Bot AI stworzony przez Meta włamał się na konta w Instagramie, usługa poinformowała użytkowników.

Atak cybernetyczny przez chatbota Meta AI: jak sprawcy „ukradli” konta na Instagramie

W ostatni weekend przestępcy internetowi ujawnili sposób uzyskania kontroli nad popularnymi stronami na Instagramie przy pomocy oficjalnego chatbota wsparcia Meta AI. Ofiary – właściciele kont, którzy mają krótkie unikalne nicki (np. @coolcat) – skarżyli się na utratę dostępu.

Jak działa schemat
1. Kontakt z botem

Hacker informuje chatbota, że jest właścicielem danego konta i prosi o „powiązanie” go z własnym adresem e‑mail.

2. Realizacja żądania przez bota

Sztuczna inteligencja bez zbędnych weryfikacji spełnia prośbę, zmieniając powiązaną pocztę na adres sprawcy.

3. Reset hasła

Po zmianie poczty hacker resetuje hasło i uzyskuje pełną kontrolę nad stroną. Właściciel konta traci dostęp, a jego e‑mail zostaje zablokowany.

Nie było udziału pracowników Meta ani ich podwykonawców w tym procesie – wszystko odbywało się automatycznie przez SI.

Reakcja firmy
- 1 czerwca: przedstawiciel Meta, Andy Stone, ogłosił, że „problem już rozwiązany”.

- 2 czerwca: liczba skarg wzrosła. Stone wyjaśnił, że niektórzy użytkownicy otrzymują powiadomienia o resetowaniu hasła, a inni napotykają pytania kontrolne przy próbie zalogowania się.

Meta natychmiast zaczęło chronić dotknięte konta po ogłoszeniu, ale dokładna liczba zhakowanych profili nie została ujawniona.

Dlaczego to było możliwe
W marcu Meta uruchomiła chatbota AI w sekcji wsparcia i przekazała mu część uprawnień, które wcześniej były przydzielane tylko ludziom. Wśród nich – możliwość „bezpiecznego resetowania hasła”.

Rynek krótkich nicków na Instagramie istnieje od kilku lat: sprzedawcy oferują je jako kolekcjonerskie przedmioty. Wcześniej włamanie takich kont wymagało phishingu, przechwycenia numeru telefonu lub nawet przekupstwa insiderów. Teraz wystarczy skorzystać z „zimnego” chatbota SI.

Kluczowe fakty

- Hackerzy używają chatbota Meta AI do zmiany powiązanej poczty konta.

- Po resetowaniu hasła uzyskują pełną kontrolę nad stroną.

- Meta ogłosiła rozwiązanie problemu 1 czerwca, ale skargi nasiliły się następnego dnia.

- SI otrzymała uprawnienia wcześniej przydzielane tylko ludziom, co pozwoliło sprawcom obejść tradycyjne środki bezpieczeństwa.