Meta ammette la falla IA su Instagram: violati oltre 20 mila account

Meta capitola di fronte a una vulnerabilità strutturale del proprio assistente virtuale, confermando il dirottamento di almeno 20.225 account Instagram. Una campagna di exploit durata mesi ha esposto i limiti di una frettolosa integrazione dell'intelligenza artificiale nei sistemi critici di sicurezza, evidenziando come la fretta di implementare soluzioni automatizzate possa compromettere la stabilità delle piattaforme.

I dettagli emergono dalla notifica di violazione dei dati inviata dall'azienda all'ufficio del procuratore generale del Maine, che fa luce su una dinamica tanto banale nella sua esecuzione quanto devastante nei suoi effetti. L'attacco ha preso di mira direttamente il sistema di recupero degli account assistito dall'IA di Instagram. Gli aggressori hanno sfruttato un difetto nel flusso logico del chatbot per forzare il reset delle password sui profili che non avevano attivato l'autenticazione a due fattori (2FA).

La falla di Instagram era nel codice di recupero credenziali

Il meccanismo ingannava l'assistente virtuale spingendolo a inviare il codice di verifica a un indirizzo e-mail controllato dall'hacker, ignorando l'indirizzo originale registrato sulla piattaforma e aggirando i protocolli di sicurezza standard. La spiegazione tecnica fornita da Meta evidenzia un classico problema di mancato allineamento nei controlli di sicurezza.

Sebbene il chatbot eseguisse le proprie funzioni nominali in modo corretto, una porzione di codice separata non verificava la corrispondenza tra l'e-mail fornita dall'utente esterno e quella associata al profilo di cui si chiedeva il ripristino delle credenziali. Il sistema spediva il link di reset all'indirizzo non associato anziché respingere la richiesta, consegnando le chiavi d'accesso ai cybercriminali.

Una volta ottenuto il controllo, i malintenzionati potevano accedere all'intero ecosistema della vittima, inclusi i profili collegati, le informazioni personali (come date di nascita e dati di contatto), i messaggi diretti e l'attività complessiva. La campagna di intrusione è iniziata il 17 aprile scorso ed è rimasta attiva fino alla recente disattivazione del servizio, lasciando scoperto il fianco di migliaia di utenti per un lungo periodo di tempo.

Per arginare i danni, Meta ha rimosso la linea di codice difettosa e ha disattivato temporaneamente il chatbot su Instagram. Il gruppo sta conducendo verifiche analoghe su tutti gli altri assistenti virtuali distribuiti sulle proprie piattaforme per scongiurare falle simili. È da notare che la vulnerabilità si inserisce in un contesto aziendale complesso, caratterizzato da pesanti tagli al personale tecnico a fronte di massicci investimenti e forti incentivi per accelerare lo sviluppo delle tecnologie basate su intelligenza artificiale.

L'azienda invita ora tutti i soggetti potenzialmente coinvolti a modificare le credenziali tramite canali sicuri e verificati, cercando di difendere l'infrastruttura dai difetti logici che hanno permesso l'incidente.