Meta تُصلح ثغرة في Instagram سمحت باختراق الحسابات

عالجت Instagram مشكلة أمنية سمحت باختراق حسابات العديد من المستخدمين. وبدا أن الهجوم يعتمد على خداع روبوت الدردشة الخاص بدعم العملاء في Meta، والذي يعمل بالذكاء الاصطناعي، لمنح وصول إلى حساب الضحية. وخلال عطلة نهاية الأسبوع، ادعى العديد من المستخدمين على Reddit أن حساباتهم على Instagram قد تعرضت للاختراق، كما حذر عدد من المستخدمين على منصة X من عمليات اختراق مماثلة للحسابات. ويوم الاثنين، أكد المتحدث باسم Instagram، Andy Stone، أنه تم إصلاح المشكلة.

تضمن الاستغلال استخدام شبكة افتراضية خاصة (VPN) لانتحال الموقع المفترض للضحايا، وهو ما سمح للمهاجم -بحسب ادعاءات- بتجنب تفعيل وسائل حماية الحسابات الآلية في Instagram. وقد تم عرض العملية خطوة بخطوة في مقطع فيديو نُشر على منصة X. وفي الفيديو، فتح المهاجم محادثة مع روبوت الدردشة Meta AI Support Assistant وطلب من الروبوت إضافة عنوان بريد إلكتروني جديد إلى حساب الضحية. ثم أرسل روبوت الدردشة رمز تحقق إلى عنوان البريد الإلكتروني الذي قدمه المخترق. وتمكنت TechCrunch من التحقق من أن صندوق البريد الإلكتروني العام للمخترق، والذي ظهر في الفيديو، قد تلقى رمز التحقق بالفعل. وبعد أن شارك المخترق رمز التحقق مع روبوت الدردشة، طالبه الروبوت بضغط زر لإعادة تعيين كلمة المرور، مما سمح للمهاجم بإدخال كلمة مرور جديدة والاستيلاء على حساب الضحية. والأهم من ذلك، أن الهجوم اعتمد على حقيقة أن المخترق لم يضطر في أي مرحلة إلى السيطرة على عنوان البريد الإلكتروني الشرعي المرتبط بحسابات الضحايا على Instagram.

كانت باحثة الأمن السيبراني Jane Wong وكبير الرقباء في قوة الفضاء الأمريكية John Bentivegna من بين الأشخاص الذين تعرضت حساباتهم للاختراق. ووصفت Wong التجربة بأنها “مقلقة للغاية”، وصرحت قائلة: “تم تغيير كلمة المرور دون علمي، وكنت أتلقى محاولات مختلفة لإعادة تعيين كلمة المرور طوال يوم أمس”. وعلى الرغم من حل المشكلة الأمنية، لا يزال من غير الواضح عدد مستخدمي Instagram الذين تعرضت حساباتهم للوصول غير المصرح به. وشملت الحسابات المخترقة حسابات بارزة، مثل حساب البيت الأبيض من حقبة أوباما، والذي يبدو أنه غير نشط منذ عام 2017.

لماذا يهم

يسلط هذا الحادث الضوء على ثغرة أمنية حرجة حيث يمكن التلاعب بأدوات دعم العملاء التي تعمل بالذكاء الاصطناعي لتجاوز بروتوكولات الأمان القياسية، مما يسمح فعلياً بالاستيلاء على الحسابات دون الحاجة إلى الوصول إلى البريد الإلكتروني الأساسي للمستخدم.