Meta Подтвердила Взлом 20 Тысяч Аккаунтов Instagram

Что произошло

Все началось с сообщения в блоге, которое Meta опубликовала поздно вечером. Гигант социальных сетей признал, что около 20 000 аккаунтов Instagram были скомпрометированы из-за уязвимости в стороннем инструменте управления на базе искусственного интеллекта (ИИ). Это вызвало настоящий переполох. Этот инцидент еще раз показал нам, насколько распространены стали инструменты на базе ИИ, насколько мы им доверяем и, в то же время, какой огромный риск они несут. Согласно заявлению Meta, атака оставалась незамеченной в течение нескольких недель. Злоумышленники нацелились на популярный инструмент автоматизации, используемый в основном создателями контента и малым бизнесом. Этот инструмент обещал пользователям такие функции, как планирование постов, анализ комментариев и повышение вовлеченности подписчиков. Но за кулисами разрешения, предоставленные пользователями, сработали как Троянский конь. Meta заявляет, что, как только была обнаружена утечка, компания предприняла шаги для защиты затронутых аккаунтов и начала рассылать уведомления пользователям. Но ущерб уже нанесен. Личная жизнь, коммерческие тайны и цифровые личности тысяч людей прямо сейчас могут продаваться в даркнете.

Какие данные были скомпрометированы

Так что же именно было украдено? Хотя отчет Meta довольно скуп на подробности, эксперты по кибербезопасности и анализ утечек рисуют мрачную картину. Вот список данных, которые, как предполагается, были скомпрометированы:

• Личные сообщения (Direct Messages): Возможно, это самое страшное. Вся ваша личная переписка с друзьями, семьей или клиентами. Эти сообщения могут быть использованы для шантажа, мошенничества или атак с использованием социальной инженерии. Просто представьте, что ваши самые сокровенные разговоры оказались в чужих руках.
• Личная информация из профиля: Основные данные, такие как адреса электронной почты, номера телефонов, даты рождения и информация о местоположении, связанные с аккаунтами. Эта информация — практически стартовый набор для кражи личности.
• Приватный контент: Фотографии и видео, которые не были опубликованы для всех, а только для близких друзей или заархивированы. Этот контент также может быть использован в качестве материала для шантажа.
• Списки контактов: Список людей, на которых вы подписаны, и которые подписаны на вас. Злоумышленники могут использовать этот список для распространения атаки, отправляя вашим друзьям поддельные сообщения от вашего имени (целевой фишинг).
• Токены доступа: Это техническая, но самая опасная часть. Используя эти токены, злоумышленники могут продолжать получать доступ к вашему аккаунту в течение длительного времени, не зная вашего пароля. Даже если вы смените пароль, если эти токены не будут отозваны, черный ход останется открытым.

Сочетание этих данных означает гораздо больше, чем просто взломанный аккаунт в Instagram. Это означает, что часть вашей цифровой жизни была полностью захвачена.

Как произошла атака

Эта атака не была классическим взломом пароля. Был использован гораздо более коварный и современный метод. Вместо того чтобы атаковать системы Instagram напрямую, злоумышленники нацелились на слабое звено — сторонние приложения. Вот как, предположительно, развивался процесс: пользователи регистрируются в инструменте на базе ИИ, таком как «InstaAI-Boost» (условное название), для более эффективного управления своими аккаунтами в Instagram. Когда это приложение запрашивает «разрешение на доступ к вашему аккаунту», пользователи часто одобряют его, не задумываясь. Это разрешение позволяет приложению читать ваши сообщения, публиковать посты от вашего имени и просматривать информацию вашего профиля. Злоумышленники проникли на серверы именно этого приложения «InstaAI-Boost». Или они использовали логическую ошибку в API приложения (интерфейс прикладного программирования). Эта ошибка позволяла приложению получать гораздо больше разрешений, чем предполагалось. Попав внутрь, злоумышленники собрали «токены доступа», связанные со всеми аккаунтами пользователей этого инструмента. Эти токены подобны ключу от дома. Тот, у кого есть ключ, может открыть дверь в любое время. Часть с ИИ повысила эффективность операции. Вместо того чтобы вручную просеивать личные сообщения и данные из десятков тысяч украденных аккаунтов, злоумышленники использовали автоматизированные скрипты и, вероятно, модели ИИ для анализа этих данных и извлечения ценной информации (финансовые детали, личные секреты и т. д.). Таким образом, ИИ использовался и как приманка для заманивания жертв, и как инструмент для повышения эффективности самой атаки.

Кто пострадал

Meta, естественно, не раскрывает личности владельцев затронутых аккаунтов. Однако, глядя на профиль пользователей целевого ИИ-инструмента, становится ясно, что некоторые группы подвергались большему риску. В основном это те, кто рассматривает Instagram как бизнес-инструмент:

• Инфлюенсеры и создатели контента: Эта группа чаще всего использует такие инструменты автоматизации для увеличения числа подписчиков и управления вовлеченностью. Их аккаунты ценны для злоумышленников как из-за потенциала охвата большой аудитории, так и из-за сотрудничества с брендами.
• Малые и средние предприятия (МСП): Компании с ограниченным бюджетом на маркетинг в социальных сетях, которые используют подобные ИИ-инструменты для экономии времени. Их переписка с клиентами и коммерческие тайны находятся под угрозой.
• Маркетинговые агентства: Агентства, управляющие аккаунтами нескольких клиентов с одной панели, также подвергаются высокому риску. Компрометация одного аккаунта агентства может означать, что под угрозой окажутся аккаунты десятков брендов.

Предполагается, что злоумышленники могли специально нацеливаться на аккаунты с определенным количеством подписчиков или из определенных отраслей (таких как мода, технологии или финансы), поскольку данные, полученные с этих аккаунтов, имеют гораздо более высокую денежную стоимость.

Что вы можете сделать

Сказать «смените пароль» легко, но в данном случае одного этого недостаточно. Вот несколько конкретных шагов, которые действительно помогут:

1. Проверьте разрешения приложений, прямо сейчас: Это самый важный шаг. В Instagram перейдите в Настройки > Безопасность > Приложения и веб-сайты. Там вы увидите список всех приложений, которым вы предоставили доступ к своему аккаунту. Немедленно удалите все, что вы не узнаете, больше не используете или считаете подозрительным, особенно эти «крутые» ИИ-инструменты. Это самый эффективный способ аннулировать «ключ», который есть у злоумышленников.
2. Проверьте подозрительные сеансы: Также в разделе Настройки > Безопасность есть раздел «История входов». Он показывает, с каких устройств и из каких мест осуществлялся вход в ваш аккаунт. Если вы видите незнакомое устройство или местоположение, немедленно выберите «Это был не я», чтобы завершить этот сеанс, а затем смените пароль.
3. Защититесь от фишинговых атак: Злоумышленники теперь знают вашу личную переписку. Они могут отправлять вам очень убедительные поддельные сообщения, ссылающиеся на прошлый разговор. Например, вы можете получить сообщение типа: «Вот ссылка на проект, о котором мы говорили, посмотри». Подумайте тысячу раз, прежде чем переходить по ссылкам. Помните, самая опасная ложь — та, что содержит долю правды.
4. Проверьте свою историю утечек данных: Этот инцидент может быть лишь верхушкой айсберга. Знание того, в каких еще утечках фигурировал ваш адрес электронной почты или имя пользователя, дает вам представление о вашем общем уровне безопасности. Использование надежного сервиса для поиска утечки данных для проверки вашей электронной почты — это проактивный шаг.

Что говорит компания

Заявление Meta было, как и ожидалось, выдержано в очень корпоративном тоне. Представитель Meta сказал: «Безопасность наших пользователей — наш главный приоритет. Мы выявили проблему, исходящую от стороннего приложения, защитили затронутые аккаунты и уведомляем пользователей. Мы работаем с разработчиком данного приложения и заблокировали его на нашей платформе. Мы также сотрудничаем с правоохранительными органами». Это заявление — стандартный текст для управления кризисной ситуацией. Однако сообщество кибербезопасности задается вопросом, достаточно ли проактивно Meta контролирует свою экосистему сторонних приложений. Широкие разрешения, предоставляемые таким приложениям, представляют риск для самой платформы. Время покажет, извлечет ли Meta уроки из этого инцидента и введет ли более строгие правила для разрешений приложений. А пока мяч на нашей стороне, на стороне пользователей. Похоже, нам придется самим заботиться о своей безопасности.

Источник

https://www.securityweek.com/meta-says-20000-instagram-accounts-hacked-via-ai-tool-abuse/