Ein Support-Chatbot sollte Instagram-Nutzern helfen, wieder Zugriff auf ihre Accounts zu bekommen \u2013 tat aber genau das Gegenteil. Er erm\u00f6glichte jedem den Zugriff auf schlecht gesicherte Instagram-Accounts, wie das Unternehmen jetzt bekannt gab. Rund 20.000 Accounts sind demnach betroffen. Gef\u00e4hrdet war grunds\u00e4tzlich jeder Account, der keine Zwei-Faktor-Authentifizierung aktiviert hatte.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Angreifer hatten dadurch Zugriff auf alle in den Accounts hinterlegten Informationen, wie Geburtsdatum, pers\u00f6nliche Nachrichten, Bilder und Co. Auch der Zugriff auf verkn\u00fcpfte andere Meta-Accounts, etwa bei Facebook, war m\u00f6glich.<\/p>\n
Chatbot \u00f6ffnet die T\u00fcr zu fremden Accounts<\/p>\n
Wie das ging, zeigt ein Video auf X<\/a>. Der Angreifer mit Kenntnis des Instagram-Nutzernamens der Zielperson gibt im Login-Men\u00fc der Instagram-App den Nutzernamen ein und klickt den Button zum Zur\u00fccksetzen des Passworts an. Wie im Video zu sehen ist, war die einzige weitere Voraussetzung eine VPN-Verbindung \u00fcber die ungef\u00e4hre geografische Region der Zielperson, um bei Meta kein Misstrauen zu wecken.<\/p>\n Im weiteren Verlauf bietet die App an, einen Code zum Zur\u00fccksetzen des Passworts an die hinterlegte Mailadresse zu senden. Stattdessen klickt der Angreifer aber oben links auf \u201eGet support\u201c, um zu Metas besagtem KI-Chatbot zu gelangen. Diesen fordert er nun auf, den Code zum Zur\u00fccksetzen an eine neue Mailadresse zu schicken, um diese gleich mit \u201eseinem\u201c Konto \u2013 beziehungsweise dem der Zielperson \u2013 zu verkn\u00fcpfen. Prompt tut der Chatbot wie ihm gehei\u00dfen, der Angreifer sendet wiederum den erhaltenen Code an den Chatbot und kann im weiteren Verlauf das Passwort des Accounts \u00e4ndern, um darauf Zugriff zu erhalten.<\/p>\n Handel mit begehrten Nutzernamen<\/p>\n Der Generalstaatsanwalt des US-Bundesstaates Maine ver\u00f6ffentlichte Metas Meldung<\/a> \u00fcber die Sicherheitspanne. Demnach waren insgesamt 20.225 Accounts betroffen, deren rechtm\u00e4\u00dfige Inhaber noch informiert werden sollen. 404 Media berichtet \u00fcber mehrere Sicherheitsforscher<\/a>, die in den vergangenen Wochen bereits vor der Masche warnten. Besonders begehrte Nutzernamen wurden demnach in cyberkriminellen Kreisen bereits zur Handelsware. So seien in einschl\u00e4gigen Telegram-Gruppen Preislisten mit Nutzernamen geteilt worden, die zum Beispiel aus besonders wenigen Buchstaben oder einem bedeutungsvollen Wort bestehen, und die sich mit der Masche erbeuten lie\u00dfen.<\/p>\n Die Sicherheitsl\u00fccke kommt in etwa zeitgleich mit den Hacks prominenter Instagram-Accounts, wie dem offiziellen Account von Barack Obama aus dessen Zeit als US-Pr\u00e4sident. Auch John Bentivegna, ein ranghoher Angeh\u00f6riger der US Space Force, wurde mit seinem Instagram-Account zuletzt Opfer iranischer Hacker.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n \u00dcberhaupt erst m\u00f6glich machte die Probleme Metas im M\u00e4rz angek\u00fcndigter neuer \u201eAI Support Assistent\u201c<\/a>. Mit ihm \u00fcbertrug das Unternehmen wichtige Aufgaben vollst\u00e4ndig einer k\u00fcnstlichen Intelligenz, versprach \u201ezuverl\u00e4ssige Hilfe rund um die Uhr auf Facebook und Instagram \u2013 schnell, effektiv und so konzipiert, dass Kontoprobleme von Anfang bis Ende gel\u00f6st werden k\u00f6nnen.\u201c Paradoxerweise soll der Assistent auch denjenigen helfen, deren Accounts gehackt wurden. Mittlerweile ist die L\u00fccke geschlossen, berichten mehrere Sicherheitsforscher. Ein Sprecher best\u00e4tigte das auch 404 Media. Es soll sich um einen Programmierfehler gehandelt haben. Meta f\u00e4hrt beim KI-Einsatz einen besonders offensiven Kurs, koppelt auch die Leistungsbewertung seiner Mitarbeiter an deren KI-Nutzung<\/a>. Ob die Entwickler des \u201eAI Support Assistenten\u201c auch KI nutzten und welche Zensur es daf\u00fcr von Meta gab, ist nicht \u00fcberliefert.<\/p>\n Lesen Sie auchMehr anzeigenWeniger anzeigen<\/p>\n