ハッカーがMetaのAIチャットボットにメール変更を依頼するだけで、著名なInstagramアカウントを乗っ取る

攻撃者は、MetaのAIサポートチャットボットにアカウントに関連付けられたメールアドレスを変更するよう依頼するだけで、オバマ前大統領のホワイトハウスページを含む著名なInstagramアカウントを乗っ取ることに成功しました。この方法は二段階認証を完全に回避し、攻撃者は数分で制御を掌握しました。標的にはアメリカ宇宙軍の曹長、化粧品チェーンのセフォラ、そして「OGハンドル」として知られる貴重な短いユーザー名の所有者も含まれており、これらのハンドルはグレーマーケットで6桁の価格で取引されることがあります。セキュリティ研究者のZachXBTとDark Web Informerはこれらの出来事を記録し、2つの侵害されたハンドルの合計市場価値は100万ドルを超えると述べています。

攻撃手法は驚くほど単純でした。攻撃者はVPNを使用してターゲットの地理的領域にいるふりをし、パスワードリセットを開始してからMetaのAIアシスタントにアカウントのメールアドレスを更新するよう指示し、確認コードを送信することを約束しました。AIはこれに従い、8桁の確認コードを攻撃者のメールに送信し、続いてパスワードリセットリンクを送信しました。Metaの自動本人確認がトリガーされた場合、攻撃者は被害者の公開Instagram写真からAIビデオ生成ツールを使ってリアルな自撮りクリップを生成し、それを回避したとThe CyberSec Guruは述べています。

セキュリティ専門家はこれを典型的な「混乱した代理人」攻撃と表現しています。これは、特権を持つヘルパーシステムが不正ユーザーに代わって操作を実行するように騙されるものです。AIアシスタントはメールアドレスの変更やパスワードのリセットを行う権限を持っており、通常のユーザーは直接これらの操作を実行できません。この脆弱性は本質的にプロンプトインジェクションであり、言語モデルは無害なユーザーリクエストと悪意のある指示を区別できません。SQLインジェクションとは異なり、厳格なルールで緩和できるものではなく、言語モデルにはデータと命令の明確な分離がありません。

このインシデントは、機密性の高いセキュリティタスクにおいて人間のサポートをAIに置き換えるリスクを浮き彫りにしています。Metaは3月に、すべてのFacebookおよびInstagramアカウント向けにAIサポートを展開することを発表し、パスワードリセットやセキュリティ関連のメンテナンスを含め、アカウント乗っ取りに対する防御策として宣伝していました。しかし、影響を受けたユーザーは通常のチャネルを通じて人間のサポートに連絡できず、手動レビュープロセスには数日かかり、その間にアカウントはすでにTelegramで転売されていました。

Metaは5月29日に緊急ホットフィックスをリリースし、メールバインディングとパスワードリセットへの書き込みアクセス権を持つ脆弱なAIフローを無効にしました。同社は問題が解決され、影響を受けたアカウントが保護されていると述べました。しかし、The CyberSec Guruは、この根本的な方法が数ヶ月前から活動しており、Telegramチャンネルでの最初の言及は3月下旬に遡ると報告しています。さらに、公開時点で別の悪用方法がすでにTelegramで流通しており、Facebookのリカバリーフローを通じてMeta AIに「開発モード」を起動させるものでした。これは、特定の脆弱性は修正されたものの、AIサポートがアカウント乗っ取りに悪用されるという広範な問題は未解決のままであることを示しています。