Múltiples usuarios de Instagram fueron víctimas de un ataque en el que los delincuentes lograron que las herramientas de soporte basadas en inteligencia artificial (IA) de Meta los reconocieran como los propietarios legítimos de las cuentas, lo que resultó en el robo de estas. Muchos de los afectados no pueden recuperar el acceso debido a que el proceso de asistencia es completamente automatizado, con bucles de IA y chatbots, sin intervención humana.
El lunes, varios propietarios de cuentas raras y de alto valor reportaron haber perdido el acceso a sus perfiles de forma repentina. Afirmaron que sus identidades habían sido verificadas mediante escaneos faciales y que habían activado medidas de seguridad como la autenticación de dos factores (2FA). Entre las cuentas afectadas se encontraban una que perteneció al equipo de la Casa Blanca de Obama, la de la investigadora de aplicaciones Jane Manchun Wong, @hey y @korn.
El dueño de la cuenta @korn, quien señaló que la banda nunca reclamó oficialmente esa cuenta y utiliza otra, expresó su frustración con el mecanismo de recuperación de Meta, que lo atrapó en un bucle sin fin. “Pasé 6 horas tratando de obtener ayuda humana, y la IA de soporte de Meta me dio 4 enlaces rotos seguidos”, explicó el usuario identificado como Kornel. “Hemos llegado al punto en que una IA lo robó y otra no puede arreglarlo, cero humanos en el proceso”, añadió.
Según algunos reporteros, los ataques de robo de cuentas fueron triviales. La actividad consistió en chatear con el asistente de IA de Meta, convencerlo de que el atacante era el legítimo dueño de la cuenta y engañarlo para cambiar la dirección de correo electrónico asociada. El proceso comienza cuando el atacante activa el protocolo de "olvidé mi contraseña" debido a que la cuenta ha sido "hackeada". Cuando la asistencia con IA de Instagram pide al usuario verificar con una selfie, el atacante usa una foto de la cuenta objetivo, la pasa por un generador de video con IA para convertirla en una animación y la sube a Meta para su verificación.
El usuario André afirma que "la IA de Meta simplemente lo acepta porque no puede distinguir entre una selfie real y un video generado por IA del rostro de alguien". También agregó que el método de robo evade las protecciones de 2FA. "Luego intentas recuperar tu cuenta y estás hablando con un chatbot que no tiene capacidad de ayuda. No puedes escalar a un humano. Estás atascado. Tu activo se ha ido y no hay a quién llamar", dijo André.
Algunos informes indican que los atacantes utilizaron servicios VPN para simular que se conectaban desde la región habitual del objetivo, con el fin de superar las comprobaciones de geolocalización que activarían un proceso de inicio de sesión más complejo para mayor seguridad. Tras cambiar la dirección de correo electrónico, el atacante podía iniciar un proceso de restablecimiento de contraseña y recibir el código de seguridad necesario para acceder a la cuenta.
Algunos reportes en línea afirman que las cuentas de una letra @e y @f en Instagram se obtuvieron mediante un exploit activo. Sin embargo, otros cuestionan esta información, argumentando que los nombres de usuario fueron asegurados por una persona con privilegios internos. BleepingComputer no pudo verificar de forma independiente ninguna de las afirmaciones. Debido a que las cuentas de redes sociales de una sola letra son muy raras, tienen un alto valor en el mercado negro, típicamente de decenas de miles de dólares estadounidenses.
Si bien Meta aún no ha publicado un comunicado de prensa con una respuesta oficial a la situación, el vicepresidente de comunicaciones de la compañía, Andy Stone, respondió en redes sociales a un usuario afectado diciendo que "el problema se ha resuelto y estamos asegurando las cuentas afectadas". BleepingComputer contactó a Meta para solicitar comentarios, pero no recibió respuesta al momento de la publicación.
Deja una respuesta