メタ作成のAIボットがInstagramアカウントをハッキングし、サービスはユーザーに通知しました

Meta AIチャットボットを介したサイバー攻撃：悪意のある者がInstagramアカウントを「盗む」方法

先週末、サイバー犯罪者たちは公式Meta AIサポートチャットボットを使って人気のInstagramページを制御する手段を明らかにしました。被害者は短くユニークなニックネーム（例：@coolcat）を持つアカウント所有者で、アクセス喪失を訴えていました。

仕組みの流れ
1. ボットへの問い合わせ

ハッカーはチャットボットに対し、自分が対象アカウントの所有者であると主張し、そのメールアドレスを自分に「リンク」するよう依頼します。

2. ボットによる処理

AIは追加確認なしにリクエストを実行し、紐付けられたメールを攻撃者のものへ変更します。

3. パスワードリセット

メールが変更された後、ハッカーはパスワードをリセットし、ページを完全に掌握します。アカウント所有者はアクセスできなくなり、そのメールもブロックされます。

Metaの従業員や契約者の介入は一切なく、すべて自動的にAIで行われました。

企業の対応
- 6月1日：Meta代表アンドリュー・ストーンが「問題は既に解決済み」と発表。
- 6月2日：苦情件数が増加。ストーンは一部ユーザーがパスワードリセット通知を受け、他のユーザーはログイン時に確認質問に直面していると説明しました。

Metaは告知後すぐに被害者アカウントの保護を開始しましたが、侵害されたプロフィール数は公表されていません。

可能になった理由
3月、MetaはサポートセクションでAIチャットボットを導入し、一部権限（以前は人間に限定されていた）を委譲しました。その中には「安全にパスワードをリセットする」機能が含まれていました。

Instagramの短いニックネーム市場は数年存在しており、販売者はそれらをコレクションアイテムとして提供しています。以前はアカウント侵入にフィッシングや電話番号取得、インサイダー賄賂が必要でしたが、今では「冷静な」AIボットだけで十分です。

主な事実
- ハッカーはMeta AIチャットボットを使ってアカウントのメールを変更。
- パスワードリセット後にページを完全掌握。
- Metaは6月1日に問題解決と発表しましたが、翌日苦情が増加。
- AIに以前人間専用だった権限が与えられたことで、従来のセキュリティ対策を回避できました