Instagram kontra AI: jak atakujący przejmują konta, oszukując automatyczne systemy Meta
Atakujący wykorzystują sztuczną inteligencję, by oszukać Meta AI i przejąć konta na Instagramie. Ofiary tracą dostęp mimo włączonego uwierzytelniania dwuskładnikowego. Eksperci wskazują na słabości automatyzacji w procesie odzyskiwania kont.
W ostatnich dniach kilkudziesięciu użytkowników Instagrama straciło dostęp do swoich kont po tym, jak atakujący wykorzystali sztuczną inteligencję do oszukania automatycznych systemów wsparcia Meta. Jak wynika z doniesień serwisu BleepingComputer, ofiarami padły osoby posiadające rzadkie, krótkie nazwy użytkownika, w tym konto @korn oraz profil wcześniej używany przez zespół Obama White House. Atakujący nie potrzebowali zaawansowanych umiejętności technicznych – wystarczyła znajomość słabości w procesie weryfikacji tożsamości opartym na AI.
Jak działa atak na Meta AI?
Mechanizm przejęcia konta jest zaskakująco prosty. Atakujący inicjuje procedurę „zapomniałem hasła”, a następnie rozmawia z asystentem AI Meta, przekonując go, że jest prawowitym właścicielem konta. Kluczowym elementem jest weryfikacja za pomocą selfie – zamiast prawdziwego zdjęcia atakujący wykorzystuje zdjęcie ofiary pobrane z jej profilu, przepuszcza je przez generator wideo AI i przesyła do Meta jako animację. Jak skomentował jeden z poszkodowanych, użytkownik André: „Meta AI po prostu to akceptuje, bo nie potrafi odróżnić prawdziwego selfie od wygenerowanego przez AI wideo z twarzą”.
Po zmianie adresu e-mail przypisanego do konta atakujący może zresetować hasło i przejąć pełną kontrolę. Co istotne, metoda ta omija zabezpieczenia uwierzytelniania dwuskładnikowego (2FA). Niektórzy atakujący dodatkowo używają VPN, aby połączyć się z lokalizacji ofiary i uniknąć dodatkowych kontroli bezpieczeństwa.
Ofiary bez możliwości odzyskania konta
Największym problemem dla poszkodowanych jest brak dostępu do ludzkiego wsparcia technicznego. Właściciel konta @korn, identyfikujący się jako Kornel, opisał swoją frustrację: „Spędziłem 6 godzin, próbując uzyskać pomoc człowieka, a AI wsparcia Meta podało mi 4 nie działające linki pod rząd”. Dodał: „Doszliśmy do punktu, w którym jedna AI ukradła konto, a druga nie może go naprawić – nigdzie nie ma człowieka”.
Wiceprezes Meta ds. komunikacji Andy Stone odpowiedział na skargi w mediach społecznościowych, stwierdzając, że „problem został rozwiązany, a my zabezpieczamy dotknięte nim konta”. Firma nie opublikowała jednak oficjalnego oświadczenia ani nie podała, ile dokładnie kont zostało przejętych.
Dlaczego to ważne dla polskich użytkowników?
Choć na razie ataki dotknęły głównie posiadaczy rzadkich nazw użytkownika, mechanizm może zostać wykorzystany przeciwko każdemu. Wystarczy, że atakujący zdobędzie zdjęcie ofiary – a te są powszechnie dostępne na profilach publicznych. Automatyzacja procesu odzyskiwania konta, która miała przyspieszyć pomoc, w tym przypadku stała się słabym punktem. BleepingComputer opisuje całą kampanię, podkreślając, że atakujący wykorzystują AI zarówno do przejęcia konta, jak i do uniemożliwienia ofierze odzyskania dostępu.
Jak się chronić i co robić w razie włamania?
Choć nie ma stuprocentowej metody obrony przed tego typu atakiem, warto podjąć kilka kroków:
- Ogranicz widoczność swoich zdjęć – ustaw profil jako prywatny, aby utrudnić atakującym dostęp do materiałów, które mogą posłużyć do wygenerowania fałszywego selfie.
- Nie polegaj wyłącznie na 2FA – uwierzytelnianie dwuskładnikowe jest ważne, ale w tym przypadku nie chroni przed atakiem. Rozważ dodatkowe zabezpieczenia, takie jak lista zaufanych urządzeń.
- Zapisz kody odzyskiwania – Instagram umożliwia wygenerowanie kodów zapasowych, które mogą pomóc w odzyskaniu dostępu bez kontaktu z supportem.
- Monitoruj logowania – regularnie sprawdzaj, z jakich urządzeń i lokalizacji logowano się na Twoje konto.
Jeśli już padniesz ofiarą ataku, spróbuj skorzystać z oficjalnego formularza odzyskiwania konta na stronie Instagrama. W przypadku braku odpowiedzi warto zgłosić sprawę do CERT Polska, który może pomóc w kontakcie z Meta.
Co dalej?
Incydent pokazuje, że automatyzacja wsparcia technicznego, choć wygodna, niesie ze sobą ryzyko. Meta zapowiedziała już zabezpieczenie dotkniętych kont, ale nie wiadomo, czy firma zmieni proces weryfikacji tożsamości. Użytkownicy powinni zachować czujność i nie ufać ślepo automatycznym systemom – zarówno tym atakującym, jak i tym, które mają ich chronić.
