Специалисты по кибербезопасности обнаружили критическую брешь в автоматизированной системе восстановления доступа Instagram, которая использует технологии искусственного интеллекта. Исследователи установили, что инструмент восстановления аккаунтов содержит программную ошибку, связанную с отсутствием механизмов аутентификации при обработке запросов, что ставит под угрозу конфиденциальность миллионов пользователей популярной социальной сети.
Механизм обхода систем защиты
Согласно данным отчета LanDianNet, эксплуатация уязвимости требует от злоумышленника предварительной подготовки, однако не подразумевает наличия глубоких технических навыков. Ключевым фактором для успешной атаки является географическое соответствие IP-адреса нападающего и жертвы.
- Идентификация примерного местоположения целевого пользователя.
- Использование VPN-сервисов для подмены локации.
- Взаимодействие с ИИ-помощником для инициации процесса сброса данных.
- Привязка учетной записи к новому адресу электронной почты, контролируемому хакером.
Отсутствие ограничений и риски автоматизации
Особую обеспокоенность экспертов вызывает тот факт, что в текущей реализации ИИ-инструмента отсутствует проверка скорости запросов (rate limiting). Это позволяет злоумышленникам масштабировать атаки с помощью скриптов, перебирая тысячи аккаунтов за короткий промежуток времени. Отсутствие многофакторного подтверждения в этом конкретном сценарии делает стандартные меры защиты профиля неэффективными.
Проблема заключается в полном отсутствии аутентификации при обработке входящих сигналов, что позволяет алгоритму одобрять запросы на восстановление напрямую, без участия человека или дополнительных проверок.
На текущий момент пользователям рекомендуется проявлять повышенную бдительность и следить за уведомлениями о попытках изменения привязанной почты. Ожидается, что разработчики Meta в ближайшее время выпустят обновление безопасности, внедряющее строгие фильтры на стороне серверной части ИИ, чтобы предотвратить дальнейшую эксплуатацию данной архитектурной недоработки.