin, videoların ve mesajların ekran görüntülerine de bağlantı verdi ve bilgisayar korsanlarının, yeniden satış değerinin yarım milyon dolardan fazla olduğu iddia edilen bir dizi değerli (kısa) Instagram hesap adını ele geçirmek için bu açıktan yararlandığını söyledi.
Meta, videoyla ilgili iddialara ilişkin yorum taleplerine yanıt vermedi ancak Meta'dan Andy Stone, Twitter/X'te sorunun çözüldüğünü ve etkilenen hesapların güvenliğini sağladıklarını söyledi. Güvenlik blogu thecybersecguru.com, Meta'nın hafta sonu bir acil durum yaması yayınladığını ve hiçbir arka uç veritabanının ihlal edilmediğini açıklığa kavuşturduğunu bildirdi.
Cybersecguru, "Instagram'ın insani destek altyapısının oldukça zayıf olduğu biliniyor" diye yazdı. "Kilitli bir hesabın, özellikle de yüksek değere sahip bir hesabın kurtarılması, otomatik biletleme sistemiyle haftalarca süren ileri geri hareketler gerektirebilir. Meta'nın çözümü, ortak kurtarma iş akışlarını yönetmek için konuşmaya dayalı bir yapay zeka katmanı dağıtmaktı: kayıp bir e-posta adresini yeniden bağlamak, parola sıfırlamayı tetiklemek, hesap sahipliğini doğrulamak. Asistanın, muhtemelen hesaba erişim cehenneminde sıkışıp kalan meşru kullanıcılar için sürtünmeyi azaltması gerekiyordu."
Lumen Black Lotus Laboratuvarlarında tehdit araştırmacısı olan Ian Goldin, daha büyük çevrimiçi platformların yapay zeka sohbet robotlarının hassas hesap kurtarma taleplerini karşılamasına izin vermeye başlamasıyla, keşfedilmemiş bir güvenlik alanına girdiğimizi söyledi. Tıpkı insan müşteri destek çalışanlarının birinin hesabına yetkisiz erişim sağlayacak şekilde sosyal mühendislikle donatılabilmesi gibi, yapay zeka botlarının da aynı derecede yardım etmeye istekli olduğunu ve ikna ve hileye karşı savunmasız olduğunu söyledi.
Goldin, "Yapay zeka sohbet robotları ilginç yeni saldırı yüzeyi yaratıyor ve muhtemelen bu tür saldırılardan çok daha fazlasını göreceğiz" dedi.
Çeşitli çevrimiçi hesaplarınızın güvenliğini sağlamak, sunulan en güvenli çok faktörlü kimlik doğrulama biçiminden (MFA) (geçiş anahtarı veya güvenlik anahtarı gibi) tam olarak yararlanmak anlamına gelir. Bu durumda, Instagram'ın sunduğu en az sağlam MFA biçimini (SMS yoluyla gönderilen tek seferlik kod) kullanmak bile bu açıktan yararlanmayı muhtemelen engelleyebilirdi: Videoyu Telegram'da yayınlayan bilgisayar korsanları, bu açıktan yararlanmanın MFA'nın etkin olduğu hiçbir hesapta işe yaramadığını söyledi.
