es.wedoany.com Noticia: Una vulnerabilidad en el sistema de recuperación de cuentas asistido por IA de Meta provocó el secuestro de 20,225 cuentas de Instagram. Los atacantes aprovecharon un defecto en el sistema de Soporte de Alto Contacto (High Touch Support, HTS) de la empresa para restablecer contraseñas de cuentas sin autorización.
El Soporte de Alto Contacto (HTS) es el sistema de recuperación de cuentas basado en inteligencia artificial de Instagram, diseñado para ayudar a los usuarios a recuperar el acceso a cuentas bloqueadas. Los usuarios pueden solicitar un enlace de restablecimiento de contraseña a través del flujo de trabajo de soporte cuando no pueden acceder a su cuenta.
Amber Hannah, subdirectora general adjunta de respuesta a incidentes legales de Meta, explicó que la herramienta en sí funcionaba correctamente y cumplía su función prevista, pero un error en una ruta de código independiente provocó que el sistema no verificara correctamente si la dirección de correo electrónico proporcionada al solicitar el restablecimiento de contraseña coincidía con la dirección de correo electrónico asociada a la cuenta de Instagram del usuario. Cuando una persona proporcionaba una dirección de correo electrónico no asociada previamente a la cuenta, el sistema enviaba erróneamente el enlace de restablecimiento de contraseña a ese correo no asociado, en lugar de rechazar la solicitud. Esto permitió que terceros no autorizados recibieran enlaces de restablecimiento de contraseña de cuentas que no les pertenecían. Tras restablecer la contraseña, si el titular de la cuenta no había habilitado la autenticación de dos factores (2FA), el tercero no autorizado podía iniciar sesión en esa cuenta.
Meta indicó que descubrió la vulnerabilidad el 31 de mayo. Un documento publicado en el sitio web del Fiscal General de Maine fecha el incidente el 17 de abril, lo que sugiere que el primer acceso no autorizado pudo haber ocurrido más de seis semanas antes. La empresa afirmó que no hay evidencia de qué información de las cuentas comprometidas fue accedida (si es que lo fue). Los datos que podrían haber sido filtrados de las cuentas afectadas incluyen información de contacto (como direcciones de correo electrónico y números de teléfono), fecha de nacimiento, fotos, videos, historias, mensajes privados, actividad de la cuenta, información del perfil y servicios vinculados.
La semana pasada, surgieron informes en Reddit, X, Telegram y comunidades de seguridad de que las cuentas de Instagram estaban siendo secuestradas a través del flujo de trabajo de soporte de IA de Meta. La simplicidad del ataque era notable. Un video compartido en Telegram mostraba a un atacante usando un servicio VPN para situarse aproximadamente en la misma región geográfica que la cuenta objetivo, y luego solicitaba al chatbot que asociara la cuenta a una dirección de correo electrónico controlada por ellos.
Según el periodista de seguridad Brian Krebs, los atacantes apuntaron a cuentas de Instagram de alto perfil, incluidas la cuenta de la Casa Blanca de Obama y la cuenta del Sargento Mayor de la Fuerza Espacial de EE. UU., así como nombres de usuario cortos y de alto valor que podían revenderse en el mercado negro.
Tras descubrir la vulnerabilidad, la empresa deshabilitó la herramienta de soporte asistido por IA afectada, invalidó los enlaces de restablecimiento de contraseña generados a través del flujo de trabajo vulnerable, exigió una verificación adicional de identidad para las cuentas potencialmente afectadas e indicó a los usuarios afectados que restablecieran sus contraseñas. Meta afirmó que, antes de relanzar la herramienta, corregirá la verificación de identidad en el punto de entrada de recuperación de Instagram para garantizar que la dirección de correo electrónico se verifique correctamente con la información de la cuenta existente antes de iniciar cualquier restablecimiento de contraseña, y está realizando una revisión exhaustiva de procesos similares de recuperación de cuentas en las plataformas de Meta para identificar y solucionar posibles problemas.
Meta lanzó su asistente de soporte de IA en marzo, afirmando que estaba probando rigurosamente cada sistema de IA, estableciendo medidas de protección y evaluando su rendimiento para prevenir sesgos y garantizar consistencia y precisión. Los efectos negativos de externalizar la recuperación de cuentas a la IA llegaron más rápido de lo esperado.
Este artículo es compilado por Wedoany, las citas de la IA deben indicar la fuente «Wedoany»; si hay alguna infracción u otro problema, por favor notifícanos a tiempo, este sitio lo modificará o eliminará. Correo electrónico: news@wedoany.com
