Hafta sonu bazı tanınmış Instagram hesaplarının hacklendiğini duymuş olabilirsiniz. En çok konuşulan, Barack Obama’nın Beyaz Saray hesabıydı. Ancak hackerların çok çaba harcamadığı bir detay da vardı: Meta’nın AI müşteri destek chatbotu, hesapları doğrudan teslim etti.
404 Media’nın haberine göre, hackerlar sadece hedef hesabın e‑posta adresini değiştirmesini istedi. Bot, kimlik doğrulaması istemeden şifre sıfırlama sürecini başlattı. AI, sıfırlama kodunu hacker’ın kendi e‑postasına gönderdi ve hacker bu kodu sohbet penceresine yapıştırdı. Bot, “Şifreyi Sıfırla” butonunu gösterdi; hacker bu butonla yeni bir şifre belirleyerek hesabın kontrolünü ele geçirdi.
X platformunda süreci adım adım gösteren bir video da paylaşıldı. Hacker, bir VPN ile hedef konumunda gibi göründü ve AI, talebi anında kabul etti. Kullanıcı’nın e‑posta adresi ya da mevcut şifresi hiçbir zaman gerekmedi.
Bu açık, Meta’nın AI destek botunu kullanarak MFA (çok faktörlü kimlik doğrulama) olmayan hesapların şifrelerini sıfırlamaya izin veriyordu. Açık kısa bir süre önce kapatıldı.
Bu saldırı, Sephora, ABD Uzay Kuvvetleri Master Serjant John Bentivegna ve güvenlik araştırmacısı Jane Wong gibi pek çok hesabı etkiledi. Jane, X’te “Şifrem bilgim olmadan değiştirildi ve sürekli yeni şifre sıfırlama denemeleri aldım” şeklinde şikayette bulundu.
Sorunun temelinde, Meta’nın müşteri hizmetlerini Mart ayında AI’a devretmesi yatıyor. AI, şüpheli aktiviteler sırasında insan müdahalesine izin vermedi ve bu da sosyal mühendislik saldırısının gerçekleşmesini sağladı.
Güvenlik araştırmacıları ZachXBT ve Dark Web Informer, bu açığı kamuoyuna duyururken, hâlihazırda çalınan yüksek profilli hesapların satışı da gerçekleşti; bazı paketler 1 milyon dolar talep edildi.
Instagram sözcüsü Andy Stone, X üzerinden açığın kapatıldığını ve etkilenen hesapların güvenliğinin sağlandığını belirtti. Meta henüz resmi bir yorum yapmadı.
Kendinizi korumak için: Çok faktörlü kimlik doğrulama (MFA) etkinleştirin; bu, AI tabanlı sıfırlama saldırılarına karşı etkili bir bariyer oluşturur. Ayrıca, mümkün olduğunda passkey kullanın ve hesabınız için ayrı bir, özel e‑posta adresi tercih edin.
Yorum Yap