黑客诱骗 Meta AI 客服，盗取多名 Instagram 用户账号

IT之家 6 月 2 日消息，照片分享平台 Instagram 已修复一个安全漏洞，此前该漏洞导致多名用户账号遭到盗号。此次入侵手段的核心套路是诱骗 Meta 自研的人工智能客服聊天机器人放行权限，进而非法登入受害者账号。上周末，多名 Reddit 用户爆料自己的 Instagram 账号被盗，X 平台也有不少用户发文警示同类账号劫持事件。被盗账号里，既有 Obama 政府时期的白宫官方 Instagram 账号（该账号自 2017 年后便处于停用状态），也包含美国太空部队总军士长约翰 · 本蒂韦尼亚的个人账户。安全研究员简 · 黄透露，她本人的 Instagram 账号同样遭遇盗号。“在我毫不知情的情况下登录密码被篡改，昨天一整天还接连收到多起异地密码重置申请，这相当令人担忧。”简 · 黄表示。IT之家注意到，X 平台流传的一段视频曝光了这套盗号的完整操作流程：黑客先用虚拟专用网络（VPN）伪造目标用户的地理位置，规避 Instagram 的账号自动安全风控机制；随后对接 Meta 人工智能客服助手，要求机器人为目标账号添加新的电子邮箱。视频画面显示，客服机器人会向黑客填写的邮箱发送验证码，黑客再把验证码回传给机器人，机器人随即弹出“重置密码”按钮，黑客借此设置新密码、彻底接管受害者账号。科技资讯网 TechCrunch 经核实确认，视频里黑客展示的邮箱确实成功收到了平台下发的验证码。这套攻击方式的关键在于：黑客全程无需攻破受害者原本绑定在 Instagram 上的正规邮箱。当地时间周一，Instagram 发言人安迪 · 斯通在简 · 黄及其他网友的帖子下回复称，相关漏洞现已修补完毕。目前暂无确切数据说明有多少用户账号遭非法入侵。