Hackere tok over Instagram kontoer bare ved å spørre pent

En alvorlig sikkerhetssvikt hos Meta har gjort det mulig for hackere å kapre Instagram-kontoer på en oppsiktsvekkende enkel måte.

Ifølge flere medier trengte angriperne bare å kontakte Metas egen AI-chatbot og be om å få endret e-postadressen som var knyttet til kontoen.

Tok over kjente kontoer

Blant kontoene som skal ha blitt rammet er den profilerte kontoen @obamawhitehouse, en konto tilknyttet US Space Force og den internasjonale kosmetikkjeden Sephora.

Etter kapringen begynte den tidligere Obama-kontoen å publisere innhold med iransk propaganda, ifølge flere amerikanske medier.

AI-en lot seg lure

Metas AI-støttefunksjon ble lansert tidligere i år for å hjelpe brukere med blant annet passordproblemer og gjenoppretting av kontoer.

Men ifølge nettstedet 404 Media fant hackere raskt en måte å utnytte systemet på.

Fremgangsmåten var overraskende enkel:

Angriperen oppga brukernavnet til offerets konto og ba AI-chatboten om å knytte en ny e-postadresse til kontoen. Deretter sendte chatboten en bekreftelseskode til hackerens e-postadresse.

Les også: N64-perlen er tilbake: Donkey Kong 64 kommer til Switch Online på torsdag

Med koden kunne angriperen tilbakestille passordet og låse den egentlige eieren ute.

Brukte VPN for å virke troverdige

Mange av hackerne skal ha brukt VPN-tjenester for å få det til å se ut som om de befant seg i samme geografiske område som kontoens eier.

Ifølge rapportene gikk de spesielt etter kontoer med korte og attraktive brukernavn, som ofte kan være verdifulle på det svarte markedet. Det skriver tek.no.

Også den kjente sikkerhetsforskeren Jane Manchun Wong skal ha fått Instagram-kontoen sin kapret gjennom metoden.

Meta: Feilen er rettet

Metas kommunikasjonssjef Andy Stone opplyser at selskapet nå har lukket sikkerhetshullet.

Han skriver at Meta samtidig jobber med å sikre kontoene som ble rammet av angrepet.

Hendelsen har likevel skapt nye spørsmål om hvor mye ansvar kunstig intelligens bør få i sensitive oppgaver som kontosikkerhet og identitetsbekreftelse.

For mange fremstår saken som et skremmende eksempel på hvor galt det kan gå når automatiserte systemer får tilgang til viktige sikkerhetsfunksjoner uten tilstrekkelige kontrollmekanismer.

Les også: Tesla knuser konkurrentene i mai: Over 21 prosent av nybilsalget i Norge