Des pirates ont dupé le chatbot de Meta pour accéder aux comptes de milliers d’utilisateurs. Meta admet qu’il s’agit de plus de 20 000 comptes piratés.
Plus de 20 000 utilisateurs d’Instagram ont été exclus de leur compte. Meta, propriétaire d’Instagram, l’a confirmé suite à des informations qui circulaient à ce sujet depuis la semaine dernière. Le fait marquant de ce piratage est que les attaquants n’ont même pas eu besoin d’interagir avec la victime. Ils ont réussi à réinitialiser les données du compte via le chatbot Meta AI.
En cliquant sur « mot de passe oublié », les pirates entrent en contact avec Meta AI pour restaurer les identifiants de connexion. Meta AI ne les fournit pas sans condition, mais seulement après l’envoi d’une photo pour prouver l’identité. Les pirates récupèrent alors une photo publique du compte et créent une animation générée par IA. Meta AI s’est avéré incapable de distinguer ces animations d’un véritable autoportrait.
Avec l’autorisation de Meta AI, les pirates ont pu s’introduire dans au moins 20 225 comptes Instagram grâce à cette méthode : un chiffre confirmé par Meta elle-même. Un détail non négligeable est que l’authentification à deux facteurs n’était pas activée sur les comptes concernés. Si cela avait été le cas, les utilisateurs auraient pu éviter la tentative de connexion, ce qui souligne une fois de plus l’importance du MFA.
Pas la première fois
Meta n’est cependant pas exempte de tout reproche. Le processus de vérification est entièrement automatisé avec Meta AI, sans intervention humaine. Comme celle-ci n’a rien remarqué, le chatbot a collaboré avec empressement avec les pirates. Les attaquants ont probablement aussi utilisé une connexion VPN pour simuler la localisation du compte visé et duper Meta AI.
Ce n’est d’ailleurs pas la première fois que Meta ne se comporte pas en bon père de famille avec les données des utilisateurs, sans même parler des nombreux scandales de confidentialité entourant l’entreprise. Meta a déjà été sanctionnée à plusieurs reprises en Europe pour des fuites de données ou pour une gestion négligente des données de compte. Meta AI semble également ne pas être très douée pour garder des secrets. Cette longue liste devrait finir par faire réfléchir les utilisateurs des plateformes de Meta.
Meta promet de faire preuve d’introspection et de revoir le processus de vérification, afin que Meta AI effectue des contrôles plus approfondis à l’avenir avant de réinitialiser les mots de passe. Les comptes concernés devraient désormais être rétablis. Il semble toutefois que le double des clés de votre compte restera entre les mains de Meta AI à l’avenir.