de.wedoany.com-Bericht: Eine Sicherheitslücke im KI-gestützten Kontowiederherstellungssystem von Meta führte zur Übernahme von 20.225 Instagram-Konten. Angreifer nutzten einen Fehler im sogenannten „High Touch Support“ (HTS)-System des Unternehmens aus, um unbefugt Passwortzurücksetzungen für Konten durchzuführen.
High Touch Support (HTS) ist das auf Künstlicher Intelligenz basierende Kontowiederherstellungssystem von Instagram, das Nutzern helfen soll, wieder Zugriff auf gesperrte Konten zu erhalten. Nutzer können über den Support-Workflow einen Link zum Zurücksetzen des Passworts anfordern, wenn sie keinen Zugriff auf ihr Konto haben.
Amber Hannah, stellvertretende Rechtsberaterin für die Reaktion auf Vorfälle bei Meta, erklärte, dass das Tool selbst ordnungsgemäß funktioniere und die erwarteten Funktionen erfülle. Ein Fehler in einem separaten Codepfad habe jedoch dazu geführt, dass das System nicht korrekt überprüfte, ob die bei der Anforderung einer Passwortzurücksetzung angegebene E-Mail-Adresse mit der mit dem Instagram-Konto des Nutzers verknüpften E-Mail-Adresse übereinstimmte. Wenn eine Person eine zuvor nicht mit dem Konto verknüpfte E-Mail-Adresse angab, sandte das System fälschlicherweise den Link zum Zurücksetzen des Passworts an diese nicht verknüpfte Adresse, anstatt die Anfrage abzulehnen. Dadurch konnten unbefugte Dritte Links zum Zurücksetzen von Passwörtern für Konten erhalten, die ihnen nicht gehörten. Nach dem Zurücksetzen des Passworts konnte die unbefugte Partei sich in das Konto einloggen, sofern der Kontoinhaber keine Zwei-Faktor-Authentifizierung (2FA) aktiviert hatte.
Meta gab an, die Sicherheitslücke am 31. Mai entdeckt zu haben. Ein von der Website der Generalstaatsanwaltschaft von Maine veröffentlichtes Dokument datiert den Vorfall auf den 17. April, was darauf hindeutet, dass der erste unbefugte Zugriff möglicherweise mehr als sechs Wochen zuvor stattfand. Das Unternehmen erklärte, es gebe keine Hinweise darauf, welche Informationen in den kompromittierten Konten abgerufen wurden (falls überhaupt). Zu den möglicherweise offengelegten Daten der betroffenen Konten gehören Kontaktinformationen (wie E-Mail-Adressen und Telefonnummern), Geburtsdaten, Fotos, Videos, Storys, Direktnachrichten, Kontoaktivitäten, Profilinformationen und verknüpfte Dienste.
Letzte Woche tauchten Berichte auf Reddit, X, Telegram und in der Sicherheitscommunity auf, dass Instagram-Konten über den KI-Support-Workflow von Meta übernommen würden. Die Einfachheit des Angriffs war bemerkenswert. In auf Telegram geteilten Videos war zu sehen, wie Angreifer einen VPN-Dienst nutzten, um sich in etwa derselben geografischen Region wie das Zielkonto zu befinden, und dann den Chatbot aufforderten, das Konto mit einer von ihnen kontrollierten E-Mail-Adresse zu verknüpfen.
Laut dem Sicherheitsjournalisten Brian Krebs richteten sich die Angreifer gegen hochkarätige Instagram-Konten, darunter das Konto des Obama-White-House und das des Chief Master Sergeant der US Space Force, sowie gegen kurze, hochwertige Benutzernamen, die auf dem Schwarzmarkt weiterverkauft werden konnten.
Nach der Entdeckung der Sicherheitslücke deaktivierte das Unternehmen das betroffene KI-gestützte Support-Tool, widerrief die über den anfälligen Workflow generierten Links zum Zurücksetzen von Passwörtern und forderte eine zusätzliche Authentifizierung für möglicherweise betroffene Konten. Betroffene Nutzer wurden angewiesen, ihre Passwörter zurückzusetzen. Meta gab an, dass es vor der Wiedereinführung des Tools die Authentifizierungsprüfung am Instagram-Wiederherstellungseinstiegspunkt reparieren werde, um sicherzustellen, dass E-Mail-Adressen vor dem Einleiten einer Passwortzurücksetzung korrekt mit vorhandenen Kontoinformationen abgeglichen werden. Zudem werde eine umfassende Überprüfung ähnlicher Kontowiederherstellungsprozesse auf Meta-Plattformen durchgeführt, um potenzielle Probleme zu identifizieren und zu beheben.
Meta hatte seinen KI-Support-Assistenten im März eingeführt und behauptet, jedes KI-System streng zu testen, Schutzmaßnahmen zu ergreifen und seine Leistung zu bewerten, um Verzerrungen zu verhindern und Konsistenz sowie Genauigkeit sicherzustellen. Die negativen Auswirkungen der Auslagerung der Kontowiederherstellung an die KI kamen schneller als erwartet.
Dieser Artikel wurde von Wedoany übersetzt und bearbeitet. Bei jeglicher Zitierung oder Nutzung durch künstliche Intelligenz (KI) ist die Quellenangabe „Wedoany“ zwingend vorgeschrieben. Sollten Urheberrechtsverletzungen oder andere Probleme vorliegen, bitten wir Sie, uns unverzüglich zu benachrichtigen. Wir werden den entsprechenden Inhalt umgehend anpassen oder löschen.
E-Mail: news@wedoany.com
