- أدى خلل في برنامج الدردشة الآلي للدعم إلى تسهيل تغيير عناوين البريد الإلكتروني المرتبطة دون التحقق الحقيقي.
- وقع أكثر من 20.000 ألف مستخدم ضحية لهذا الخلل، مما أثر بشكل خاص على الملفات الشخصية ذات الأسماء القصيرة والقيمة العالية.
- استخدم المهاجمون أدوات الذكاء الاصطناعي وشبكات VPN لتجاوز إجراءات الأمان القياسية.
- قامت الشركة بتعطيل الخدمة المتأثرة مؤقتًا ريثما تقوم بتطبيق أنظمة تحقق أكثر قوة.
يبدو أن التقدم التكنولوجي قد ينقلب أحيانًا ضد صاحبه، وهذه المرة كانت شركة مارك زوكربيرج هي المتضررة. فما صُمم في البداية كمساعد مدعوم بالذكاء الاصطناعي لتسهيل حياة مستخدمي إنستغرام، تحول إلى حصان طروادة مكّن من سرقة الحسابات على نطاق مقلق للغاية.
برزت هذه المشكلة بعد الكشف عن فقدان آلاف الأشخاص إمكانية الوصول إلى حساباتهم الشخصية بين ليلة وضحاها، مما أصاب الكثيرين بالذهول عندما وجدوا صورهم ومعلومات الاتصال الخاصة بهم في أيدي غرباء. أعاد هذا الحادث إشعال النقاش الدائر حول ما إذا كنا نؤتمت وظائف بالغة الأهمية دون معالجة جميع الثغرات الأمنية المحتملة التي يسعى مجرمو الإنترنت إلى استغلالها.
كيف حدث هذا التسريب في نظام ميتا؟
بدأ كل شيء بتطبيق نظام دعم جديد، يُطلق عليه داخليًا اسم "الدعم عالي المستوى"، بهدف تسريع استعادة الحسابات عبر روبوت محادثة ذكي. إلا أن المهاجمين اكتشفوا أن هذا المساعد كان مفرطًا في الثقة، إذ سمح للمستخدمين بتغيير عنوان البريد الإلكتروني المخصص للاستعادة بمجرد طلب ذلك، دون إجراء فحوصات التحقق من الهوية التي يتوقعها أي شخص من شركة بهذا المستوى.
ومما زاد الأمر تعقيداً، أن المجرمين لم يكونوا بحاجة إلى أن يكونوا عباقرة في مجال الحاسوب، إذ انتشرت هذه الطريقة بسرعة البرق عبر قنوات تيليجرام. وباستخدام اتصالات VPN لمحاكاة التواجد في نفس مدينة الضحية، تمكنوا من جعل نظام الذكاء الاصطناعي الخاص بـ Meta يتخلى عن حذره ويسلم مفاتيح الملف الشخصي في غضون دقائق، بل وتجاوزوا التحقق بخطوتين في كثير من الحالات.
أكثر ما يثير القلق في هذا الأمر، بحسب العديد من محللي الأمن، هو أن النظام قبل عمليات تحقق من الهوية كانت معيبة تمامًا. بل تم توثيق استخدام مقاطع فيديو مُولّدة بالذكاء الاصطناعي لخداع أنظمة التعرف على الوجوه الخاصة بالمنصة، مما يُثبت أن تقنية الحماية في إنستغرام لم تكن قادرة على التمييز بين الإنسان الحقيقي والصورة المُركّبة المُتقنة.
تأثير هائل: من المستخدمين المجهولين إلى الملفات الشخصية رفيعة المستوى
على الرغم من أن أي مستخدم قد يكون ضحية محتملة، إلا أن المخترقين ركزوا بشكل خاص على ما يُسمى بـ"أسماء المستخدمين الأصلية"، وهي ببساطة أسماء مستخدمين قصيرة أو مرغوبة للغاية، ولها قيمة عالية جدًا في السوق السوداء. أُعيد بيع هذه الحسابات في غضون ساعات عبر منتديات متخصصة، تاركةً أصحابها الأصليين بلا أي وسيلة لاستعادة ما هو حقهم.
لكن الأمر لم يتوقف عند هذا الحد، إذ استُخدمت حسابات شخصيات مثل باراك أوباما وعلامات تجارية كبرى مثل سيفورا لنشر محتوى غريب ودعاية. ويُقدّر أن أكثر من 20.000 ألف شخص قد تضرروا من هذه الثغرة، وهو رقم دفع شركة ميتا إلى تقديم بلاغات إلى السلطات الأمنية في عدة مناطق، بما في ذلك أوروبا والولايات المتحدة.
في حالة إسبانيا تحديداً، وبقية دول القارة، يبلغ القلق ذروته نظراً للوائح حماية البيانات الصارمة. لم يكتفِ المهاجمون بالسيطرة على الحساب، بل تمكنوا أيضاً من الوصول إلى الرسائل المباشرة ، ومعلومات الاتصال، وتواريخ الميلاد، ما يمثل انتهاكاً جسيماً للخصوصية قد تترتب عليه عواقب وخيمة، كالعقوبات الإدارية.
أكد آندي ستون، ممثل الشركة، أنه تم إصلاح الثغرة الأمنية وأنهم يعملون جاهدين على تأمين الحسابات المتأثرة. وكإجراء وقائي، تم تعطيل مساعد الدعم الافتراضي بالكامل ، كما تم إبطال جميع روابط إعادة تعيين كلمات المرور المشبوهة التي تم إنشاؤها خلال أسابيع الهجوم.
الآن، لا يملك المستخدمون المتضررون خيارًا سوى التحلي بالصبر وخوض عملية تحقق يدوية شاقة لاستعادة هويتهم الرقمية. تُذكّرنا هذه الحادثة بأنه مهما بلغت حداثة الأدوات، يجب ألا نتراخى في الحذر ، وأنه من الضروري وجود وسائل تحقق خارجية، مثل نسخ بيانات إنستغرام احتياطيًا ، لمنع برنامج آلي بسيط من إفساد يومنا وسرقة ذكرياتنا الرقمية.
يُسلّط هذا الاختراق الأمني الذي شلّ شركة ميتا الضوء على الثغرات الكبيرة في التحقق من الهوية التي لا تزال قائمة في عمليات الدعم الآلي الحيوية. مع اختراق أكثر من 20,000 حساب واستخدام أساليب التصيّد الاحتيالي القائمة على الشبكات الافتراضية الخاصة (VPN) ومقاطع الفيديو المصطنعة، بات من الواضح أن على القطاع إعادة النظر في بروتوكولاته قبل ترك القرارات الأمنية بالكامل في أيدي الذكاء الاصطناعي. في الوقت الراهن، لا يزال خط المساعدة الذكي معطلاً بينما تُجري الشركة مراجعة شاملة لأنظمتها عبر فيسبوك وواتساب ومنصاتها الأخرى لمنع تكرار مثل هذا الخطأ.
