Fallo en el chatbot de IA de Meta permitió el hackeo de cuentas en Instagram: claves para protegerse.
Una brecha de seguridad en el asistente de inteligencia artificial permitió el acceso no autorizado a perfiles solo cambiando el correo.
Durante el pasado fin de semana, la compañía tecnológica Meta enfrentó un incidente de seguridad en el que diversos hackers utilizaron su propio chatbot de inteligencia artificial (IA) para comprometer cuentas de la red social Instagram.
El fallo no se originó por un hackeo a los servidores internos de la empresa ni por el uso de malware complejo, sino por una vulnerabilidad en la lógica del asistente automatizado de soporte.
Este sistema permitió cambiar las direcciones de correo electrónico asociadas a los perfiles sin realizar las validaciones de identidad requeridas, afectando tanto a usuarios anónimos como a cuentas institucionales y de figuras públicas. Meta confirmó el ciberataque el lunes, asegurando que la vulnerabilidad ya fue corregida y que se implementaron medidas para proteger los perfiles afectados.
La vulnerabilidad se localizó en las funciones operativas del chatbot de IA que Meta integró a principios de este año en Facebook e Instagram. Este asistente cuenta con facultades para ejecutar acciones en nombre del usuario, tales como reportar fraudes, gestionar suplantaciones de identidad y tramitar el restablecimiento de contraseñas.
De acuerdo con capturas de pantalla y videos difundidos en redes sociales por expertos en seguridad y grupos de análisis informático, el método empleado no requirió de contraseñas previas ni de software malicioso.
Los atacantes iniciaron conversaciones con el asistente virtual dentro del flujo normal de recuperación de cuentas y solicitaron la vinculación del perfil de la víctima a una nueva dirección de correo electrónico.
El chatbot procesó la solicitud y procedió a enviar el código de verificación directamente a la bandeja de entrada del solicitante. Con dicho código, los atacantes restablecieron las credenciales de acceso, tomando el control total del perfil y bloqueando a los usuarios originales. Para evadir las alertas automáticas de seguridad de la plataforma, los perpetradores emplearon redes virtuales privadas (VPN) con el objetivo de falsear su ubicación geográfica y simular proximidad con los titulares legítimos.
El incidente comprometió la seguridad de una cantidad no especificada de usuarios. Entre los perfiles afectados se encuentran cuentas destacadas como la de Barack Obama correspondiente a su periodo en la Casa Blanca (inactiva desde el año 2017), la de la firma de cosméticos Sephora, la del alto funcionario de la Fuerza Espacial estadounidense John Bentivegna y la de la especialista en seguridad informática Jane Wong.
Meta emitió una declaración oficial este lunes en la que confirmó la existencia del ataque y su posterior resolución. “El problema ha sido ya solventado y estamos protegiendo las cuentas afectadas”, argumentó la corporación. Asimismo, la firma aclaró que no se produjo ninguna brecha en sus sistemas internos ni en el backend, manteniendo la integridad general de los servidores de Instagram. Hasta el momento, Meta no ha revelado la cifra exacta de las cuentas que resultaron expuestas durante el fin de semana.
Con Informacion de GLOBOVISION.
