شهدت منصة انستجرام موجة اختراق واسعة طالت مئات الحسابات النادرة والموثقة خلال ايام قليلة، وكان السبب ثغرة في نظام دعم العملاء المعتمد على الذكاء الاصطناعي من Meta. الثغرة سمحت للمخترقين بخداع نظام التحقق بالذكاء الاصطناعي باستخدام فيديوهات وجه مولدة بالذكاء الاصطناعي للحصول على صلاحيات كاملة على الحسابات المستهدفة، وهي حسابات موثقة ومؤمنة بالتحقق الثنائي.
كيف تمت عملية الاختراق خطوة بخطوة
الثغرة في جوهرها بسيطة بشكل مثير للدهشة. المخترق لا يحتاج مهارات تقنية متقدمة، كل ما يحتاجه صورة واحدة من حساب الضحية وادوات ذكاء اصطناعي متاحة للجميع.
- تحديد الهدف ومطابقة الموقع: يدخل المخترق على خيار "نسيت كلمة المرور"، يختار ان حسابه تعرض للاختراق، ثم يستخدم VPN لمطابقة الموقع الجغرافي للضحية الذي اصبح ظاهرا في قسم "عن الحساب" داخل انستجرام.
- خداع نظام التحقق بالذكاء الاصطناعي: نظام دعم Meta بالذكاء الاصطناعي يطلب من المستخدم تحقق بصري عبر سيلفي. المخترق يأخذ صورة من حساب الضحية العام، يمررها على اداة توليد فيديو بالذكاء الاصطناعي لصنع رسوم متحركة لوجه الشخص، ثم يرفع الفيديو ده كدليل تحقق.
- الاستيلاء الكامل على الحساب: نظام Meta يقبل الفيديو المزيف لانه لا يستطيع التمييز بين السيلفي الحقيقي والوجه المولود بالذكاء الاصطناعي. بعد القبول يغير المخترق البريد الالكتروني المرتبط بالحساب، وتصله رسالة اعادة تعيين كلمة المرور على بريده هو، ويصبح مالك الحساب بالكامل. التحقق الثنائي يتجاوز في هذه المرحلة ايضا رغم تفعيله.
⚠️ الاخطر في هذه الثغرة انها لا تستثني الحسابات الموثقة والمؤمنة. حساب البيت الابيض الخاص بفترة اوباما تعرض للاختراق، وحسابات يمتلكها اصحابها منذ 2010 بادهم يهاندلز نادرة تقدر قيمتها بمئات الالاف من الدولارات. خسائر تجاوزت مليون دولار من الحسابات المسروقة في ثلاثة ايام فقط.
لا دعم بشري ولا طريقة للاسترداد
الجانب الاكثر اثارة للقلق لم يكن الاختراق نفسه، بل ما حدث بعده. اصحاب الحسابات المسروقة وجدوا انفسهم امام جدار من الردود الآلية. نظام دعم Meta بالكامل يعتمد على chatbot لا يملك اي صلاحية فعلية لاسترداد الحسابات، ولا توجد طريقة للتواصل مع موظف حقيقي. الحساب يضيع والشخص يبقى يدور في حلقة مفرغة من الردود التلقائية.
Meta استغرقت ساعات طويلة لمجرد الاعتراف بوجود المشكلة بينما كانت الحسابات تختفي كل دقيقة. الثغرة اتسكرت بعدها، لكن الحسابات التي ضاعت في هذه الفترة لم يعود اصحابها اليها بسهولة.
كيف تحمي حسابك على انستجرام الان
الثغرة اتعالجت لكن ده مش معناه ان الموضوع انتهى. اجراءات بسيطة تقلل احتمالية استهدافك في اي ثغرة مستقبلية:
- اخفي موقعك الجغرافي من صفحتك: روح على اعدادات الحساب وراجع المعلومات الظاهرة في قسم "عن الحساب". اي معلومة موقع ظاهرة علنا اشيلها لان المخترقين استخدموها لتجاوز خطوة VPN.
- استخدم بريد الكتروني مخصص للحساب: لو بريد الكتروني حسابك على انستجرام معروف او مستخدم في اماكن تانية، غيره لبريد مخصص للحساب بس ومش مكشوف لحد.
- فعّل التحقق الثنائي بتطبيق Authenticator مش SMS: رقم الهاتف اسهل في الاستهداف من تطبيق Authenticator منفصل زي Google Authenticator او Authy. غير طريقة التحقق لو لسه بتستخدم SMS.
- راجع الجلسات النشطة بشكل دوري: من اعدادات الامان في انستجرام، افتح "نشاط تسجيل الدخول". اي جلسة مش بتعرفها اوقفها فورا وغير كلمة المرور.
🔒 الدرس الاكبر من هذه الحادثة: لما تكل امن حسابك كليا لنظام ذكاء اصطناعي بدون اي انسان في الحلقة، فان ذكاء اصطناعي اخر يقدر يخدعه. الثغرة الحقيقية لم تكن في كود برمجي، كانت في قرار استبدال الدعم البشري بالكامل بـ chatbot في شيء حساس مثل امن الحسابات.
الثغرة اتسكرت لكن الحوادث من هذا النوع هتتكرر طالما ان نماذج التحقق البيومتري تعتمد على الذكاء الاصطناعي وحده، وطالما ان ادوات توليد الوجوه والفيديوهات المزيفة في متناول الجميع مجانا.