უახლესი Instagram-ექსპლოიტი ყველაზე სასაცილოა, რაც მინახავს

ანგარიშის ხელში ჩაგდება ორ ნაბიჯში

30 მაისს Instagram-ის ანგარიშების ტალღა, მათ შორის ისეთი ცნობადი, როგორიცაა Obama White House-ის ანგარიში, სავარაუდოდ გატეხილი აღმოჩნდა. სიდი, უსაფრთხოების მკვლევარი, რომელიც 0xsid.com-ზე წერს და ამბობს, რომ თითქმის თხუთმეტი წელია უნიკორნების მასშტაბზე დაუცველობებს ეძებს, ამას ყველაზე არასერიოზულ ექსპლოიტად უწოდებს. თავდამსხმელს საწყისად მხოლოდ მსხვერპლის მომხმარებლის სახელი სჭირდება, რომელიც საჯაროა. შემდეგ ის VPN-ით ან პროქსით მიზნის ქალაქთან ახლოს უკავშირდება, რომ Instagram-ის უსაფრთხოების ალგორითმებს რეგიონი დამაჯერებლად მოეჩვენოს, და Meta-ს მხარდაჭერის AI-ს ატყობინებს, რომ ანგარიში გატეხილია. შემდეგ სთხოვს, რომ დადასტურების კოდები მისივე კონტროლირებად ელფოსტაზე გაიგზავნოს — და ისიც აგზავნის.

ამ წერილის მიხედვით, არავინ ამოწმებს, ეკუთვნოდა თუ არა ეს მისამართი ოდესმე ანგარიშს. თავდამსხმელი კოდს უკან აბრუნებს დადასტურების დასასრულებლად და პლატფორმა ახალ პაროლის აღდგენის ბმულს გასცემს. „სინამდვილეში სულ ეს არის“, წერს სიდი. „პირველი ნამდვილი ნულოვანი ავტორიზაციის პაროლის განულება, რაც წარმოებაში მინახავს.“ Instagram-ის AI შეიძლება ან არ ითხოვს ვიდეო-სელფს; ავტორის თქმით, ის განსაკუთრებით გამრჩევი არ არის და ფართოდ გავრცელებული ინფორმაციით, მუშაობს მსხვერპლის საჯარო გვერდიდან აღებული, AI-ით ანიმირებული ფოტოც.

ორფაქტორიანი ავტორიზაცია არ შველის

რადგან სისტემა ამ მაღალი უფლებების აღდგენის პროცესს „ნამდვილი“ მფლობელის მიერ ანგარიშის სრულ განულებად აღიქვამს, არსებული 2FA არ გამოწვევას, არამედ გვერდის ავლას განიცდის. სესიები წყდება და პაროლი იცვლება ისე, რომ ნამდვილი მფლობელი არც ელფოსტით, არც SMS-ით და არც push-შეტყობინებით არ ინფორმირდება. ამის შემდეგ აღდგენა ჩაკეტილია, რადგან ანგარიშზე მიბმული ელფოსტა და ტელეფონის ნომერი უკვე თავდამსხმელს მიუთითებს. ადამიანი, ვისთანაც შეიძლება საკითხის გადატანა, არ არსებობს: მფლობელს მხოლოდ ჩატთან კამათი რჩება იმ იმედით, რომ თავდამსხმელი ამას აღარ გაიმეორებს. ანგარიშებს, რომლებიც A/B ტესტის იმ ჯგუფში მოხვდნენ, სადაც AI მხარდაჭერის ოფცია აქტიურია, მისი გამორთვაც კი არ შეუძლიათ.

შავი ბაზარი სახელების ირგვლივ

Telegram-ზე რამდენიმე შავი ბაზრის ჯგუფი გაჩნდა, რომლებიც „ანგარიშის ხელში ჩაგდების“ სერვისს მაღალ ფასად და მოკლე ვადაში სთავაზობდნენ. მოკლე სახელები ასიათასობით, ზოგჯერ მილიონობით დოლარი ღირს, ამიტომ მოთხოვნა გასაკვირი არ არის. ანგარიშები გადაიყიდა — მათ შორის სახელი „hey“ — ან პროპაგანდისთვის გამოიყენეს, როგორც obamawhitehouse-ისა და ocmssf-ის შემთხვევაში, რომელიც აშშ-ის კოსმოსური ძალების მთავარი სერჟანტის ანგარიშია.

გამოსწორდა — კვირების ან თვეების შემდეგ

Telegram-ის ჯგუფები ჩაცხრა და Meta-მ მეთოდი, როგორც ჩანს, უკვე დახურა. სიდი აღნიშნავს, რომ მანამდე ის, სავარაუდოდ, კვირების, თუ არა თვეების განმავლობაში მუშაობდა. მისი შეჯამება ასეთია: 1,5 ტრილიონ დოლარად შეფასებულ კომპანიას მყარი დაცვის მექანიზმები აკლია და მისი მხარდაჭერის AI ნებისმიერი ანგარიშის მიბმულ ელფოსტას შეცვლის, თუ საკმარისად თავაზიანად სთხოვ — პერსპექტივა, რომელსაც ავტორი საშიშს უწოდებს, რომ არა ის, რომ ეს სასაცილოცაა.