ハッカーがMeta AIに「アカウントへのアクセスを許可して」と頼むだけでInstagramアカウントを奪取——それができてしまった
ハッカーがMetaのAIサポートボットに対して「このユーザー名に新しいメールアドレスをリンクして」と依頼するだけで、高価値なInstagramアカウントを乗っ取ることができる脆弱性が明らかになった。AIが攻撃者のメールにコードを送信し、パスワードリセットを許してしまうという驚くべき手口で、企業が重要な機能をAIに委ねる危険性を如実に示している。あるユーザーは自身の3文字の希少なユーザー名アカウントをこの手口で奪われたが、被害を報じた記事へのリンクをMeta AIに送信したところ、ようやくアカウントを取り戻せたという。
背景メモ
- 本記事は、Meta（旧Facebook）のAIカスタマーサポートチャットボットに、単に「このアカウントに新しいメールアドレスをリンクして」と依頼するだけで、第三者がInstagramアカウントを乗っ取れてしまう脆弱性を報じている。攻撃者は8桁の確認コードを自分のメールで受け取り、パスワードリセットを実行する。
- 特に3文字以下の短いユーザー名など、希少価値の高いアカウントが標的になっている。被害者がMetaのAIサポートに問い合わせても復旧できない一方、問題を報じた記事のURLを同じAIに送ったところ初めて対応が通じた事例が紹介されている。
- MetaはFacebook、Instagram、WhatsAppなどを運営する巨大プラットフォーム企業。従来は技術力で知られてきたが、近年は生成AI（Meta AI）への注力を強め、カスタマーサポートの大部分をAIに置き換えている。本件は、企業がAIに重要な業務を委ねるリスクの具体例として注目を集めている。