En yeni Instagram 'exploit'i gördüğüm en saçma olanı

İki adımda hesap ele geçirme

30 Mayıs'ta, aralarında Obama Beyaz Saray hesabı gibi yüksek profilli olanların da bulunduğu bir dizi Instagram hesabı ele geçirilmiş görünüyordu. 0xsid.com'da yazan ve neredeyse on beş yıldır unicorn ölçeğinde güvenlik açıkları aradığını söyleyen güvenlik araştırmacısı Sid, bunu gördüğü en ciddiyetsiz exploit olarak niteliyor. Saldırganın başlangıç noktası yalnızca kurbanın kullanıcı adı; o da zaten herkese açık. Ardından hedefin şehrine yakın bir VPN veya proxy üzerinden bağlanıp Instagram'ın güvenlik algoritmalarına makul bir bölge gösteriyor ve Meta'nın destek AI'sine hesabın hacklendiğini söylüyor. Sonra doğrulama kodlarının kendi kontrolündeki bir e-posta adresine gönderilmesini istiyor — ve gönderiliyor.

Yazıya göre, bu adresin hesaba daha önce bağlı olup olmadığı hiç kontrol edilmiyor. Saldırgan kodu doğrulamayı tamamlamak için geri veriyor ve platform yeni bir şifre sıfırlama bağlantısı veriyor. "Aslında hepsi bu," diye yazıyor Sid. "Üretim ortamında gördüğüm ilk gerçek sıfır kimlik doğrulamalı şifre sıfırlama." Instagram'ın AI'si video selfie isteyebilir ya da istemeyebilir; Sid'e göre pek seçici değil ve hedefin herkese açık akışından alınan, AI ile canlandırılmış bir fotoğrafın işe yaradığı yaygın olarak bildiriliyor.

İki adımlı doğrulama yardımcı olmuyor

Sistem bu yüksek yetkili kurtarma akışını "gerçek" sahibin hesabı tamamen sıfırlaması olarak gördüğü için mevcut iki adımlı doğrulama sınanmıyor, doğrudan atlanıyor. Oturumlar iptal ediliyor ve şifre, gerçek sahibe e-posta, SMS veya bildirim gitmeden değiştiriliyor. Sonrasında kurtarma kapanıyor, çünkü hesaptaki e-posta ve telefon numarası artık saldırganı işaret ediyor. Başvurulacak bir insan yok: sahip, bir sohbet arayüzüyle tartışmak ve bunun tekrarlanmamasını ummakla kalıyor. AI destek seçeneğinin açık olduğu A/B test grubundaki hesaplar bu seçeneği kapatamıyor bile.

Kullanıcı adlarının kara bazarı

Telegram'da "hesap ele geçirme" hizmetlerini yüksek fiyatlarla ve kısa teslim süreleriyle sunan birkaç kara bazar grubu ortaya çıktı. Kısa kullanıcı adları yüz binlerce, hatta milyonlarca dolar değerinde olduğu için talep şaşırtıcı değil. Hesaplar el değiştirdi — aralarında "hey" adı da var — ya da ABD Uzay Kuvvetleri'nin baş çavuşunun hesabı olan ocmssf ve obamawhitehouse örneğinde olduğu gibi propaganda için kullanıldı.

Yamalandı — haftalar, belki aylar sonra

Telegram grupları sustu ve Meta yöntemi kapatmış görünüyor. Sid, bundan önce yöntemin haftalarca, hatta aylarca işlediğini belirtiyor. Bölümle ilgili özeti şu: 1,5 trilyon dolar değerindeki bir şirketin sağlam koruma mekanizmaları eksikti ve destek AI'si, yeterince nazikçe istenirse herhangi bir hesabın bağlı e-posta adresini değiştiriyordu — yeterince komik olmasa ürkütücü diyeceği bir ihtimal.