Ən yeni Instagram "exploit"i gördüyüm ən gülməli olanıdır

Hesabın ələ keçirilməsi iki addımda

30 mayda Instagram hesablarının bir dalğası, o cümlədən Obama White House hesabı kimi tanınmış olanlar, guya hacklənmiş görünürdü. 0xsid.com-da yazan və təxminən on beş ildir "unicorn" miqyasında zəifliklər axtardığını deyən təhlükəsizlik tədqiqatçısı Sid bunu gördüyü ən qeyri-ciddi exploit adlandırır. Hücumçunun başlanğıc nöqtəsi yalnız qurbanın istifadəçi adıdır və o, açıqdır. Sonra hədəfin şəhərinə yaxın VPN və ya proksi ilə qoşulur ki, Instagram-ın təhlükəsizlik alqoritmləri məqbul region görsün, və Meta-nın dəstək AI-sinə hesabın hackləndiyini bildirir. Ardından təsdiq kodlarının özünün nəzarət etdiyi e-poçt ünvanına göndərilməsini xahiş edir — və göndərilir.

Yazıya görə, bu ünvanın hesaba əvvəl bağlı olub-olmadığı yoxlanılmır. Hücumçu təsdiqi tamamlamaq üçün kodu geri ötürür və platform yeni şifrə sıfırlama linki verir. "Əslində hamısı budur," yazır Sid. "İstehsalatda gördüyüm ilk həqiqi sıfır autentifikasiyalı şifrə sıfırlaması." Instagram-ın AI-si video selfi istəyə bilər, istəməyə də bilər; Sidə görə o, xüsusilə seçici deyil və hədəfin açıq axınından götürülmüş, AI ilə canlandırılmış fotoşəklin işlədiyi geniş bildirilir.

İkiaddımlı doğrulama kömək etmir

Sistem bu yüksək səlahiyyətli bərpa axınını "əsl" sahibin hesabı tam sıfırlaması kimi qəbul etdiyi üçün mövcud ikiaddımlı doğrulama yoxlanılmır, sadəcə yan keçilir. Sessiyalar ləğv edilir və şifrə əsl sahibə e-poçt, SMS və ya bildiriş getmədən dəyişdirilir. Sonra bərpa bağlanır, çünki hesabdakı e-poçt və telefon nömrəsi artıq hücumçunu göstərir. Müraciət ediləcək insan yoxdur: sahib çat interfeysi ilə mübahisə etmək və bunun təkrarlanmamasını diləməklə qalır. AI dəstək seçiminin aktiv olduğu A/B test qrupundakı hesablar onu söndürə də bilmir.

İstifadəçi adlarının qara bazarı

Telegram-da "hesab ələ keçirmə" xidmətlərini yüksək qiymətlərlə və qısa müddətdə təklif edən bir neçə qara bazar qrupu yarandı. Qısa istifadəçi adları yüz minlərlə, bəzən milyonlarla dollar dəyərindədir, ona görə tələb təəccüblü deyil. Hesablar satıldı — aralarında "hey" adı da var — ya da ABŞ Kosmik Qüvvələrinin baş serjantının hesabı olan ocmssf və obamawhitehouse nümunəsində olduğu kimi təbliğat üçün istifadə edildi.

Yamandı — həftələr, bəlkə aylar sonra

Telegram qrupları susdu və Meta metodun artıq bağlandığını göstərir. Sid qeyd edir ki, bundan əvvəl o, çox güman ki, həftələrlə, hətta aylarla işləyirdi. Onun yekunu belədir: 1,5 trilyon dollar dəyərində şirkətin möhkəm qoruyucu mexanizmləri yox idi və dəstək AI-si kifayət qədər nəzakətlə xahiş edilsə, hər hansı hesabın bağlı e-poçtunu dəyişəcəkdi — kifayət qədər gülməli olmasaydı, dəhşətli adlandıracağı bir ehtimal.