Die KI-Revolution, mit der große Unternehmen so geprahlt haben, scheint unerwartet nach hinten losgegangen zu sein – die Leidtragenden sind Nutzer von Meta und Instagram. In einem neuen, peinlichen Sicherheitsskandal bestätigte Meta, dass Tausende Instagram-Konten aufgrund einer kuriosen Sicherheitslücke in seinem KI-gestützten Chatbot, der eigentlich für Kundenservice und Kontowiederherstellung gedacht war, gehackt und gestohlen wurden. Hacker konnten den Chatbot mühelos dazu bringen, die Kontoschlüssel preiszugeben.
Intelligenter oder naiver Roboter? Die Hack-Details in Zahlen
Laut Metas offizieller Benachrichtigung der US-Staatsanwaltschaft in Maine über den Datenverstoß informierte das Unternehmen mindestens 20,225 Nutzer darüber, dass ihre Instagram-Konten vollständig gehackt wurden. Die Hacker erlangten nicht nur Zugriff auf die Konten, sondern übernahmen auch die Kontrolle über verknüpfte Konten und konnten so Kontaktinformationen, Geburtsdaten, Direktnachrichten, Beiträge und sämtliche Kontoaktivitäten einsehen.
Dieser weitverbreitete Sicherheitsverstoß verdeutlicht die Gefahren, die mit dem alleinigen Vertrauen auf künstliche Intelligenz bei sensiblen Vorgängen wie der Kontowiederherstellung ohne sorgfältige menschliche Aufsicht oder strenge Verifizierungsmechanismen einhergehen. Dadurch wurden Tausende von Nutzern einem Softwarefehler ausgesetzt, der leicht hätte vermieden werden können, wenn das System vor seiner Veröffentlichung ausreichend getestet worden wäre.
Wie funktionierte der Trick? Sie fragten einfach nach dem Code und er gab ihn ihnen!
Die Schwachstelle liegt im KI-gestützten Kontowiederherstellungssystem von Instagram. Hacker hatten es auf Konten abgesehen, bei denen die Zwei-Faktor-Authentifizierung (2FA) nicht aktiviert war. Sie kontaktierten den Kundenservice-Bot und baten ihn, das Passwort zurückzusetzen und den Bestätigungscode an eine von ihnen gewählte E-Mail-Adresse anstatt an die registrierte E-Mail-Adresse des Kontos zu senden. Ironischerweise kam der Bot dieser Bitte ohne zu zögern nach!
Meta erklärte in ihrer offiziellen Stellungnahme: „Das Tool selbst funktionierte wie vorgesehen, aber aufgrund eines Fehlers in einem anderen Programmabschnitt konnte das System nicht ordnungsgemäß überprüfen, ob die vom Nutzer angegebene E-Mail-Adresse für die Passwortzurücksetzung mit der E-Mail-Adresse des Kontoinhabers übereinstimmte.“ Infolge dieses schwerwiegenden Fehlers sendete der Bot dem Angreifer, als dieser eine neue E-Mail-Adresse angab, sofort einen Link zum Zurücksetzen des Passworts, anstatt die Anfrage abzulehnen.
Der Zeitraum des Sicherheitsverstoßes und die von Meta ergriffenen Maßnahmen zur Minderung der Folgen des Desasters
Berichten zufolge begann diese Kampagne um den 17. April und dauerte mehrere Wochen an, bis Meta sie vor Kurzem bemerkte und das System absicherte. Währenddessen richteten die Hacker unbemerkt Schaden an den Konten Tausender Nutzer an. Meta hat den Bot nun vorübergehend deaktiviert, den schädlichen Code entfernt und überprüft alle anderen Chatbots auf seinen Plattformen, um ähnliche Sicherheitslücken auszuschließen.
Dieser peinliche Vorfall für Meta ereignet sich kurz nachdem das Unternehmen Tausende von Mitarbeitern und Ingenieuren entlassen hat, während es gleichzeitig weiterhin hohe Boni an Führungskräfte zahlt und seinen kompletten Umstieg auf künstliche Intelligenz (KI) anpreist. Vielleicht muss Meta erkennen, dass rasante KI-Entwicklung kein Ersatz für echte Sicherheit und qualifizierte Ingenieure ist, die Systeme vor solchen naiven Fehlern schützen.
Quelle:
تعليق واحد