Meta AI lot hackere kapre Instagram-kontoer

Hva skjedde

MacRumors omtaler rapporter om at Metas AI-baserte supportassistent ble utnyttet til å overta profilerte Instagram-kontoer. Ifølge saken kunne angripere be boten endre e-postadressen knyttet til en konto, og deretter tilbakestille passordet. Det beskrives også at svake verifikasjonsmekanismer, blant annet lokasjonsbasert tillit via VPN i nærheten av målkontoens område, kunne spille inn. I noen tilfeller skal tofaktorbeskyttelse ha blitt omgått, og selfie-verifisering skal ha blitt manipulert med AI.

Meta opplyser ifølge MacRumors at problemet er fikset, og at selskapet sikrer berørte kontoer.

Foto: dlxmedia.hu / Unsplash

Hva det betyr

Dette er ikke en Apple-sak i snever forstand, men den er høyst relevant for iPhone-brukere. Instagram er ofte installert på telefonen, knyttet til e-post, telefonnummer, tofaktor, passordnøkkel eller autentiseringsapp – og for mange er kontoen også en arbeidsflate.

Den viktige lærdommen er at sikkerhet ikke bare handler om ditt passord. Kontoen din er også avhengig av hvordan leverandøren håndterer support, gjenoppretting og identitetskontroll. Hvis en supportkanal – menneskelig eller AI-basert – kan overstyre e-post og gjenoppretting uten nok kontroll, blir den en snarvei rundt sikkerhetstiltakene du selv har satt opp.

For norske småbedrifter, skapere, idrettslag, butikker og organisasjoner kan en kapret Instagram-konto være mer enn flaut. Det kan bety tap av kundekontakt, svindel mot følgere og praktisk driftsstans.

Min vurdering

Min take: AI-support er nyttig når den svarer på enkle spørsmål. Den er farlig når den får myndighet til å endre identiteten din uten ekstremt gode sikkerhetsrammer.

Det mest urovekkende her er ikke at en chatbot gjorde en feil. Det er at kontogjenoppretting ofte er den svakeste delen av et ellers sikkert system. Mange brukere har sterke passord og tofaktor, men hvis «glemt passord»- eller supportløpet kan lures, hjelper det mindre enn vi liker å tro.

Dette er også et varsel til hele bransjen, inkludert Apple. Når selskaper bygger AI inn i support, Wallet, kontoadministrasjon og enhetsgjenoppretting, må de være mer konservative med hva boten får lov til å gjøre. En AI-agent bør kunne forklare prosessen. Den bør ikke alene kunne flytte eierskap til en konto.

Det vi ikke vet fra dagens kilde, er hvor mange kontoer som faktisk ble rammet, hvilke land som var mest utsatt, og nøyaktig hvilke kontotyper som ble berørt. Men vi vet nok til å anbefale en rask sikkerhetssjekk.

Slik gjør du det

• Åpne Instagram og sjekk kontoinformasjon: se at e-postadresse og telefonnummer fortsatt er dine.
• Bytt passord hvis du ser ukjente innlogginger, mistenkelige e-poster fra Instagram/Meta eller endringer du ikke kjenner igjen.
• Slå på tofaktorautentisering hvis du ikke allerede har gjort det. Bruk helst en autentiseringsapp eller passordnøkkel der det er tilgjengelig, ikke bare SMS.
• Gå gjennom aktive innlogginger i Instagram og logg ut enheter du ikke kjenner igjen.
• Sikre e-postkontoen som er knyttet til Instagram. En svak e-postkonto gjør alle andre kontoer svakere.
• Hvis kontoen brukes til jobb, butikk eller organisasjon: sørg for at flere betrodde personer har dokumentert gjenopprettingsrutine, men ikke del passord uformelt i meldinger.

Foto: Lance Reis / Unsplash

Hva du bør gjøre

• Sjekk e-post, telefonnummer og aktive innlogginger på Instagram i dag.
• Aktiver tofaktor hvis det mangler.
• Bruk et unikt passord fra en passordhåndterer.
• Vær skeptisk til meldinger om kontogjenoppretting, selv om de ser ut til å komme fra kjente tjenester.
• For bedriftskontoer: dokumenter hvem som eier kontoen og hvordan den gjenopprettes.

Kilder

• MacRumors