Metan tekoälybotti palautti vieraita Instagram-salasanoja – kaksivaiheinen tunnistus pysäytti hyökkäyksen
Automatisoitu asiakaspalvelu osoittautui viikonlopun aikana Instagramin heikoimmaksi lenkiksi. Tekoälybotin sai houkuteltua palauttamaan salasanan vieraille tileille, mutta yksi asetus teki tileistä koskemattomia.
Tiivistelma
Hyökkääjät huijasivat Metan tekoälypohjaista tukibottia palauttamaan salasanoja Instagram-tileille, joita he eivät omistaneet. Kohteena olivat muun muassa Valkoisen talon vanha tili ja Sephora. Jokainen tili, jossa oli kaksivaiheinen tunnistus käytössä, kesti hyökkäyksen.
Tukikanava ei yleensä ole se kohta, josta tilikaappaus alkaa. Viime viikonloppuna se kuitenkin oli.
Toukokuun 30.–31. päivänä hyökkääjät saivat Metan tekoälypohjaisen tukiavustajan palauttamaan salasanoja Instagram-tileille, joihin heillä ei ollut mitään oikeutta, kertoo Krebs on Security.
Kohteiksi valikoitui näkyviä nimiä. Listalla olivat Obaman aikainen Valkoisen talon Instagram-tili, joka on ollut käyttämättömänä vuodesta 2017, Yhdysvaltain avaruusvoimien ylin aliupseeri John Bentivegna, kosmetiikkaketju Sephora sekä tietoturvatutkija Jane Wong. Osa kaapatuista lyhyistä käyttäjänimistä on TechCrunchin mukaan yhdessä yli 500 000 dollarin arvoisia.
Tilit täytettiin Iran-mielisellä kuvastolla. Ohjeet hyökkäyksen toistamiseen levisivät Telegramissa 31. toukokuuta alkaen videona ja kuvakaappauksina. Tekijäjoukko laajeni nopeasti.
Miksi juuri asiakaspalvelusta tuli hyökkäyksen reitti? Tukikanava rakennetaan auttamaan lukkojen taakse jääneitä käyttäjiä, joten se on suunniteltu joustamaan. Kun joustosta vastaa tekoäly ilman tiukkoja tarkistuksia, sama avuliaisuus kääntyy rikollista vastaan.
Näin botti taipui
Hyökkäys ei vaatinut haittaohjelmaa eikä uhrin salasanaa. 404 Median selvityksen perusteella ketju eteni vaiheittain.
Ensin hyökkääjä yhdisti VPN:n kautta IP-osoitteeseen lähellä uhrin kotipaikkaa ja ohitti näin sijaintitarkistuksen. Sitten hän pyysi tekoälybottia lisäämään kohdetilille uuden, oman sähköpostiosoitteensa.
Botti lähetti vahvistuskoodin hyökkääjän omaan sähköpostiin. Kun koodi liitettiin takaisin keskusteluun, näytölle ilmestyi "Reset Password" -painike.
Sen kautta hyökkääjä asetti uuden salasanan koskematta kertaakaan uhrin oikeaan sähköpostiin.
Juurisyy oli pääsynhallinnassa. Tekoälyn keskustelurajapinnalla oli kirjoitusoikeus sähköpostin sidontaan ja salasanan palautukseen ilman kunnollisia valtuustarkistuksia.
Tilinpalautushyökkäys (account recovery abuse)
Hyökkääjä ei murra salasanaa vaan käyttää väärin tilin palautustoimintoa. Kun palautuskanava luottaa heikkoon tunnistukseen, rikollinen ohjaa palautuksen omaan sähköpostiinsa ja saa hallinnan ilman alkuperäisiä tunnuksia.
Mikä pysäytti hyökkäyksen
Yksi asetus teki eron. Menetelmä epäonnistui jokaista tiliä vastaan, jossa oli kaksivaiheinen tunnistus käytössä. Tekstiviestiin nojaava tunnistuskin riitti pysäyttämään hyökkäyksen.
Toinen tunnistustekijä katkaisi ketjun siinä kohdassa, jossa botti olisi muuten näyttänyt palautuspainikkeen. Salasanan palautus ei riittänyt, kun tili vaati erillisen vahvistuksen, johon hyökkääjällä ei ollut pääsyä.
Maanantaina 1. kesäkuuta Metan tiedottaja kommentoi tilannetta julkisuuteen.
– Ongelma on ratkaistu, sanoi Andy Stone, Metan tiedottaja.
Kaapattuja tilejä palautettiin oikeille omistajille, eikä taustajärjestelmien tietokantoihin ollut murtauduttu. Pikakorjaus rajoitti botin pääsyn palautustoimintoihin.
Tunnistusmerkit
- Saat ilmoituksen, että tilillesi on lisätty tuntematon sähköpostiosoite tai puhelinnumero.
- Vahvistuskoodi saapuu, vaikket itse pyytänyt mitään.
- Et pääse enää kirjautumaan, vaikka salasana oli äsken oikein.
- Joku väittää chatissa olevansa "Meta-tuki" ja pyytää koodia tai tilitietoja.
Aito Meta ei koskaan pyydä sinua kertomaan vahvistuskoodiasi. Jos sellaista pyydetään, kyse on ihan selvästä huijauksesta.
Mitä tehdä
Ota kaksivaiheinen tunnistus käyttöön Instagramissa ja Facebookissa heti. Älä jaa vahvistuskoodejasi kenellekään.
Jos tilisi on kaapattu, mene osoitteeseen facebook.com/hacked, palauta salasana ja kirjaa ulos tuntemattomat laitteet. Varoita kontaktejasi ja kytke kirjautumishälytykset päälle.
Kyberturvallisuuskeskus on varoittanut pitkin vuotta 2026 sosiaalisen median ja viestisovellusten tilikaappauksista. Sen perusneuvo toistuu: käytä monivaiheista tunnistusta, varmista pyynnöt erillisen kanavan kautta äläkä koskaan luovuta koodeja.
Tee Suomessa ilmoitus Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi ja rikosilmoitus poliisille osoitteessa poliisi.fi. Jää nähtäväksi, kuinka monella alustalla vastaava tukiautomaatio on yhtä avoin – mutta käyttäjän puolella suoja on tällä erää yhdessä asetuksessa.