Investigadores de seguridad han revelado en X cómo lograron sustraer las credenciales de cuentas de usuarios de Instagram utilizando el asistente de IA de Meta. Este asistente no verificaba la identidad ni la autenticación multifactor, si estaba activada.
Vulnerabilidad en el chatbot de Meta
Los hackers se dieron cuenta de que el ‘chatbot’ de Meta dependía de la ubicación del usuario para confirmar la cuenta. Por lo tanto, solo tuvieron que usar una VPN para simular que su dirección física coincidía con la del usuario, completando así el proceso de sustracción.
En una interacción con el soporte de IA, al solicitar vincular la cuenta objetivo a una nueva dirección de correo electrónico, la IA enviaba un código de ocho dígitos a la dirección proporcionada por el hacker. Tras introducir ese código, el hacker recibía un mensaje de restablecimiento de contraseña, lo que le otorgaba acceso directo.
Consecuencias y solución del problema
Esta vulnerabilidad se produjo al mismo tiempo que se reportaban comportamientos extraños en diversas cuentas de Instagram, destacando las de figuras como el expresidente Barack Obama y la cuenta de Sephora.
Sin embargo, Meta ha informado que ya ha solucionado el problema. «El problema ha sido resuelto y estamos asegurando las cuentas afectadas», afirmó Andy Stone, vicepresidente de Comunicaciones de Meta, en su cuenta de X.
Aunque la compañía no ha brindado detalles adicionales sobre el incidente, no se conoce el número exacto de cuentas afectadas. Según 404 Media, algunos usuarios habían alertado sobre esta vulnerabilidad en Telegram desde marzo.
