روبوت الدردشة الذكي من Meta ساعد قراصنة على الاستيلاء على حسابات إنستغرام، ومنها حساب البيت الأبيض

نجح قراصنة في استغلال روبوت الدردشة الذكي التابع لدعم Meta للاستيلاء على حسابات إنستغرام عبر أسلوب بسيط من الهندسة الاجتماعية. وكانت الثغرة تتيح لأي شخص الوصول إلى ملف شخصي لا يملكه، بمجرد أن يطلب من الروبوت تغيير عنوان البريد الإلكتروني المرتبط بالحساب وإعادة تعيين كلمة المرور.

كيف جرى الاستغلال

نشر القراصنة على Telegram مقاطع فيديو توضح عملية الاختراق خطوة بخطوة. بدأ الهجوم بالتواصل مع روبوت الدردشة الذكي التابع لدعم Meta. وطلب المخترق المساعدة بحجة استعادة الوصول إلى حساب ما، دون أن يقدّم ما يكفي من إثباتات التحقق من الهوية. ولأن نظام الذكاء الاصطناعي غير محصّن ضد الهندسة الاجتماعية، فقد نفّذ جميع الطلبات.

غيّر الروبوت عنوان البريد الإلكتروني المرتبط بالحساب المستهدف إلى عنوان المخترق. وبعد ذلك لم يبقَ سوى إعادة تعيين كلمة المرور بالطريقة المعتادة، أي إرسال رمز التأكيد إلى البريد الجديد. وبهذا انتقلت السيطرة الكاملة على الحساب إلى المهاجم.

كانت العملية بهذه البساطة بحيث يستطيع أي شخص تكرارها. ولم يحاول القراصنة إخفاء أسلوبهم، بل شاركوا الدليل المصوّر علنًا.

اختراق حسابات رفيعة المستوى

لم تقتصر الثغرة على المستخدمين العاديين، بل طالت أيضًا حسابات حكومية يُفترض أنها محمية:

• الحساب الرسمي للبيت الأبيض @obamawhitehouse، وله أكثر من 10 ملايين متابع
• حساب رئيس أركان القوات الجوية الأمريكية (Chief Master Sergeant)
• حسابات أخرى رفيعة المستوى تابعة لشركات وجهات حكومية

وبعد الاستيلاء على حساب البيت الأبيض، بدأ المخترقون بنشر منشورات تتضمن دعاية إيرانية. وسرعان ما لفت الحادث انتباه وسائل الإعلام العالمية، وبيّن مدى هشاشة حتى أكثر الحسابات حماية.

موقف Meta والإصلاح

أقرّت Meta بالمشكلة سريعًا، وأعلنت أن الثغرة أُصلحت بالفعل. وأكدت الشركة أن الاستغلال كان ممكنًا فعلًا عبر خاصية الدعم، وأنها أضافت حمايات إضافية.

«لقد قمنا بالفعل بسدّ هذه الثغرة»، قالت Meta في تعليق رسمي.

لكن الشركة لم تخوض في التفاصيل. ولا يزال من غير الواضح هل جرى تحسين آلية التحقق من مالك الحساب داخل الروبوت، أم تغيّر منطق عمل نظام الذكاء الاصطناعي نفسه. كما لم تكشف Meta متى اكتُشفت المشكلة.

ماذا يعني ذلك

يكشف الحادث ثغرة جوهرية في ثقة المستخدمين بأنظمة الذكاء الاصطناعي. فحين يمكن الاستيلاء على حساب حكومي أمريكي محمي بعدة أسئلة موجهة إلى روبوت دردشة، فهذا مؤشر على أن دعم الذكاء الاصطناعي يحتاج إلى مراجعة جذرية لنهج التحقق من الهوية.

أما بالنسبة للمستخدمين العاديين فالدرس واضح: لا يكفي حماية كلمات المرور، بل يجب حماية عناوين البريد الإلكتروني المرتبطة بالحسابات أيضًا. كما أن التعامل مع روبوتات الدردشة الذكية بتقديم بيانات شخصية يتطلب أقصى درجات الحذر.

*Meta مصنّفة في روسيا منظمة متطرفة ومحظورة فيها.