Le chatbot IA de Meta a aidé des pirates à prendre des comptes Instagram, dont celui de la Maison-Blanche

Des pirates ont utilisé avec succès le chatbot IA de support de Meta pour s'emparer de comptes Instagram par une simple ingénierie sociale. La faille permettait à n'importe qui d'accéder au profil d'autrui en demandant simplement au chatbot de changer l'adresse e-mail associée et de réinitialiser le mot de passe.

Comment fonctionnait l'exploitation

Les pirates ont publié sur Telegram des vidéos qui montrent le piratage étape par étape. L'attaque commençait par une demande au chatbot IA de support de Meta. Le pirate demandait de l'aide, soi-disant pour retrouver l'accès à un compte, sans fournir de vérification suffisante. Le système d'IA, non protégé contre l'ingénierie sociale, exécutait toutes les demandes.

Le chatbot remplaçait l'adresse e-mail associée au profil ciblé par celle du pirate. Il ne restait ensuite qu'à réinitialiser le mot de passe par la méthode de récupération standard : envoyer un code de confirmation à la nouvelle adresse. Le contrôle total du compte passait ainsi à l'attaquant.

Le processus était si simple que n'importe qui pouvait le reproduire. Les pirates n'ont même pas cherché à cacher leur méthode et ont partagé la preuve vidéo publiquement.

Des comptes très en vue piratés

La faille a touché non seulement des utilisateurs ordinaires, mais aussi des profils gouvernementaux protégés :

• Le compte officiel de la Maison-Blanche @obamawhitehouse, avec plus de 10 millions d'abonnés
• Le compte du chef d'état-major de l'US Air Force (Chief Master Sergeant)

-D'autres profils d'entreprises et d'institutions publiques très en vue

Après avoir pris le compte de la Maison-Blanche, les pirates ont commencé à publier de la propagande iranienne. L'incident a rapidement attiré l'attention des médias du monde entier et montré à quel point même les profils les mieux protégés étaient vulnérables.

La position de Meta et le correctif

Meta a rapidement reconnu le problème et déclaré que la faille avait déjà été corrigée. L'entreprise a confirmé que l'exploitation était bel et bien possible via la fonction de support et que des protections supplémentaires avaient été mises en place.

«

Nous avons déjà corrigé cette vulnérabilité », a déclaré Meta dans un communiqué officiel.

L'entreprise est toutefois restée avare de détails. On ignore si la vérification du propriétaire du compte dans le chatbot a été renforcée, ou si la logique même du système d'IA a été modifiée. Meta n'a pas non plus révélé quand elle avait découvert le problème.

Ce que cela signifie

L'incident révèle une faiblesse critique dans la confiance que les utilisateurs accordent aux systèmes d'IA. Quand même un compte protégé du gouvernement américain peut être pris en quelques questions posées à un chatbot, cela montre que le support par IA doit revoir en profondeur sa approche de la vérification.

Pour les utilisateurs ordinaires, la leçon est claire : il faut protéger non seulement les mots de passe, mais aussi les adresses e-mail associées. Confier des données personnelles à des chatbots IA exige une extrême prudence.

*Meta est classée organisation extrémiste et interdite en Russie.