Ключевые выводы
- Хакеры использовали AI‑ассистент Meta* Support для подтверждения смены пароля без доступа к оригинальному e‑mail.
- Взлом затронул как обычных пользователей, так и официальные аккаунты, включая старый профиль Белого дома и аккаунт главы США‑ского Космического корпуса.
- Meta* уже исправила ошибку, но пользователям рекомендуется включить двухфакторную аутентификацию и регулярно проверять активные сеансы.
Instagram*** подтвердил, что уязвимость закрыта, но многие пока не знают, как её избежать. В статье мы разберём, как именно произошёл взлом, и что сделать, чтобы ваш профиль оставался в безопасности.
Что случилось: шаг‑за‑шаг эксплойт AI‑чата
В начале недели пользователи начали жаловаться в Reddit и X (бывший Twitter) на то, что их Instagram***‑аккаунты «само» меняют пароль. Оказалось, что хакеры использовали встроенный в Instagram*** Meta* AI Support Assistant. Сначала они подменяли IP‑адрес с помощью VPN, чтобы выглядеть из безопасного региона, а затем открывали чат с поддержкой.
В чате они попросили добавить новый e‑mail к целевому аккаунту. Бот, полагаясь на запрос, отправил код подтверждения на указанный адрес. Хакер, имея доступ к этому публичному ящику, передал код боту, после чего система отобразила кнопку «Reset Password». Весь процесс прошёл без необходимости захватывать реальный e‑mail владельца.
Техническая проверка показала, что публичный почтовый ящик, использованный в видеозаписи, действительно получал код. Это подтверждает, что уязвимость была в логике подтверждения: система доверяла запросу от AI‑бота, а не проверяла, владеет ли пользователь реальным адресом.
Meta* объявила о фиксе в понедельник, но точные цифры пострадавших пока неизвестны.
Кому это было интересно: известные жертвы
Среди потерявших доступ аккаунтов – официантский профиль Белого дома 2015‑2017 годов, который долгое время оставался неактивным, а также аккаунт главного мастера‑сержанта Космических Сил США Джона Бентингвены. Оба случая вызвали тревогу в СМИ, потому что демонстрируют, что даже «пылесосные» аккаунты могут стать мишенью.
Кроме того, исследователь безопасности Джейн Вонг публично заявила, что её собственный профиль был захвачен: «Пароль изменился без моего ведома, а я получала запросы на сброс пароля целый день». Всё это подкреплено её постами в X, где она делилась скриншотами и подробностями.
Почему AI‑чат стал уязвимым
AI‑ассистенты проектируются для ускорения поддержки, но в данном случае они получили слишком широкие полномочия. Бот мог автоматически отправлять верификационный код, не проверяя, действительно ли запрос исходит от владельца аккаунта. Это типичная ошибка «over‑privileged automation» – система имеет больше прав, чем необходимо.
Подобные случаи напоминают о важности «defense in depth»: даже если один слой (в данном случае AI‑чат) скомпрометирован, остальные (двухфакторка, проверка активных сеансов) должны удерживать атакующего.
Как защитить свой Instagram*** после инцидента
1️⃣ Включите двухфакторную аутентификацию (2FA). Это добавит код из SMS или приложение‑генератора, который понадобится даже после получения верификационного кода по e‑mail.
2️⃣ Проверьте активные сеансы в настройках безопасности и закройте все неизвестные.
3️⃣ Не используйте публичные почтовые ящики для привязки к аккаунту. Лучше привязывать только личные, защищённые паролем ящики.
4️⃣ Будьте осторожны с VPN. Если вы часто меняете местоположение, Instagram*** может автоматически включать дополнительные проверки.
5️⃣ Регулярно обновляйте пароль и используйте уникальные комбинации, не совпадающие с другими сервисами.
Что делает Meta*: исправление и дальнейшие шаги
Meta* официально заявила, что уязвимость исправлена, а AI‑бот теперь требует подтверждения через оригинальный e‑mail владельца перед отправкой кода. Представитель компании, Эндрю Стоун, подтвердил в ответе на пост Джейн, что команда «мгновенно внедрила патч».
Компания также начала рассылать инструкцию по усиленной защите аккаунтов. Пока не известен масштаб ущерба, но в ближайшие недели ожидается рост запросов на проверку безопасности.
Справка
Instagram*** – популярная платформа для обмена фото и видео, принадлежащая компании Meta* Platforms, Inc. Запущена в 2010 году, к 2024‑му году имеет более 2 млрд активных пользователей.
Meta* AI Support Assistant – чат‑бот, интегрированный в продукты Meta* для автоматической поддержки. Предназначен ускорять ответы, но в текущем кейсе получил избыточные привилегии.
Джейн Вонг – исследователь безопасности, известна своими расследованиями уязвимостей в онлайн‑сервисах. Публично поделилась деталями взлома своего Instagram***.
John Bentinvegna – главный мастер‑сержант Космических Сил США, чьи социальные сети часто используют для публичных коммуникаций. Его аккаунт был взломан в результате описанной схемы.
Белый дом (Instagram***‑аккаунт) – официальный профиль, использовавшийся в период администрации Обамы. После 2017 года аккаунт оставался неактивным, но всё равно попал в список жертв.
Итог простой: AI‑чат может облегчить жизнь, но без правильных проверок он открывает дверцы для хакеров. Включайте 2FA, проверяйте свои сеансы и не доверяйте «быстрому решению», если оно выглядит подозрительно.
