ثغرة في دعم Meta AI أتاحت اختراق حسابات "إنستغرام"

أصلحت منصة " إنستغرام" ثغرة أمنية خطيرة سمحت لمهاجمين بالاستيلاء على حسابات مستخدمين عبر استغلال روبوت الدعم المعتمد على الذكاء الاصطناعي التابع لشركة ميتا.

وخلال عطلة نهاية الأسبوع، أفاد عدد من المستخدمين عبر منصتي "ريديت" و"إكس" بتعرض حساباتهم للاختراق، فيما حذر آخرون من حوادث مماثلة أدت إلى الاستيلاء على حسابات "إنستغرام".

ومن بين الحسابات التي تأثرت بالهجوم حساب البيت الأبيض خلال إدارة الرئيس الأميركي السابق باراك أوباما، والذي يبدو أنه لم يكن نشطاً منذ عام 2017، إضافة إلى حساب كبير الرقباء في القوات الفضائية الأميركية، جون بنتيفينيا، بحسب تقرير نشره موقع "تك كرانش" واطلعت عليه "العربية Business".

كما أكدت الباحثة الأمنية جين وونغ أن حسابها على "إنستغرام" تعرض للاختراق، مشيرة إلى أن كلمة المرور تم تغييرها دون علمها، وأنها تلقت محاولات متعددة لإعادة تعيين كلمة المرور خلال الفترة نفسها.

وبحسب مقطع فيديو نُشر على منصة "إكس"، اعتمدت عملية الاختراق على استغلال روبوت Meta AI Support Assistant.

حيث استخدم المهاجم شبكة افتراضية خاصة (VPN) لتزييف موقعه الجغرافي بما يتوافق مع موقع الضحية، ما ساعده على تجنب بعض آليات الحماية التلقائية في "إنستغرام".

بعد ذلك، بدأ المهاجم محادثة مع روبوت الدعم وطلب إضافة عنوان بريد إلكتروني جديد إلى حساب الضحية.

وبدلاً من التحقق من البريد الإلكتروني الأصلي المرتبط بالحساب، أرسل الروبوت رمز تحقق إلى البريد الإلكتروني الذي أدخله المهاجم بنفسه.

وبعد إدخال الرمز، أتاح النظام خيار إعادة تعيين كلمة المرور، ما مكن المهاجم من تعيين كلمة مرور جديدة والسيطرة الكاملة على الحساب.

وأظهرت التحقيقات أن المهاجم لم يكن بحاجة إلى اختراق البريد الإلكتروني الحقيقي للضحية أو الوصول إليه في أي مرحلة من مراحل العملية، وهو ما جعل الثغرة شديدة الخطورة.

وأكد التقرير أنه تمكن من التحقق من أن صندوق البريد الإلكتروني المستخدم في التجربة تلقى بالفعل رمز التحقق المرسل من النظام، ما عزز مصداقية الادعاءات المتعلقة بالثغرة.

من جانبه، أعلن المتحدث باسم "إنستغرام" أندي ستون، يوم الاثنين، أن المشكلة تم إصلاحها بالكامل، وذلك رداً على شكاوى المستخدمين ومنشورات الباحثة الأمنية جين وونغ.

ولم تكشف شركة ميتا حتى الآن عن عدد الحسابات التي تأثرت بالثغرة أو الفترة الزمنية التي ظلت خلالها قابلة للاستغلال، لكن الحادثة تثير تساؤلات جديدة حول مخاطر الاعتماد المتزايد على أنظمة الذكاء الاصطناعي في تقديم خدمات الدعم الفني وإدارة العمليات الحساسة المتعلقة بأمان الحسابات الرقمية.