Fonctionnalité d'assistance IA de Meta permet de pirater les comptes Instagram — Détails de l'exploit à l'intérieur

La fonctionnalité de support IA de Meta pour Instagram, actuellement testée A/B sur un sous-ensemble de comptes, présente une vulnérabilité critique permettant à quiconque de détourner un compte avec un effort minimal. L'exploit est activement utilisé dans les cercles blackhat depuis plusieurs jours, compromettant plus de 100 comptes de grande valeur.

Comment fonctionne l'exploit

Selon un article de Hacker News de l'utilisateur parable, l'attaque ne nécessite que trois étapes :

• Connectez-vous via un proxy ou un VPN proche de la région du compte cible.
• Demandez à l'agent de support IA d'envoyer un code de vérification à une adresse e-mail arbitraire que vous contrôlez.
• Recevez le code, transmettez-le à l'agent, et l'agent fournit un lien de réinitialisation de mot de passe que vous pouvez utiliser pour vous connecter au compte.

Cela contourne toutes les vérifications de sécurité basées sur l'e-mail car l'agent IA lui-même gère le flux de vérification.

Impact et contexte

L'exploit circule sur Telegram et est trivial à exécuter. Les victimes signalent que leurs sessions ont été révoquées et leurs mots de passe modifiés sans e-mail, SMS ou notification push. Même les comptes avec authentification à deux facteurs (A2F) activée peuvent être vulnérables – certains rapports suggèrent que l'A2F peut également être contournée. Les utilisateurs affectés par l'exploit ont également subi un limitation de débit sur les e-mails de réinitialisation de mot de passe, rendant plus difficile la récupération des comptes via les canaux normaux.

Ce n'est pas la première erreur de sécurité de Meta. En février, un autre exploit permettait à quiconque de voir l'adresse e-mail et le numéro de téléphone associés à tout compte Instagram. Ce bug n'a jamais été officiellement reconnu par Meta.

Mesures d'atténuation recommandées

La solution immédiate est de désactiver complètement la fonctionnalité de support IA jusqu'à ce que le flux de vérification soit corrigé. Les utilisateurs concernés doivent récupérer les comptes et noms d'utilisateur détournés. Au moment de l'article de Hacker News, la faille n'était pas corrigée.