Introduction
Meta a confirmé que des hackers ont probablement pris le contrôle de plus de 20 000 comptes Instagram en exploitant un bug dans son chatbot de support IA. Cette faille de sécurité a permis aux attaquants de réinitialiser les mots de passe des comptes sans utiliser l'authentification à deux facteurs.
Contexte Technique
Le problème était dû à un bug dans le code du chatbot qui n'a pas correctement vérifié si l'adresse e-mail fournie pour la réinitialisation du mot de passe correspondait à celle associée au compte Instagram. Cela a permis aux attaquants de lier le compte d'une victime à leur propre adresse e-mail et de recevoir un lien de réinitialisation du mot de passe.
Meta a déclaré que l'outil de chatbot fonctionnait correctement, mais que le bug dans le code a empêché le système de vérifier correctement les adresses e-mail. Le système a donc envoyé un lien de réinitialisation du mot de passe à l'adresse e-mail non associée au compte, au lieu de rejeter la demande.
Analyse et Implications
L'attaque a eu lieu entre le 31 mai et le 1er juin, et plusieurs comptes de haute profil ont été impactés, notamment celui de l'ancien président américain Barack Obama. Meta a déclaré qu'elle n'était pas au courant si des données personnelles avaient été consultées à la suite de l'exploit, mais que les pirates pourraient avoir obtenu des adresses e-mail, des numéros de téléphone, des dates de naissance, des publications sur les réseaux sociaux, des messages directs, des informations de profil, des activités de compte et des comptes connectés.
Perspective
Meta a désactivé son outil de chatbot de support et supprimé le code buggué, tout en invalidant les liens de réinitialisation du mot de passe générés à l'aide de l'exploit. L'entreprise a également inscrit tous les comptes potentiellement impactés dans un point de contrôle de sécurité obligatoire qui nécessite une authentification avant tout accès au compte.
Il est important de noter que cette faille de sécurité souligne l'importance de la mise à jour régulière des logiciels et de la correction des bugs pour prévenir de telles attaques. Les utilisateurs doivent également être vigilants et utiliser des mots de passe forts, ainsi que l'authentification à deux facteurs pour protéger leurs comptes.
