💀 AI-поддержка Meta отдала аккаунты без взлома — новый вектор Атакующие получили контроль над Instagram-аккаунтами администрации Обамы и Chief Master Sergeant Космических сил США 31 мая. Механика до смешного проста — и в этом её опасность. Исполнитель подключался через VPN с IP, географически близким к цели, инициировал штатный сброс пароля, а затем в чате с AI-ассистентом Meta просил привязать аккаунт к своему email. Бот дружелюбно менял привязанную почту и отправлял одноразовый код — без единой проверки, действительно ли запрос идёт от владельца, пишет Брайан Кребс. Контекст важен: поддержка Instagram исторически отсутствовала как класс — восстановление взломанного аккаунта могло занять недели переписки с тикет-системой. Meta развернула диалоговый AI-слой именно чтобы снизить трение для легитимных пользователей, застрявших в этом аду. The Cyber Security Guru уточняет: экстренный патч выкатили за выходные, компрометации бэкенд-баз не было. Но проблема не в конкретном баге, а в архитектурном решении. Ян Голдин из Black Lotus Labs называет это неизведанной территорией: AI-чатботы создают новую поверхность атаки, где социальная инженерия работает против машины так же эффективно, как против человека. Бот хочет помочь — это его базовая функция. Злоумышленнику не нужен эксплойт, достаточно убедительно попросить. В Telegram уже гуляли списки захваченных коротких имён с предполагаемой стоимостью перепродажи более полумиллиона долларов. Любопытная деталь: атака проваливалась на аккаунтах с любым включённым MFA, даже самым слабым — одноразовым кодом по SMS. Хакеры сами признали это в своём видео. История не про Instagram и не про Meta. Это первый громкий случай, где автоматизация пользовательской поддержки вошла в прямой конфликт с безопасностью — AI-агент, запрограммированный минимизировать трение, стал идеальным инструментом социальной инженерии. Кто следующий? Любой сервис, который прикрутит помощного бота к восстановлению доступа без жёсткой верификации личности. Вопрос к залу: где в наших собственных пайплайнах AI-агенты уже принимают решения о доступе, не имея возможности сказать «нет»? #Meta #Instagram #AIvulnerability #socialengineering #accounttakeover