האקספלויט החדש ביותר באינסטגרם הוא המגוחך ביותר שראיתי

ההשתלטות בשני שלבים

ב-30 במאי נראה היה שגל של חשבונות אינסטגרם, ובהם חשבונות בולטים כמו זה של הבית הלבן של אובמה, נפרץ. סיד, חוקר אבטחה שכותב ב-0xsid.com ואומר שהוא מקדיש כמעט עשור וחצי לאיתור חולשות בקנה מידה של חדי-קרן, מכנה את זה האקספלויט הכי לא-רציני שראה. נקודת הפתיחה של התוקף היא רק שם המשתמש של הקורבן, והוא פומבי. משם הוא מתחבר דרך VPN או פרוקסי סמוך לעיר היעד כדי שאלגוריתמי האבטחה של אינסטגרם יראו אזור סביר, ומודיע ל-AI התמיכה של מטא שהחשבון נפרץ. אחר כך הוא מבקש שישלחו קודי אימות לכתובת דואר שהוא שולט בה — וזה מה שקורה.

לפי הפרסום, אין בדיקה אם הכתובת הזו הייתה אי פעם משויכת לחשבון. התוקף מחזיר את הקוד כדי להשלים את האימות, והפלטפורמה מנפיקה קישור חדש לאיפוס סיסמה. "בעצם, זה הכל", כותב סיד. "איפוס הסיסמה הראשון באמת עם אימות אפס שאני רואה בפרודקשן". ה-AI של אינסטגרם עשוי לבקש סלפי וידאו, ואולי לא; הוא לא מאוד בררן, ולפי דיווחים נרחבים די בתמונה ציבורית מהפיד של היעד שעברה אנימציה ב-AI.

אימות דו-שלבי לא עוזר

מכיוון שהמערכת מתייחסת לתהליך השחזור עתיר ההרשאות הזה כאיפוס מלא של החשבון בידי הבעלים "האמיתי", אימות דו-שלבי קיים פשוט נעקף במקום להיבדק. ההפעלות מתבטלות והסיסמה מוחלפת בלי דואר, SMS או התראת פוש לבעלים האמיתי. אחר כך השחזור חסום, כי כתובת הדואר ומספר הטלפון בחשבון מצביעים כעת על התוקף. אין גורם אנושי שאליו אפשר לפנות: הבעלים נשאר להתווכח עם ממשק צ'אט ולקוות שזה לא יקרה שוב. חשבונות שנכללים בקבוצת בדיקת ה-A/B שבה אפשרות תמיכת ה-AI פעילה אינם יכולים אפילו לכבות אותה.

שוק שחור של שמות משתמש

בטלגרם קמו כמה קבוצות שוק שחור שמציעות שירותי "השתלטות על חשבון" במחירים גבוהים ובזמני אספקה קצרים. שמות משתמש קצרים שווים מאות אלפי דולרים, לעיתים מיליונים, כך שהביקוש לא מפתיע. חשבונות נמכרו מחדש — ובהם השם "hey" — או שימשו לתעמולה, כמו במקרה של obamawhitehouse ושל ocmssf, החשבון של רב-סמל ראשי של חיל החלל האמריקאי.

תוקן — אחרי שבועות או חודשים

קבוצות הטלגרם שתקו, ונראה שמטא כבר סגרה את השיטה. סיד מציין שלפני כן היא כנראה עבדה שבועות, אם לא חודשים. סיכומו של הפרשה: חברה בשווי 1.5 טריליון דולר חסרה מנגנוני הגנה איתנים, וה-AI של התמיכה שלה יחליף את כתובת הדואר המקושרת בכל חשבון אם מבקשים יפה מספיק — סיכוי שהוא מכנה מבעית, אלמלא היה כל כך מצחיק.