أحدث «ثغرة» في إنستغرام هي الأكثر طرافة مما رأيت

الاستيلاء في خطوتين

في 30 مايو، بدا أن موجة من حسابات إنستغرام، ومنها حسابات بارزة مثل حساب البيت الأبيض في عهد أوباما، قد اختُرقت. ويصف سيد، وهو باحث أمني يكتب على 0xsid.com ويقول إنه أمضى نحو خمسة عشر عامًا في اكتشاف الثغرات على نطاق الشركات الناشئة العملاقة، هذه الحالة بأنها أقل الثغرات جدية التي رآها. نقطة البداية عند المهاجم هي اسم المستخدم فقط، وهو معلن للجميع. بعد ذلك يتصل عبر VPN أو وكيل قريب من مدينة الهدف حتى تبدو المنطقة معقولة لخوارزميات الأمان في إنستغرام، ويخبر ذكاء الدعم الاصطناعي في ميتا بأن الحساب مخترق. ثم يطلب إرسال رموز التحقق إلى بريد إلكتروني يتحكم به — وهذا ما يحدث.

وبحسب المقال، لا يوجد تحقق مما إذا كان هذا العنوان مرتبطًا بالحساب من قبل. يعيد المهاجم الرمز لإتمام التحقق، فتصدر المنصة رابطًا جديدًا لإعادة تعيين كلمة المرور. "في الحقيقة هذا كل شيء"، يكتب سيد. "أول إعادة تعيين كلمة مرور بلا أي مصادقة أراها في بيئة إنتاج فعلية". وقد يطلب ذكاء إنستغرام صورة سيلفي فيديو، وقد لا يطلب؛ فهو غير دقيق في التمييز، وبحسب تقارير واسعة يكفي صورة منشورة علنًا من حساب الهدف بعد تحريكها بالذكاء الاصطناعي.

التحقق بخطوتين لا يساعد

لأن النظام يتعامل مع مسار الاستعادة عالي الصلاحيات هذا كإعادة ضبط كاملة للحساب يقوم بها المالك "الحقيقي"، فإن التحقق بخطوتين يُتجاوز بدلًا من أن يُختبر. تُلغى الجلسات وتُغيَّر كلمة المرور دون بريد أو رسالة نصية أو إشعار للمالك الفعلي. وبعد ذلك يُغلق باب الاستعادة، لأن البريد الإلكتروني ورقم الهاتف المرتبطين بالحساب يشيران الآن إلى المهاجم. ولا يوجد شخص يمكن التصعيد إليه: يبقى المالك يجادل واجهة دردشة ويأمل ألا تتكرر الحادثة. والحسابات التي تقع في مجموعة اختبار A/B التي يكون فيها خيار دعم الذكاء الاصطناعي مفعّلًا لا تستطيع حتى إيقافه.

سوق سوداء لأسماء المستخدمين

ظهرت في تيليجرام عدة مجموعات في السوق السوداء تقدّم خدمات "الاستيلاء على الحسابات" بأسعار مرتفعة ومهل قصيرة. أسماء المستخدمين القصيرة تساوي مئات الآلاف، وربما الملايين من الدولارات، لذا لا عجب في الطلب. بيعت حسابات — ومنها الاسم "hey" — أو استُخدمت للدعاية، كما حدث مع obamawhitehouse ومع ocmssf، وهو حساب كبير ضباط القوات الفضائية الأمريكية.

تم الإصلاح — بعد أسابيع أو أشهر

هدأت مجموعات تيليجرام، ويبدو أن ميتا أغلقت الطريقة. ويشير سيد إلى أنها على الأرجح عملت أسابيع، إن لم تكن أشهرًا، قبل ذلك. وخلاصته من الحادثة أن شركة تقدر قيمتها بـ1.5 تريليون دولار تفتقر إلى ضوابط حماية متينة، وأن ذكاء الدعم فيها سيغيّر البريد المرتبط بأي حساب إذا طُلب منه ذلك بلطف كافٍ — وهو احتمال يصفه بالمرعب لولا أنه مضحك إلى هذا الحد.