Meta gửi email cảnh báo đến người dùng Instagram

Cuối tuần qua, giới tin tặc tuyên bố đã khai thác thành công chatbot AI của Meta để chiếm quyền kiểm soát hàng loạt tài khoản Instagram nổi tiếng.

Cùng thời điểm, nhiều người dùng đồng loạt phàn nàn trên mạng xã hội về việc tài khoản Instagram của họ bị đánh cắp, trong đó có những tài khoản sở hữu tên người dùng ngắn và độc đáo.

TechCrunch ghi nhận các trường hợp tài khoản bị tấn công sở hữu tên phổ biến hoặc tên quốc gia.

Những tài khoản này sau đó được bán lại như một dạng đồ sưu tầm trên chợ đen chuyên các tên nguyên bản (OG).

Các nạn nhân khác của chiến dịch này dường như bao gồm cả tài khoản không hoạt động của Nhà Trắng thời cựu Tổng thống Barack Obama (dù Meta đã bác bỏ thông tin này).

Các cuộc tấn công này đơn giản đến mức việc gọi chúng là các vụ tấn công mạng có thể đang đề cao nhóm thủ phạm, đồng thời chưa quy đủ trách nhiệm cho Meta trong việc ngăn chặn các thủ đoạn thô sơ nhằm chiếm đoạt tài khoản người dùng.

Tin tặc chỉ cần báo với chatbot AI của Meta rằng chúng là chủ sở hữu của tài khoản mục tiêu, sau đó yêu cầu hệ thống liên kết tài khoản đó với một email do chúng kiểm soát.

Chatbot đã thực hiện đúng yêu cầu, cho phép kẻ tấn công đặt lại mật khẩu và chiếm quyền kiểm soát, thậm chí khóa quyền truy cập của nạn nhân.

Không có bất kỳ nhân viên hay nhà thầu nào của Meta tham gia vào quá trình xét duyệt này.

Hôm 1/6, người phát ngôn của Meta, ông Andy Stone, khẳng định: “Sự cố đã xảy ra và hiện đã được khắc phục”.

EED

ED

Tuy nhiên, đến ngày hôm sau, vẫn có thêm nhiều người dùng Instagram báo cáo tài khoản bị đánh cắp.

Đồng thời, TechCrunch đã theo dõi các cuộc thảo luận trên một kênh Telegram nơi kỹ thuật tấn công được chia sẻ.

Các thành viên tại đây tuyên bố vẫn có thể tiếp tục khai thác chatbot của Meta và công khai rao bán các tài khoản vừa chiếm đoạt tính đến thời điểm bài báo được viết.

Rất khó để xác định chắc chắn liệu tất cả các tài khoản này đều bị tấn công bằng cùng một thủ đoạn hay không.

Trong một bài đăng sau đó trên nền tảng X, ông Stone cho biết: “Một số người có thể nhận được thông báo đặt lại mật khẩu và một số có thể được yêu cầu trả lời câu hỏi bảo mật khi cố gắng đăng nhập vào tài khoản của họ”.

Trao đổi với TechCrunch qua email, ông Stone xác nhận Meta đã bảo vệ các tài khoản bị ảnh hưởng vào ngày 1/6, sau đó bắt đầu gửi email đặt lại mật khẩu. Tuy nhiên, ông từ chối tiết lộ số lượng người dùng bị tấn công.

Nhiều người dùng cho biết Meta đã bắt đầu gửi thông báo cảnh báo.

Các nạn nhân công khai chia sẻ việc nhận được email từ Instagram, nêu công ty đã “phát hiện một số hoạt động đáng ngờ cho thấy Instagram của bạn có thể đã bị xâm nhập”.

Thông báo cũng cho biết công ty đã áp dụng các biện pháp bảo mật tài khoản và yêu cầu người dùng đặt lại mật khẩu.

Như trang 404 Media từng lưu ý, hồi tháng 3 Meta thông báo ứng dụng AI để tự động hóa quy trình hỗ trợ người dùng.

Công ty tuyên bố chatbot “được thiết kế để giải quyết các vấn đề về tài khoản từ đầu đến cuối” và sẽ có khả năng “đặt lại mật khẩu của bạn một cách an toàn”. 

Điều này cho thấy chatbot có thể thực hiện các thao tác vốn từng đòi hỏi sự can thiệp của con người, xét trên mức độ quan trọng của hệ thống bảo mật.

Trong nhiều năm qua, thị trường mua bán các tên người dùng OG đã phát triển rất mạnh mẽ. Tuy nhiên, trước đây, việc chiếm đoạt các tài khoản này đòi hỏi những chiến lược phức tạp hơn, chẳng hạn tấn công giả mạo nạn nhân, chiếm đoạt số điện thoại hoặc mua chuộc nội gián tại các nhà cung cấp dịch vụ viễn thông.

Lần này, tin tặc chỉ việc đưa ra yêu cầu và chatbot của Meta đã làm theo.

(Theo TechCrunch)

Hacker lợi dụng trợ lý Meta AI chiếm quyền tài khoản InstagramTin tặc lợi dụng trợ lý AI của Meta để chiếm đoạt nhiều tài khoản Instagram lớn, buộc mạng xã hội này phải tung vá lỗi khẩn cấp.