Grave falla nell’AI di supporto Meta: hacker rubano account Instagram VIP
Un exploit sul chatbot AI di Meta ha permesso il furto di account Instagram di celebrità, prima della correzione urgente della vulnerabilità.
Una vulnerabilità critica nella AI di supporto di Meta ha esposto migliaia di account Instagram a gravi rischi di furto. Utilizzando una tecnica di prompt injection e VPN per simulare la posizione geografica della vittima, gli hacker riuscivano a convincere il chatbot a modificare l’indirizzo email associato agli account bersaglio, anche in assenza di autenticazione a due fattori (2FA).
Secondo diverse fonti, tra cui 404 Media, l’exploit è rimasto attivo per mesi, consentendo il controllo temporaneo di account di alto profilo come quello dell’ex Casa Bianca di Barack Obama e del Chief Master Sergeant della Space Force, usati per diffondere messaggi pro-Iran. Gli account più preziosi, come @hey e @jowo, sono stati rivenduti nel mercato grigio per oltre un milione di dollari complessivi.
L’attacco sfruttava il classico problema della “confused deputy”: il chatbot AI, dotato di permessi elevati, veniva ingannato a danneggiare dati senza verificare l’identità dell’utente. Gli esperti sottolineano che «l’attivazione anche delle forme base di MFA aveva bloccato l’attacco», evidenziando l’importanza della sicurezza a più fattori.
L’incidente richiama l’attenzione sui rischi insiti nell’adozione rapida di AI agent con ampie autorizzazioni, suggerendo l’implementazione di verifiche aggiuntive, rate limiting, logging e controlli deterministici per prevenire abusi futuri.
