Przejdź do treści
Cyberataki

Luka w asystencie AI Meta umożliwiła przejęcie kont Instagrama. Analiza incydentu

Hakerzy wykorzystali błąd w asystencie AI Meta, by przejąć setki kont na Instagramie, w tym profil Białego Domu z czasów Obamy. Atak ominął uwierzytelnianie dwuskładnikowe. Wyjaśniamy, jak doszło do naruszenia i jak zwiększyć bezpieczeństwo swojego konta.

3 min read
A translucent, glowing AI chatbot head with a confused expression, handing a glowing key to a shadowy hand, while a castle of social media icons (Instagram logo, Facebook logo) crumbles in the background. The scene is abstract, with no text or screens, only shapes and light.

W ostatnim tygodniu hakerzy przejęli setki kont na Instagramie, wykorzystując błąd w asystencie AI Meta. Atak dotknął m.in. profil Białego Domu z czasów Obamy, a także konta firmowe Sephory i Johna Bentivegny, Chief Master Sergeanta Space Force. Incydent pokazuje, jak łatwo można obejść zabezpieczenia, gdy sztuczna inteligencja ma zbyt szerokie uprawnienia.

Co się stało?

Jak opisuje SecurityWeek, zagrożenie polegało na logicznym błędzie w asystencie AI Meta, który miał pomagać użytkownikom w odzyskiwaniu dostępu do kont. Asystent posiadał dostęp do API systemów zarządzania kontami – mógł zmieniać adresy e-mail, resetować hasła i weryfikować tożsamość. Hakerzy po prostu poprosili go o przypisanie nowego adresu e-mail do docelowego konta, pod pretekstem utraty dostępu do poprzedniego. Aby ominąć zabezpieczenia antyfraudowe, używali VPN-ów, by symulować lokalizację ofiary.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak działał atak?

Mechanizm ataku to klasyczny problem „confused deputy” – asystent AI, działając w dobrej wierze, wykonywał polecenia bez odpowiedniej weryfikacji. Gdy chatbot poprosił o selfie potwierdzające tożsamość, atakujący modyfikowali zdjęcia ofiar za pomocą narzędzi AI i przesyłali zmienione obrazy. Co gorsza, atak ominął uwierzytelnianie dwuskładnikowe (2FA), a niektórzy poszkodowani nie otrzymali żadnego powiadomienia o próbie resetowania hasła. Po przejęciu konta hakerzy natychmiast sprzedawali je na dark webie, a w sieci pojawiły się instrukcje, jak powtórzyć atak.

Dlaczego to ważne dla użytkowników?

Incydent nie dotyczy tylko gwiazd i dużych firm. Każdy, kto ma konto na Instagramie, może paść ofiarą podobnego ataku, jeśli Meta nie zabezpieczy odpowiednio swoich systemów AI. Dan Moore, senior director w FusionAuth, skomentował: „To świetna ilustracja, dlaczego autoryzacja agenta AI jest trudniejszym i ważniejszym problemem niż uwierzytelnianie. Bot Meta nie zweryfikował, kto pyta – po prostu pomocnie wykonał polecenie, aż do wysłania kodu potwierdzającego nowy adres e-mail”.

Meta poinformowała, że błąd został już naprawiony i exploit przestał działać. Nie wiadomo jednak, ile dokładnie kont zostało przejętych. Firma nie odpowiedziała na pytania SecurityWeek w sprawie skali naruszenia.

Jak się chronić?

Choć luka została załatana, warto podjąć dodatkowe kroki, by utrudnić potencjalne ataki w przyszłości:

  • Włącz uwierzytelnianie dwuskładnikowe – mimo że w tym przypadku 2FA zostało ominięte, nadal stanowi podstawową barierę. Używaj aplikacji uwierzytelniających, a nie SMS-ów.
  • Regularnie sprawdzaj urządzenia i sesje – w ustawieniach Instagrama możesz zobaczyć, które urządzenia mają dostęp do konta. Usuń nieznane.
  • Nie klikaj w podejrzane linki – atakujący często wysyłają phishingowe wiadomości, by zdobyć dane logowania. Zawsze wchodź na Instagram bezpośrednio przez aplikację lub oficjalną stronę.
  • Używaj silnego, unikalnego hasła – najlepiej generowanego przez menedżera haseł. Nie powtarzaj go na innych serwisach.
  • Monitoruj powiadomienia – jeśli dostaniesz e-mail o zmianie adresu lub haśle, a sam tego nie robiłeś, natychmiast działaj: zgłoś przejęcie konta przez formularz Meta.

Co dalej?

Incydent z Instagramem to kolejny sygnał, że integracja AI z krytycznymi systemami wymaga ostrożności. Eksperci podkreślają, że firmy muszą skupić się nie tylko na tym, co AI mówi, ale przede wszystkim na tym, co może zrobić. Dla zwykłych użytkowników najważniejsze jest zachowanie czujności i korzystanie z dostępnych narzędzi bezpieczeństwa. Meta obiecuje, że podobne luki nie powinny się powtórzyć – ale jak pokazuje historia, zaufanie do AI bywa ryzykowne.

#AI #cyberbezpieczeństwo #Instagram #kradzież konta #Meta #phishing
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, kobieta około 40 lat siedząca przy biurku w mieszkaniu, trzyma smartfon w dłoni (widziany od tyłu, bez widocznego ekranu), patrzy na niego z zaniepokojeniem, obok laptop z wyłączonym ekranem, naturalne światło dzienne, głębia ostrości, kadr 16:9, styl Reuters, bez żadnych napisów ani cyfr. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Phishing na Microsoft Teams

29 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie reporterskie: starszy mężczyzna w polskim mieszkaniu w bloku z lat 70., siedzi przy stole w kuchni, trzyma smartfon z włączoną mapą Google, na twarzy wyraz zaniepokojenia i dezorientacji. Przez okno widać szare osiedle. Naturalne światło dzienne, głębia ostrości, ziarno jak z aparatu Canon, kadr 16:9 zbliżenie na twarz i telefon. Żadnych napisów, ekranów z interfejsem, pieniędzy ani dokumentów. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Rosyjskie zagłuszanie GPS w Polsce. 2/3 kraju pod ostrzałem

27 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Close-up of a worried middle-aged man looking at a laptop screen, office background, natural daylight, photorealistic, 16:9, high contrast, shallow depth of field, slight grain resembling stock photography from Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Fałszywa aktualizacja Microsoft Teams. Hakerzy przejmują Twój komputer przez RMM

27 lipca, 2026 3 min read