Un chatbot di supporto di Meta, destinato ad aiutare gli utenti a recuperare l'accesso ai loro account Instagram, ha invece causato una grossa falle di sicurezza. Secondo l’azienda, grazie a questa falla è stato possibile accedere illegalmente a circa 20.000 account non protetti da un'autenticazione a due fattori.
La vulnerabilità: come era possibile accedere agli account
I malintenzionati avevano libero accesso a tutte le informazioni memorizzate all'interno dei profili compromessi, come data di nascita, messaggi privati, foto e altro materiale sensibile. Sfruttando la vulnerabilità, inoltre, avevano potuto accedere anche ad eventuali account collegati, ad esempio quelli su Facebook.
Ecco come funzionava nel dettaglio: un utente malintenzionato, conoscendo il nome utente di una vittima, avviava la procedura di ripristino password nel menu di accesso di Instagram. Per non destare sospetti, collegava la propria connessione a una rete VPN che mostrasse la posizione approssimativa della vittima. Poi, invece di proseguire con la richiesta del codice di sicurezza via e-mail, apriva una chat con l'assistente AI di Meta.
Il chatbot permetteva all'attaccante di reinviare il codice di ripristino a una mail diversa, collegando quindi l’account della vittima a un account malintenzionato. L’attacco proseguiva inviando il codice ricevuto nuovamente al chatbot, che apriva la porta del cambiamento di password e quindi l’accesso all’account.
Handel illegale di nomi utente ambiti
In base a una dichiarazione del prokuratore generale dello stato federale del Maine, 20.225 account sono stati colpiti da questa vulnerabilità. I legittimi proprietari non sono ancora stati contattati riguardo al problema. Secondo diversi esperti di sicurezza, in circolazione esisteva una lista di prezzi in canali Telegram con nomi utente particolarmente desiderabili: spesso composti da pochi caratteri o significati particolari.
Tra le vittime si è contata anche un'account ufficiale di Barack Obama, in qualità di ex presidente degli Stati Uniti, e recentemente un account importante dell’US Space Force – la forza spaziale statunitense – che è stato preso di mira da hacker iraniani.
L’assistente AI di Meta come causa della vulnerabilità
In marzo 2024, Meta aveva annunciato il lancio dell’assistente AI, un sistema che doveva svolgere compiti importanti, come il supporto per ripristinare l'accesso agli account, in maniera rapida ed efficiente. Ma questa decisione ha generato inaspettate problematiche di sicurezza.
Vari esperti di security hanno segnalato da tempo la possibilità di sfruttare una falla simile, che è stata chiusa solo recentemente. La società ha confermato che si è trattato di un bug nel codice e che ora i problemi sembrano corretti da Meta.
Un approccio aggressivo all’uso della KI
Meta sta spingendo molto sull’uso dell’intelligenza artificiale sia per migliorare i propri servizi che per ottimizzare i processi interni. Secondo alcune fonti, persino la valutazione delle performance dei dipendenti dipende dal loro utilizzo della tecnologia KI.
Non è noto se gli stessi sviluppatori dell’assistente AI avessero utilizzato strumenti a base KI per il loro lavoro. Non sono state nemmeno rese note le eventuali censure interne da parte di Meta.