أخبار ar.wedoany.com، أدى وجود ثغرة في نظام استعادة الحسابات المدعوم بالذكاء الاصطناعي لشركة Meta إلى اختراق 20,225 حسابًا على Instagram. استغل المهاجمون عيبًا في نظام الدعم عالي الاستجابة (High Touch Support - HTS) التابع للشركة، مما مكنهم من إعادة تعيين كلمات المرور للحسابات دون إذن.
نظام الدعم عالي الاستجابة (HTS) هو نظام استعادة حسابات يعتمد على الذكاء الاصطناعي من Instagram، مصمم لمساعدة المستخدمين في استعادة الوصول إلى حساباتهم المقفلة. يمكن للمستخدمين طلب رابط إعادة تعيين كلمة المرور من خلال سير عمل الدعم عندما يتعذر عليهم الوصول إلى حساباتهم.
أوضحت أمبر هانا، نائبة المستشار العام المسؤولة عن الاستجابة للحوادث في Meta، أن الأداة نفسها كانت تعمل بشكل طبيعي وتحقق وظيفتها المتوقعة، إلا أن خطأ في مسار تعليمات برمجية مستقل أدى إلى فشل النظام في التحقق بشكل صحيح من تطابق عنوان البريد الإلكتروني المقدم عند طلب إعادة تعيين كلمة المرور مع عنوان البريد الإلكتروني المرتبط بحساب المستخدم على Instagram. عندما يقدم الفرد عنوان بريد إلكتروني لم يكن مرتبطًا بالحساب من قبل، يقوم النظام بشكل خاطئ بإرسال رابط إعادة تعيين كلمة المرور إلى ذلك البريد الإلكتروني غير المرتبط، بدلاً من رفض الطلب. وقد مكّن هذا الأطراف الثالثة غير المصرح لها من استلام روابط إعادة تعيين كلمة المرور الخاصة بحسابات لا تملكها. بعد إعادة تعيين كلمة المرور، وإذا لم يكن صاحب الحساب قد فعّل المصادقة الثنائية (2FA)، يمكن للطرف غير المصرح له تسجيل الدخول إلى ذلك الحساب.
أفادت Meta أنها اكتشفت الثغرة في 31 مايو. ويشير مستند نُشر على موقع النائب العام لولاية مين إلى أن تاريخ الحادثة هو 17 أبريل، مما يشير إلى أن أول وصول غير مصرح به ربما حدث قبل أكثر من ستة أسابيع. وأكدت الشركة عدم وجود أدلة على أي معلومات تم الوصول إليها ضمن الحسابات المخترقة (إن وجدت). قد تشمل البيانات التي يحتمل تسربها من الحسابات المتأثرة معلومات الاتصال (مثل عناوين البريد الإلكتروني وأرقام الهواتف)، وتاريخ الميلاد، والصور، ومقاطع الفيديو، والقصص، والرسائل الخاصة، ونشاط الحساب، ومعلومات الملف الشخصي، والخدمات المرتبطة.
الأسبوع الماضي، ظهرت تقارير على Reddit وX وTelegram وفي مجتمعات الأمن السيبراني تفيد بأن حسابات Instagram يتم اختراقها من خلال سير عمل الدعم بالذكاء الاصطناعي من Meta. كان بساطة الهجوم ملفتة للنظر. أظهرت مقاطع فيديو تم تداولها على Telegram مهاجمين يستخدمون خدمة VPN لوضع أنفسهم في نفس المنطقة الجغرافية التقريبية للحساب المستهدف، ثم يطلبون من روبوت الدردشة ربط الحساب بعنوان بريد إلكتروني يسيطرون عليه.
وفقًا لمراسل الأمن السيبراني بريان كريبس، استهدف المهاجمون حسابات Instagram عالية الظهور، بما في ذلك حساب البيت الأبيض في عهد أوباما وحساب كبير ضباط الصف في قوة الفضاء الأمريكية، بالإضافة إلى أسماء مستخدمين قصيرة وعالية القيمة يمكن إعادة بيعها في السوق السوداء.
بعد اكتشاف الثغرة، قامت الشركة بتعطيل أداة الدعم المدعومة بالذكاء الاصطناعي المتأثرة، وألغت روابط إعادة تعيين كلمة المرور التي تم إنشاؤها من خلال سير العمل المخترق، وطلبت مصادقة إضافية للحسابات التي يحتمل تأثرها، وأرشدت المستخدمين المتأثرين إلى إعادة تعيين كلمات المرور الخاصة بهم. وأوضحت Meta أنها، قبل إعادة إطلاق الأداة، ستعمل على إصلاح فحص المصادقة في نقطة دخول استعادة الحسابات على Instagram، لضمان التحقق بشكل صحيح من عنوان البريد الإلكتروني مقابل معلومات الحساب الحالية قبل بدء أي عملية إعادة تعيين كلمة مرور، كما تجري مراجعة شاملة لعمليات استعادة الحسابات المماثلة على منصات Meta لتحديد وإصلاح المشكلات المحتملة.
أطلقت Meta مساعد الدعم بالذكاء الاصطناعي في مارس، مدعية أنها تختبر بدقة كل نظام ذكاء اصطناعي، وتضع تدابير الحماية، وتقيّم أداءه لمنع التحيز وضمان الاتساق والدقة. لكن تفويض استعادة الحسابات للذكاء الاصطناعي أظهر آثارًا سلبية أسرع من المتوقع.
تم إعداد هذا المقال بواسطة Wedoany. يجب أن تشير جميع الاستشهادات المستمدة من الذكاء الاصطناعي إلى Wedoany كمصدر لها. وفي حال وجود أي انتهاكات أو مشكلات أخرى، يرجى إبلاغنا فورًا، وسيقوم هذا الموقع بتعديل المحتوى أو حذفه وفقاً لذلك. البريد الإلكتروني: news@wedoany.com
