De acordo com pt.wedoany.com-Uma falha no sistema de recuperação de contas assistido por IA da Meta resultou no sequestro de 20.225 contas do Instagram. Os atacantes exploraram uma vulnerabilidade no sistema de Suporte de Alto Contato (High Touch Support, HTS) da empresa para realizar redefinições de senha não autorizadas.
O Suporte de Alto Contato (HTS) é o sistema de recuperação de contas baseado em inteligência artificial do Instagram, projetado para ajudar os utilizadores a recuperar o acesso a contas bloqueadas. Os utilizadores podem solicitar um link de redefinição de senha através do fluxo de trabalho de suporte quando não conseguem aceder à conta.
Amber Hannah, conselheira jurídica adjunta de resposta a incidentes da Meta, explicou que a ferramenta em si funcionava corretamente e cumpria a função esperada, mas um erro num caminho de código independente fez com que o sistema não verificasse corretamente se o endereço de e-mail fornecido ao solicitar a redefinição de senha correspondia ao endereço de e-mail associado à conta do Instagram do utilizador. Quando um indivíduo fornecia um endereço de e-mail anteriormente não associado à conta, o sistema enviava erroneamente o link de redefinição de senha para esse e-mail não associado, em vez de recusar o pedido. Isso permitia que terceiros não autorizados recebessem links de redefinição de senha de contas que não lhes pertenciam. Após a redefinição da senha, se o titular da conta não tivesse ativado a autenticação de dois fatores (2FA), a parte não autorizada podia aceder à conta.
A Meta afirmou ter descoberto a falha em 31 de maio. Um documento publicado no site do Procurador-Geral do Maine lista 17 de abril como a data do incidente, indicando que o primeiro acesso não autorizado pode ter ocorrido há mais de seis semanas. A empresa afirmou não haver evidências de quais informações foram acedidas nas contas invadidas (se é que alguma o foi). Os dados potencialmente expostos das contas afetadas incluem informações de contacto (como endereços de e-mail e números de telefone), data de nascimento, fotos, vídeos, Stories, mensagens privadas, atividade da conta, informações de perfil e serviços associados.
Na semana passada, surgiram relatos no Reddit, X, Telegram e comunidades de segurança de que contas do Instagram estavam a ser sequestradas através do fluxo de trabalho de suporte de IA da Meta. A simplicidade do ataque era notável. Vídeos partilhados no Telegram mostravam atacantes a usar um serviço VPN para se posicionarem aproximadamente na mesma região geográfica da conta-alvo e, em seguida, a solicitar ao chatbot que associasse a conta a um endereço de e-mail sob o seu controlo.
Segundo o jornalista de segurança Brian Krebs, os atacantes visavam contas do Instagram de alto perfil, incluindo a conta da Casa Branca de Obama e a conta do Chefe Mestre Sargento da Força Espacial dos EUA, bem como nomes de utilizador curtos e de alto valor que poderiam ser revendidos no mercado negro.
Após a descoberta da falha, a empresa desativou a ferramenta de suporte assistida por IA afetada, invalidou os links de redefinição de senha gerados através do fluxo de trabalho vulnerável e exigiu autenticação adicional para as contas potencialmente afetadas, instruindo os utilizadores afetados a redefinir as suas senhas. A Meta afirmou que, antes de relançar a ferramenta, corrigirá a verificação de autenticação no ponto de entrada de recuperação do Instagram, garantindo que o endereço de e-mail seja corretamente verificado em relação às informações da conta existente antes de iniciar qualquer redefinição de senha, e está a realizar uma revisão abrangente de processos de recuperação de contas semelhantes na plataforma Meta para identificar e corrigir potenciais problemas.
A Meta lançou o seu assistente de suporte de IA em março, afirmando que estava a testar rigorosamente cada sistema de IA, a estabelecer salvaguardas e a avaliar o seu desempenho para evitar preconceitos e garantir consistência e precisão. Os efeitos negativos de terceirizar a recuperação de contas para a IA chegaram mais rápido do que o esperado.
Este texto foi elaborado por Wedoany. Qualquer citação por IA deve indicar a fonte “Wedoany”. Em caso de infração ou outros problemas, informe-nos prontamente, por favor. O conteúdo será corrigido ou removido. E-mail: news@wedoany.com
