กลุ่มแฮกเกอร์สามารถโจมตีระบบแชตบอต AI ของ Meta จนสามารถเข้าควบคุมบัญชี Instagram จำนวนกว่า 20,000 บัญชีได้สำเร็จ รวมถึงบัญชีระดับสูงของหน่วยงานรัฐบาลสหรัฐฯ และนักวิจัยด้านความปลอดภัย
เหตุการณ์นี้ถือเป็นหนึ่งในกรณีที่น่าตกตะลึงที่สุดในวงการความปลอดภัยไซเบอร์ เมื่อกลุ่มแฮกเกอร์ค้นพบช่องโหว่ใน Meta AI Support Assistant ซึ่งเป็นแชตบอตที่ Meta พัฒนาขึ้นเพื่อช่วยเหลือผู้ใช้งาน แต่กลับถูกนำไปใช้เป็นเครื่องมือโจมตีในลักษณะที่เรียกว่า Account Takeover (การยึดครองบัญชีโดยไม่ได้รับอนุญาต)
กระบวนการโจมตีเริ่มจากการที่แฮกเกอร์เปิดกระบวนการรีเซ็ตรหัสผ่าน จากนั้นเลือกใช้ Meta AI Support Assistant เป็นช่องทางการยืนยันตัวตน แล้วขอให้แชตบอตเพิ่มที่อยู่อีเมลใหม่เข้าในบัญชีเป้าหมาย ระบบดำเนินการตามคำขอโดยไม่มีการตรวจสอบว่าผู้ร้องขอเป็นเจ้าของบัญชีจริงหรือไม่ จากนั้น Meta AI ส่งรหัสยืนยันไปยังอีเมลใหม่ดังกล่าว ซึ่งแฮกเกอร์นำมาใช้เปลี่ยนรหัสผ่านได้สำเร็จ ผลที่ตามมาคือเจ้าของบัญชีตัวจริงถูกล็อกเอาต์จากทุกอุปกรณ์ในทันที เว็บไซต์ Dark Web Informer ได้เผยแพร่วิดีโอบันทึกการโจมตีดังกล่าวให้สาธารณชนรับชม
TechCrunch รายงานว่าในบรรดาบัญชีที่ถูกโจมตีมีบัญชีระดับสูงหลายรายการ ได้แก่ บัญชี Instagram ของทำเนียบขาวยุคประธานาธิบดี Barack Obama ซึ่งดูเหมือนจะไม่มีการเคลื่อนไหวมาตั้งแต่ปี 2017 รวมถึงบัญชีของ จ่าสิบเอก John Bentivegna แห่ง U.S. Space Force และนักวิจัยด้านความปลอดภัยไซเบอร์ชื่อดัง Jane Wong ซึ่งยืนยันว่าบัญชีของตนเองก็ถูกยึดครองเช่นกัน
SecurityWeek รายงานว่า Meta ยอมรับว่ามีบัญชี Instagram ถึง 20,225 บัญชีที่ถูกโจมตีในครั้งนี้ แม้ว่าบางส่วนอาจเป็นคำขอจากผู้ใช้งานจริง แต่ส่วนใหญ่เป็นการกระทำของแฮกเกอร์อย่างชัดเจน ข้อมูลที่ผู้ไม่หวังดีอาจเข้าถึงได้มีทั้งข้อมูลโปรไฟล์ ที่อยู่อีเมล หมายเลขโทรศัพท์ วันเกิด ข้อความส่วนตัว (Direct Messages) โพสต์บนโซเชียลมีเดีย รวมถึงประวัติกิจกรรมและปฏิสัมพันธ์ในแพลตฟอร์ม
Meta ได้ดำเนินการปิดการใช้งานเครื่องมือที่ถูกนำไปใช้ในทางที่ผิดทันที โดยจะเปิดใช้งานอีกครั้งเมื่อแน่ใจว่าช่องโหว่ดังกล่าวได้รับการแก้ไขอย่างสมบูรณ์แล้ว ลิงก์รีเซ็ตรหัสผ่านทั้งหมดที่ถูกสร้างขึ้นผ่านช่องโหว่นี้ได้ถูกยกเลิกการใช้งาน นอกจากนี้ บัญชีที่ได้รับผลกระทบทั้งหมดถูกลงทะเบียนเข้าสู่กระบวนการตรวจสอบความปลอดภัยภาคบังคับ (Mandatory Security Checkpoint) พร้อมกับการรีเซ็ตรหัสผ่านใหม่ทั้งหมด
อ้างอิง | 9to5mac.com
