فضيحة أمنية.. ميتا تعترف بالتورط في اختراق 20 ألف حساب على إنستجرام

تقول شركة ميتا إن ما يقرب من 20 ألف حساب على إنستجرام ربما تعرضت للاختراق في هجوم حديث استغل أداة دعم استعادة الحسابات المدعومة بالذكاء الاصطناعي.

وقد تمكن قراصنة من اختراق العديد من حسابات إنستجرام ببساطة عن طريق طلب ربط بريدهم الإلكتروني بالحساب المستهدف من روبوت الدردشة الخاص بمنصة ميتا.

وقد مكّنهم ذلك من إعادة تعيين كلمة مرور الحساب والسيطرة عليه وشملت قائمة الحسابات المتضررة حسابات البيت الأبيض في عهد أوباما، وسيفورا، ورئيس أركان القوات الفضائية الأمريكية جون بنتيفينيا.

وقام بعض مجرمي الإنترنت بنشر مقاطع فيديو وتعليمات حول كيفية تنفيذ الهجوم.

وتقوم شركة ميتا الآن بإبلاغ السلطات بتأثير الحادث، حيث أبلغت مكتب المدعي العام في ولاية مين أن العدد الإجمالي للأفراد الذين يحتمل أن يكونوا متضررين يبلغ 20225.

ورغم ذلك، أشارت آمبر هانا، المستشارة القانونية المساعدة لشؤون الاستجابة للحوادث في شركة ميتا، إلى أن العدد الإجمالي قد يكون أقل في الواقع، فقد أحصت الشركة المستخدمين الذين أُعيد تعيين كلمات مرورهم عبر أداة الدعم، والذين لم يُفعّلوا خاصية المصادقة الثنائية، والذين يُرجّح أن حساباتهم قد تم اختراقها، إلا أن بعض هذه الحسابات قد يكون قد تم اختراقها من قِبل أصحابها الشرعيين وليس من قِبل المخترقين.

ويكشف إفصاح شركة ميتا للمدعي العام في ولاية مين أن استغلال أداة الدعم عالي اللمس (HTS) الخاصة بها قد تم اكتشافه في 31 مايو.

تم تصميم الأداة لمساعدة المستخدمين على استعادة الوصول إلى حساباتهم بعد أن تم حظرها، واستغل المتسللون ثغرة أمنية في الأداة لإعادة تعيين كلمات مرور Instagram.

ويمكن للمستخدمين طلب الدعم من HTS، وكجزء من هذه العملية، يمكنهم طلب إرسال رابط إعادة تعيين كلمة المرور إلى بريدهم الإلكتروني.

وقد عملت الأداة بشكل صحيح كما هو مُصمم لها؛ إلا أنه بسبب خلل في مسار برمجي منفصل، لم يتحقق النظام بشكل صحيح من تطابق عنوان البريد الإلكتروني المُقدم من الشخص الذي يطلب إعادة تعيين كلمة المرور مع عنوان البريد الإلكتروني المرتبط بحسابه على إنستجرام.

وأفادت شركة ميتا بأنه من غير الواضح ما إذا كان قد تم الوصول إلى المعلومات الشخصية المخزنة في الحسابات المخترقة.

ومع ذلك، فمن المحتمل أن يكون المهاجمون قد حصلوا على معلومات الملف الشخصي، وعناوين البريد الإلكتروني، وأرقام الهواتف، وتواريخ الميلاد، والرسائل المباشرة، ومنشورات وسائل التواصل الاجتماعي، ومعلومات حول نشاط الحساب وسجل التفاعلات.