Metas Chatbot half Hackern beim Knacken von Instagram-Accounts

Der Support bei Meta-Services ist notorisch schlecht: Wird z. B. der eigene Account gesperrt, ist es oft unmöglich, zu einem Mitarbeiter durchzudringen, um Einspruch zu erheben. Häufig wird man direkt an den Meta AI-Support-Assistenten verwiesen.

Doch dieser hat übers Wochenende zu einem Security-Desaster bei Instagram geführt, wie Ars Technica meldet. Hacker hatten den KI-Chatbot gebeten, die E-Mail-Adressen bekannter Accounts zurückzusetzen. Weil sie mithilfe eines VPN ihre eigentliche Position verschleierten und so taten, als wären sie am Standort der betreffenden Accounts, konnten sie so einfach deren Passwörter ändern. Die Sicherheitslücke wurde mittlerweile seitens Meta beseitigt, wie ein Konzernsprecher auf X mitteilte.

➤ Mehr lesen: KI-Agenten von Meta sind außer Kontrolle geraten

Schockierend einfacher Exploit

Videos dieses schockierend einfachen Exploits wurden in Telegram-Gruppen von Hackern und Sicherheitsfachleuten geteilt, wie 404 media berichtet. Dieser Anleitung folgend konnten Kriminelle wertvolle Instagram-Accounts übernehmen.

Dass @obamawhitehouse, ein offizieller Account des Ex-US-Präsidenten, zwischenzeitlich pro-iranische Inhalte teilte, könnte damit in Zusammenhang stehen. Auch @ocmssf – der Account des US-amerikanischen Chief Master Sergeant of the Space Force, John Bentivegna – postete auf Farsi. Auf seinem Facebook-Profil – zu dem Bentivegna offenbar den Zugang nicht verloren hatte – bestätigte der hochrangige Soldat, dass sein Instagram-Account gehackt worden war.

Laut Cybersec Guru hatten es die Hacker außerdem auf besonders kurze Account-Namen abgesehen, weil sich diese für viel Geld weiterverkaufen ließen. Demnach waren @hey und @jowo durch die Sicherheitslücke kurzzeitig kompromittiert.

2FA aktivieren

Dass offenbar selbst verifizierte Accounts der Sicherheitslücke zum Opfer fallen konnten, ließ bei Expertinnen und Experten die Alarmglocken schrillen. Es sei unverantwortlich von Meta, sicherheitsrelevante Aufgaben an einen KI-Chatbot auszulagern.

➤ Mehr lesen: Achtung: Instagram-Messages nicht mehr verschlüsselt

Wie unter anderem der Sicherheitsforscher Brian Krebs betont, gibt es jedoch eine Maßnahme, die diese Art der unrechtmäßigen Kontoübernahme verhindert: 2-Faktor-Authentifizierung.