Meta 正在通知数千名 Instagram 账户被劫持的用户——这些劫持事件发生在其 AI 聊天机器人被滥用的数月期间，黑客反复诱骗该聊天机器人接管用户账户。

在一份本周由安全领域看到的全新数据泄露通知信中，Meta 首次披露了有多少人的账户在这场长期黑客活动中遭到劫持。该活动于本周早些时候被发现，并由 404 Media（付费）和 TechCrunch（付费）率先报道。受影响的账户数量在一定程度上揭示了这场黑客活动的波及范围及其持续时长。

根据上周五晚向缅因州总检察长办公室提交的数据泄露通知，Meta 已通知至少 20,225 人其账户遭到入侵，其中 30 人来自缅因州。

通知称，这些入侵使黑客能够接管用户的整个 Instagram 及任何关联账户，包括获取联系方式、出生日期和个人资料信息，还能访问用户发布的帖子、私信及账户活动。

Meta 的通知确认，此次泄露与“Instagram 的 AI 辅助账户恢复系统存在漏洞”有关，该漏洞被利用来“对 Instagram 用户账户执行密码重置”。

正如此前报道，黑客滥用了 Meta 聊天机器人中的一个缺陷，该缺陷允许任何人重置未开启双重身份验证的任何账户的密码。该漏洞诱使聊天机器人将验证码发送至黑客控制的电子邮箱，而非账户持有人登记的电子邮箱——只需向聊天机器人提出请求即可。而聊天机器人竟然照做了。

“该工具本身运行正常，且按预期工作；然而，由于另一条代码路径中存在一个错误，系统未能正确验证请求密码重置的个人所提供的电子邮箱是否与该用户 Instagram 账户关联的电子邮箱匹配，”Meta 在其泄露通知中表示。

“因此，当用户提供一个之前未与该账户关联的电子邮件地址时，系统错误地将密码重置链接发送到了那个未关联的邮箱，而不是拒绝该请求。这使得未经授权的第三方能够收到他们并不拥有的账户的密码重置链接，”该公司补充道。

至此，Meta 表示，黑客可以重置某人的密码并接管其账户，仿佛他们就是合法所有者。

Meta 表示，对于黑客攻击期间是否有任何个人信息被访问以及具体是什么信息，它“并不清楚”。（截至周六早些时候，向 Meta 新闻热线发送的询问此事的邮件未获回复。）

根据缅因州的披露，黑客攻击始于大约 4 月 17 日，一直持续到本周——Meta 表示已在这周对该聊天机器人进行了加固。据报道，Instagram 从本周早些时候开始向受影响用户发送密码重置通知，但仍有部分用户报告称黑客攻击仍在继续。

Meta 还在通知中确认，它已提醒用户保护自己的账户，称其“指示受影响用户重置密码，并通过安全、经过验证的渠道重新进行身份验证。”

Meta 表示，目前已禁用该 AI 聊天机器人，并移除了允许该聊天机器人重置用户账户的代码路径，同时还在检查其平台上的其他聊天机器人，以防止类似事件再次发生。目前尚不清楚是什么情况导致了该聊天机器人被滥用，但此事发生在 Meta 裁减数千名员工之后不久，与此同时该公司还以股票激励方式奖励高层管理人员，并继续全力押注 AI。

非常感谢您阅读 ~this week in security~。如果您喜欢这篇文章，请分享它！如有任何反馈、问题或关于本文的评论，欢迎联系：this@weekinsecurity.com。