Meta AI Sohbet Botu Güvenlik Açığı, 20.000'den Fazla Instagram Hesabını Ele Geçirmeye Açtı
Meta, şirketin yapay zeka destekli müşteri hizmetleri sohbet botundaki bir güvenlik açığını istismar ederek bilgisayar korsanlarının muhtemelen 20.225 Instagram hesabını ele geçirdiğini açıkladı. İhlal, Maine eyaletine sunulan bir veri ihlali bildiriminde ortaya çıktı.
Açıktan Nasıl Yararlanıldı?
Güvenlik açığı, şifre sıfırlama işlevselliğiyle ilgili ikincil bir kod yolunda bulunuyordu. Meta'nın yapay zeka destekli sohbet botu, kullanıcıların hesaplarına erişimi geri kazanmalarına yardımcı olmak üzere tasarlanmıştı; ancak sistemdeki bir hata, şifre sıfırlama talep eden e-posta adresinin, hedeflenen Instagram hesabıyla zaten ilişkili olan adresle eşleştiğini düzgün şekilde doğrulayamıyordu.
Bu, saldırganların herhangi bir Instagram hesabı için şifre sıfırlama başlatabilecekleri ve kurtarma bağlantısını kontrol ettikleri bir e-posta adresine göndertebilecekleri anlamına geliyordu — böylece iki faktörlü kimlik doğrulama veya orijinal hesap e-postasına doğrudan erişim ihtiyacı ortadan kalkıyordu.
Şirketin Yanıtı
Meta, yapay zeka sohbet botu aracının temel işlemlerinde "düzgün çalıştığını ve amaçlandığı gibi işlev gördüğünü" belirtti. Şirket, ihlali tamamen yapay zeka sistemindeki bir kusurdan değil, ayrı bir doğrulama kod yolundaki hataften kaynaklanan olarak nitelendirdi.
Etkilenen kullanıcılar muhtemelen standart ihlal bildirimi gerekliliklerine uygun şekilde ihlalden haberdar edildi. Meta güvenlik açığını düzeltmiş görünüyor, ancak düzeltmenin ne zaman uygulandığını veya ihlalin ne zaman tespit edildiğini belirtmedi.
Güvenlik Etkileri
Bu olay, otomatik destek sistemlerindeki güvenlik açıklarının, birincil kimlik doğrulama mekanizmaları düzgün çalışsa bile önemli güvenlik açıkları oluşturabileceğini ortaya koyuyor. Binlerce hesabı etkileyen ihlal ölçeği, yoğun trafikli platformlardaki görünüşte küçük kod yolu hatalarının potansiyel etkisini gösteriyor.
Kullanıcıların bağlı e-posta adreslerini gözden geçirmeleri, iki faktörlü kimlik doğrulamayı etkinleştirmeleri ve yetkisiz erişim belirtileri için hesap etkinliğini izlemeleri önerilmektedir.