Geçtiğimiz hafta sonu, eski Beyaz Saray ve ABD Uzay Kuvvetleri'nin Instagram hesapları, İran yanlısı görseller ve mesajlarla kısa süreliğine ele geçirildi. Saldırının arkasında, Telegram'da yayılan bir yöntem yatıyor: Meta'nın yapay zeka destekli yardım botunu kandırarak şifre sıfırlama işlemini gerçekleştirmek. Bu olay, büyük platformların hassas hesap kurtarma süreçlerinde AI kullanımının yarattığı güvenlik risklerini bir kez daha gündeme getirdi.
Saldırganlar, 31 Mayıs'ta Telegram kanallarında paylaştıkları bir videoda, Meta'nın AI botunun standart şifre sıfırlama akışı sırasında bir hesaba yeni bir e-posta adresi eklemeyi kabul ettiğini gösterdi. Videoda, saldırganın hedefin bulunduğu bölgeye yakın bir IP adresi kullanarak VPN bağlantısı kurduğu, ardından şifre sıfırlama talebinde bulunduğu ve Meta'nın AI destek asistanıyla sohbet başlattığı görülüyor. Bot'a hesaba yeni bir e-posta bağlaması talimatı veriliyor ve bot da bu e-postaya tek kullanımlık bir kod göndererek şifre sıfırlamaya izin veriyor.
Bu basit ama etkili yöntem, Beyaz Saray ve Uzay Kuvvetleri hesaplarının yanı sıra, kısa ve değerli Instagram kullanıcı adlarına sahip birçok hesabın da ele geçirilmesine yol açtı. Telegram'da paylaşılan ekran görüntüleri, saldırganların bu hesapları İran yanlısı propaganda içerikleriyle değiştirdiğini gösteriyor. Hackerlar, ele geçirilen kısa kullanıcı adlarının ikinci el piyasada 500.000 dolardan fazla değere sahip olduğunu iddia ediyor.
Meta, konuyla ilgili henüz resmi bir açıklama yapmamış olsa da, şirketin sözcüsü Andy Stone, Twitter/X üzerinden sorunun çözüldüğünü ve etkilenen hesapların güvence altına alındığını duyurdu. Güvenlik blogu thecybersecguru.com'a göre Meta, hafta sonu acil bir yama yayınladı ve herhangi bir arka uç veritabanına sızılmadığını belirtti. Blog yazısında, Instagram'ın insan destek altyapısının kötü olduğu ve hesap kurtarma işlemlerinin haftalar sürebildiği, bu nedenle Meta'nın yapay zeka katmanı devreye soktuğu ancak bunun yeni güvenlik açıkları yarattığı vurgulandı.
Lumen'in Black Lotus Labs tehdit araştırmacısı Ian Goldin, büyük çevrimiçi platformların hassas hesap kurtarma taleplerini AI sohbet botlarına devretmesiyle birlikte yeni bir güvenlik alanına girdiğimizi söylüyor. Tıpkı insan müşteri hizmetleri çalışanlarının sosyal mühendislikle kandırılabilmesi gibi, AI botlarının da ikna ve hileye karşı savunmasız olduğunu belirten Goldin, 'AI sohbet botları yeni bir saldırı yüzeyi oluşturuyor ve bu tür saldırıları daha sık göreceğiz' diyor.
Uzmanların Görüşleri
Bu saldırıdan çıkarılacak en önemli ders, çevrimiçi hesaplarınızı korumak için en güçlü çok faktörlü kimlik doğrulama (MFA) yöntemini kullanmanız gerektiğidir. Instagram'ın sunduğu en zayıf MFA yöntemi olan SMS ile gönderilen tek kullanımlık kod bile bu açığı engelleyebilirdi. Nitekim, Telegram'da videoyu yayınlayan hackerlar, MFA etkin olan hesaplara karşı saldırının işe yaramadığını itiraf etti. Bu nedenle, hesap güvenliğiniz için mümkünse geçiş anahtarı veya güvenlik anahtarı gibi daha güçlü MFA yöntemlerini tercih edin.
Kaynak: krebsonsecurity.com
