Telegram-Beiträge sollen gezeigt haben, wie sich Metas KI-Support-Bot zum Übernehmen von Instagram-Konten missbrauchen lässt

Meta hat Berichten zufolge eine Schwachstelle im Kontowiederherstellungsprozess von Instagram geschlossen, nachdem Hacker behauptet hatten, sie könnten den KI-Supportassistenten des Unternehmens nutzen, um eine neue E-Mail-Adresse zum Konto eines Opfers hinzuzufügen und einen Passwort-Reset abzuschließen.

Das Problem wurde bekannt, nachdem Telegram-Kanäle Anleitungen und ein Demonstrationsvideo verbreitet hatten, die einen scheinbar einfachen Missbrauch des automatisierten Instagram-Supportprozesses zeigten. Den Beiträgen zufolge würde ein Angreifer zunächst eine Zurücksetzung des Passworts anfordern und während des Wiederherstellungsprozesses zum KI-Assistenten von Meta wechseln. Anschließend habe der Bot angeblich eine Anfrage akzeptiert, eine neue E-Mail-Adresse mit dem Zielkonto zu verknüpfen, und einen Einmalcode an diese Adresse gesendet, wodurch die Übernahme des Kontos ermöglicht worden sei.

Konten, die mit dem Weißen Haus unter Obama und der U.S. Space Force verbunden sind, wurden am Wochenende kurzzeitig mit proiranischen Bildern und Nachrichten verunstaltet, was die offenbar möglichen Auswirkungen der Methode unterstreicht. Das Telegram-Konto, das das Video verbreitet hatte, behauptete außerdem, die Methode sei genutzt worden, um weitere hochwertige Instagram-Nutzernamen zu übernehmen. Einige davon sollen wegen ihrer kurzen Namen einen erheblichen Wiederverkaufswert gehabt haben.

Meta ging auf die Vorwürfe öffentlich nicht im Detail ein. Der Sicherheitsmanager des Unternehmens, Andy Stone, erklärte jedoch auf X, das Problem sei behoben worden und betroffene Konten würden geschützt. Laut einem Bericht von thecybersecguru.com veröffentlichte Meta einen Notfall-Patch; eine interne Datenbank sei nicht kompromittiert worden.

Warum der Vorfall wichtig ist

Sicherheitsanalysten sagen, der Fall verdeutliche ein wachsendes Problem, da große Plattformen Chatbots bei sensiblen Schritten zur Kontowiederherstellung einsetzen. Ian Goldin, Forscher bei Lumen’s Black Lotus Labs, erklärte, KI-Systeme könnten eine neue Angriffsfläche schaffen, weil sie möglicherweise dazu gebracht werden können, Unterstützung zu leisten, für die eigentlich strengere Identitätsprüfungen erforderlich gewesen wären.

Experten wiesen außerdem darauf hin, dass Nutzer ihr Risiko verringern können, indem sie die stärkste verfügbare Multi-Faktor-Authentifizierung aktivieren. In diesem Fall erklärten die Telegram-Nutzer, die den Missbrauch beschrieben, dass die Methode bei Konten mit aktiviertem MFA nicht funktioniert habe.

• Verwenden Sie, sofern verfügbar, Passkeys oder Hardware-Sicherheitsschlüssel.
• Verlassen Sie sich nicht ausschließlich auf SMS-basierte Codes, wenn stärkere Optionen verfügbar sind.
• Überprüfen Sie regelmäßig die zur Kontowiederherstellung hinterlegten E-Mail-Adressen und Anmeldewarnungen.

Der Vorfall verstärkt die Bedenken, dass KI-gestützter Kundensupport zwar für die legitime Kontowiederherstellung nützlich ist, aber auch in großem Maßstab für Social Engineering anfällig sein kann.