Meta's AI flaw leads to over 20,000 Instagram accounts being hijacked

Mais de 20 mil contas do Instagram foram comprometidas em ataques direcionados ao sistema de suporte com inteligência artificial (IA) da Meta, responsável pela redefinição de senhas. A falha permitiu que invasores utilizassem um 'chatbot' para alterar o e-mail associado a contas visadas, sequestrando perfis de alto valor.

O incidente, que veio à tona na semana passada, afetou especificamente usuários que não possuíam a autenticação de dois fatores (2FA) ativada. Segundo uma carta enviada pela Meta ao procurador-geral dos Estados Unidos, Aaron Frey, cerca de 30 usuários no Maine foram impactados. A falha ocorreu em 17 de abril, data do primeiro ataque registrado explorando essa vulnerabilidade no programa de suporte com IA, lançado pela empresa em dezembro do ano passado.

Embora a Meta não tenha informações precisas sobre quais dados pessoais foram acessados ou roubados, a empresa alerta que invasores podem ter obtido acesso a informações de contato, datas de nascimento, publicações e seu conteúdo, além de mensagens diretas, atividade da conta e serviços conectados. O número total de usuários afetados chega a 20.225, conforme apurado pelo Bleeping Computer.

Amber Hannah, responsável pela Resposta a Incidentes da Meta, explicou em carta que o sistema HTS (High Touch Support), apesar de funcionar corretamente, apresentava um 'bug' que impedia a verificação do endereço de e-mail fornecido pelo usuário. Isso permitiu que os invasores recebessem os links de redefinição de senha e sequestrassem as contas desprotegidas.

Andy Stone, vice-presidente de Comunicações da Meta, confirmou no X (antigo Twitter) que o problema foi solucionado e que as contas afetadas estão sendo protegidas. Como medida imediata, a empresa desativou o serviço de suporte HTS com IA e todos os links de redefinição de senha gerados para prevenir novos ataques.

A Meta planeja relançar o serviço após implementar correções no sistema de autenticação, garantindo uma verificação rigorosa antes de processar solicitações de redefinição de senha. A decisão visa restabelecer a confiança dos usuários e garantir a segurança de suas contas.