Metas KI-Support-Funktion ermöglicht jedermann, Instagram-Konten zu kapern — Exploit-Details im Inneren

Metas KI-Supportfunktion für Instagram – derzeit A/B-getestet bei einem Teil der Konten – enthält eine kritische Schwachstelle, die es jedem ermöglicht, mit minimalem Aufwand ein Konto zu kapern. Der Exploit wird seit mehreren Tagen aktiv in Blackhat-Kreisen genutzt und hat über 100 wertvolle Konten kompromittiert.

Wie der Exploit funktioniert

Laut einem Hacker-News-Beitrag des Nutzers parable erfordert der Angriff nur drei Schritte:

• Verbinden Sie sich über einen Proxy oder VPN in der Nähe der Region des Zielkontos.
• Bitten Sie den KI-Support-Agenten, einen Bestätigungscode an eine beliebige E-Mail-Adresse zu senden, die Sie kontrollieren.
• Erhalten Sie den Code, leiten Sie ihn an den Agenten weiter, und der Agent stellt einen Link zum Zurücksetzen des Passworts bereit, den Sie verwenden können, um sich im Konto anzumelden.

Dies umgeht alle E-Mail-basierten Sicherheitsprüfungen, da der KI-Agent selbst den Verifizierungsvorgang abwickelt.

Auswirkungen und Kontext

Der Exploit kursiert auf Telegram und ist trivial auszuführen. Betroffene berichten, dass ihre Sitzungen beendet und Passwörter geändert wurden, ohne dass eine E-Mail, SMS oder Push-Benachrichtigung erfolgte. Selbst Konten mit aktivierter Zwei-Faktor-Authentifizierung (2FA) könnten anfällig sein – einige Berichte deuten darauf hin, dass auch 2FA umgangen werden kann. Von dem Exploit betroffene Nutzer erlebten zudem eine Ratenbegrenzung bei E-Mails zum Zurücksetzen des Passworts, was die Wiederherstellung von Konten über normale Kanäle erschwerte.

Dies ist nicht Metas erster Sicherheitsfehler. Im Februar ermöglichte ein separater Exploit jedem, die hinterlegte E-Mail-Adresse und Telefonnummer eines beliebigen Instagram-Kontos einzusehen. Dieser Fehler wurde von Meta nie offiziell bestätigt.

Empfohlene Gegenmaßnahmen

Die sofortige Lösung besteht darin, die KI-Supportfunktion vollständig zu deaktivieren, bis der Verifizierungsablauf korrigiert ist. Betroffene Nutzer sollten gekaperte Konten und Benutzernamen wiederherstellen. Zum Zeitpunkt des Hacker-News-Beitrags war der Fehler weiterhin ungepatcht.