- أدى اختراق أمني في برنامج الدردشة الآلي للدعم إلى تسهيل الوصول غير المشروع إلى حسابات ذات صلة كبيرة.
- استخدم المهاجمون تقنيات انتحال الموقع لخداع الأنظمة الآلية.
- تم اختراق حسابات الشخصيات العامة والشركات الكبيرة قبل تطبيق التحديث الأمني.
- يوصي الخبراء باستخدام المصادقة الثنائية من خلال التطبيقات لمنع هذه الاختراقات.
يُعدّ دمج الذكاء الاصطناعي في خدمة العملاء اتجاهاً لا يمكن إيقافه، ولكن في بعض الأحيان تُفضي هذه الأدوات إلى مفاجآت غير سارة. وقد تم اكتشاف ذلك مؤخراً. مساعد دعم ميتا كان به عيب خطير سمح لأطراف ثالثة بالسيطرة الكاملة على ملفات تعريف الآخرين دون عناء، وذلك من خلال الاستفادة من عملية آلية.
لقد عرّضت هذه الثغرة الأمنية تجربة آلاف المستخدمين للخطر، بل وأثرت على شخصيات مثل باراك أوباما وشركات دولية كبرى. وقد أدى هذا الوضع إلى ظهور إنذار كبير في قطاع الأمن السيبرانيوخاصة في أوروبا، حيث تُعد حماية البيانات قضية تخضع لتدقيق دقيق، وأي خطأ من هذا القبيل يصبح صداعاً حقيقياً للسلطات المختصة.
كيف تم تنفيذ عملية السطو باستخدام الهندسة الاجتماعية
لم تتطلب الطريقة التي استخدمها المهاجمون معرفة تقنية واسعة أو برامج ضارة معقدة للغاية. لقد كانت ببساطة تعتمد على خداع برنامج الدردشة الآلي من خلال محادثة بدت شرعية تماماً لنظام استعادة الحساب الآلي الذي قامت الشركة بنشره قبل بضعة أشهر، تم التواصل مع شركة ميتا.
استخدم المجرمون اتصالات VPN لمحاكاة وجودهم في نفس الموقع الجغرافي للضحية، مما جعل الأمر يبدو كما لو أن نظام التحقق من الموقع سيخفف البرنامج الآلي من حذره ويقبل طلبات تغيير البيانات كما لو كانت واردة من المالك الحقيقي.
بمجرد أن اكتسب الذكاء الاصطناعي ثقته، طلب المهاجم ربط عنوان بريد إلكتروني جديد بالحساب المستهدف، والمفاجأة أن الروبوت... أرسلت رمز التحقق مباشرة إلى العنوان الذي قدمه المخترق في تلك اللحظة بالذات، متجاهلاً تماماً بروتوكولات الأمان المعتادة.
بإدخال ذلك الرمز المكون من ثمانية أرقام، قام النظام بفتح زر لإعادة تعيين كلمة المرور، مما سمح للمتسلل بالدخول. سيتم تغيير بيانات اعتماد الوصول وسيؤدي ذلك إلى استبعاد المالك الحقيقي من ملفه الشخصي في غضون ثوانٍ، دون أن يتلقى أي إشعار مسبق.
السوق السوداء المربحة لحسابات إنستغرام
ليس من المستغرب أن تُستغل هذه الأنواع من الثغرات الأمنية بهذه السرعة، نظراً للقيمة الهائلة لبعض الملفات الشخصية في السوق السوداء. وقد رصد خبراء أوروبيون ذلك. حسابات المؤثرين والعلامات التجارية يتم بيعها على قنوات تيليجرام خاصة بأسعار تتجاوز أحيانًا مليون يورو نظرًا لانتشارها الواسع.
بالإضافة إلى مجرد الوصول إلى الملف الشخصي، فإن السرقة تعني أن المجرمين يمكنهم قراءة الرسائل الخاصة، والوصول إلى بيانات الفواتير الحساسة، والقيام بإجراءات أخرى. عمليات احتيال تستهدف المتابعين من الحساب المخترق، وهو ما يمثل ضربة مدمرة لسمعة أي شركة أو علامة تجارية شخصية تعتمد على صورتها على وسائل التواصل الاجتماعي.
أكد باحثون أمنيون مرموقون، مثل أولئك الموجودين في Krebs On Security، أن المشكلة لم تكن تكمن في الخوادم المركزية للشركة، بل في... منطق تصميم رديء من المساعد الافتراضي، الذي أعطى الأولوية للحل السريع للحوادث على التحقق الفعلي من الهوية.
كان عدم اشتراط المصادقة الثنائية خلال عملية الاسترداد هذه هو المفتاح الذي فتح الباب أمام المهاجمين، مما يدل على ذلك. أتمتة العمليات الحيوية بدون إشراف بشري مناسب، يمكن أن تكون هذه خطوة محفوفة بالمخاطر للغاية على منصات تضم مليارات المستخدمين.
تدابير لحماية أمنك الرقمي
قامت شركة ميتا بالفعل باتخاذ خطوتها وأكدت رسمياً تطبيق التحديث الأمني على أنظمتها، مؤكدةً أن تم تصحيح الخطأ وأنهم يعملون بنشاط على استعادة السيطرة للمستخدمين الذين تضرروا من هذا الاختراق خلال عطلة نهاية الأسبوع الماضية.
ولتجنب المخاوف غير الضرورية في المستقبل، يوصي خبراء التكنولوجيا بشدة قم بتشغيل التحقق من خطوتين من خلال تطبيقات خارجية متخصصة، وتجنب رسائل SMS التقليدية التي يسهل اعتراضها من قبل الخبراء.
من الضروري أيضاً الاحتفاظ ببريد إلكتروني للاسترداد يكون خاصاً تماماً ولا يظهر في نبذة الملف الشخصي، بالإضافة إلى مراجعة الجلسات النشطة نقوم بفحص إعدادات إنستغرام بشكل دوري لإغلاق أي اتصالات مشبوهة لم نقم بإنشائها بأنفسنا.
لا تُفوّض أبدًا أمان حساباتك بالكامل إلى مساعد افتراضي، واعتمد على رموز النسخ الاحتياطي المادي يُعد تخزين هذه الأشياء بأمان من الممارسات الأساسية التي يمكن أن تنقذنا من فوضى عارمة إذا وجدنا أنفسنا في موقف مماثل من الضعف في المستقبل.
إن سرعة نشر التقنيات الجديدة قد تؤدي أحيانًا إلى إهمال بروتوكولات الأمان الأساسية، وهذه الحادثة المتعلقة بتقنية الذكاء الاصطناعي من ميتا هي خير تذكير بذلك. يجب أن نكون استباقيين فيما يتعلق بخصوصيتنا على الإنترنت، ورغم أن الشركة قد أصلحت الثغرة الأمنية رسمياً، إلا أن مسؤولية الحفاظ على طبقات حماية إضافية تقع على عاتقنا لضمان بقاء تجاربنا على وسائل التواصل الاجتماعي آمنة وخالية من أي تدخل غير مرغوب فيه.
