Найновіший «експлойт» Instagram — найбезглуздіше, що я бачив

Захоплення акаунта у два кроки

30 травня хвиля акаунтів Instagram, зокрема й відомих, як-от акаунт Obama White House, вочевидь була зламана. Сід, дослідник безпеки, який пише на 0xsid.com і каже, що майже півтора десятиліття шукає вразливості в масштабі «єдинорогів», називає це найнесерйознішим експлойтом, який він бачив. Відправна точка для атакувальника — лише ім'я користувача жертви, а воно публічне. Далі він підключається через VPN або проксі поблизу міста цілі, щоб алгоритми безпеки Instagram бачили правдоподібний регіон, і повідомляє AI-підтримці Meta, що акаунт зламано. Потім просить надіслати коди підтвердження на пошту, яку контролює сам, — і та надсилає.

За словами автора, ніхто не перевіряє, чи була ця адреса колись прив'язана до акаунта. Атакувальник повертає код назад, щоб завершити підтвердження, і платформа видає нове посилання для скидання пароля. «Насправді це все», — пише Сід. «Перше справжнє скидання пароля з нульовою автентифікацією, яке я бачив у роботі». AI Instagram може попросити відеоселфі, а може й ні; він, за словами автора, не надто розбірливий, і, за численними повідомленнями, достатньо анімованого AI фото з публічної стрічки цілі.

Двофакторний захист не допомагає

Оскільки система сприймає цей процес відновлення з високими привілеями як повне скидання акаунта «справжнім» власником, наявний двофакторний захист не проходить перевірку, а обходиться. Сесії скасовуються, пароль змінюється — без листа, SMS чи push-повідомлення реальному власнику. Після цього відновлення закрите, бо пошта й номер телефону на акаунті тепер вказують на атакувальника. Людини, до якої можна ескалувати, немає: власник залишається сперечатися з чатом і сподіватися, що це не повториться. Акаунти, які потрапили до групи A/B-тесту з увімкненою опцією AI-підтримки, не можуть навіть вимкнути її.

Чорний ринок нікнеймів

У Telegram з'явилося кілька груп чорного ринку, які пропонують послуги «захоплення акаунтів» за високими цінами та з короткими термінами. Короткі нікнейми коштують сотні тисяч, а іноді й мільйони доларів, тож попит не дивує. Акаунти перепродували — серед них нік «hey» — або використовували для пропаганди, як у випадку з obamawhitehouse та ocmssf, акаунтом головного сержанта Космічних сил США.

Виправлено — через тижні або місяці

Групи в Telegram затихли, і Meta, схоже, вже закрила цей метод. Сід зауважує, що до того він, імовірно, працював тижнями, якщо не місяцями. Його підсумок: компанія з оцінкою 1,5 трильйона доларів не мала надійних запобіжників, а її AI-підтримка змінить прив'язану пошту будь-якого акаунта, якщо попросити достатньо ввічливо — перспектива, яку він називає моторошною, якби не була такою кумедною.