Il bot AI creato da Meta ha hackerato gli account su Instagram, ha informato il servizio agli utenti.

Attacco cyber tramite chatbot Meta AI: come gli aggressori hanno “rubato” account Instagram

Durante il fine settimana scorso i criminali informatici hanno scoperto un modo per prendere il controllo di pagine popolari su Instagram usando il chatbot ufficiale di supporto Meta AI. Le vittime sono proprietari di account con nickname brevi e unici (ad esempio, @coolcat) che lamentavano la perdita dell'accesso.

Come funziona lo schema
1. Contatto con il bot

L’hacker informa il chatbot di essere il proprietario dell’account desiderato e chiede di “collegarlo” al proprio indirizzo email.

2. Esecuzione della richiesta dal bot

L'IA, senza ulteriori verifiche, esegue la richiesta cambiando l'email associata con quella dell’aggressore.

3. Reset della password

Una volta cambiato l’email, l’hacker reimposta la password e ottiene il pieno controllo della pagina. Il proprietario perde l'accesso e la sua email viene bloccata.

Non c’è stato alcun coinvolgimento di dipendenti Meta o dei loro collaboratori – tutto avveniva automaticamente tramite IA.

Reazione dell’azienda
- 1 giugno: un rappresentante di Meta, Andy Stone, ha dichiarato che “il problema è già risolto”.

- 2 giugno: il numero di reclami è aumentato. Stone ha precisato che alcuni utenti ricevono notifiche di reset della password, mentre altri incontrano domande di sicurezza al tentativo di accesso.

Meta ha iniziato a proteggere gli account colpiti subito dopo l’annuncio, ma non ha divulgato il numero esatto di profili compromessi.

Perché è stato possibile
A marzo Meta ha lanciato il chatbot AI nella sezione di supporto e gli ha affidato alcune autorizzazioni precedentemente riservate solo alle persone. Tra queste c’era la possibilità di “reimpostare in modo sicuro la password”.

Il mercato dei nickname brevi su Instagram esiste da diversi anni: i venditori li offrono come oggetti da collezione. In passato, per compromettere tali account era necessario phishing, intercettazione del numero telefonico o persino corruzione di insider. Ora basta sfruttare il “freddo” chatbot IA.

Fatti chiave

- Gli hacker usano il chatbot Meta AI per cambiare l’email associata all'account.
- Dopo il reset della password ottengono il pieno controllo della pagina.
- Meta ha dichiarato la risoluzione del problema il 1 giugno, ma i reclami sono aumentati il giorno successivo.
- L'IA ha ricevuto autorizzazioni precedentemente riservate solo alle persone, permettendo così agli aggressori di aggirare le misure di sicurezza tradizionali.