Les informations de contact, les messages directs et les comptes connectés étaient tous potentiellement compromis, a déclaré Meta.
Les pirates ont utilisé Meta AI pour pirater 20 225 comptes Instagram, a rapporté Meta dans un avis de violation de données du gouvernement local américain le 5 juin.
Selon l'avis adressé au procureur général du Maine, la violation s'est produite le 17 avril, mais n'a été découverte par l'entreprise que plus d'un mois plus tard, le 31 mai.
La société a expliqué que les pirates ont exploité un bug désormais résolu dans son outil d'assistance assisté par IA, conçu pour aider les utilisateurs d'Instagram à accéder à leur compte après avoir été verrouillé.
« HTS (high touch support) est un outil d'assistance assisté par l'IA conçu pour aider les utilisateurs qui ne peuvent pas accéder à leurs comptes Instagram à retrouver l'accès », a déclaré Amber Hannah, avocate générale associée de Meta pour la réponse aux incidents.
« Les utilisateurs peuvent demander l'assistance de HTS et, dans le cadre de ce processus, peuvent demander qu'un lien de réinitialisation de mot de passe soit envoyé à leur adresse e-mail.
« L'outil lui-même a fonctionné correctement et a fonctionné comme prévu ; cependant, en raison d'un bug dans un chemin de code distinct, le système n'a pas correctement vérifié que l'adresse e-mail fournie par la personne demandant une réinitialisation de mot de passe correspondait à l'adresse e-mail associée au compte Instagram de cet utilisateur. «
Le bug permettait aux pirates d'éviter de déclencher les protections automatisées du compte Instagram, permettant ainsi d'envoyer des liens de réinitialisation de mot de passe vers une adresse e-mail non connectée au compte. Les acteurs malveillants pouvaient alors réinitialiser les mots de passe pour accéder aux comptes des victimes si l'authentification à deux facteurs n'était pas activée.
Le piratage a affecté les comptes de personnalités éminentes, notamment le compte Instagram inactif de la Maison Blanche de l'ère Obama, le détaillant de produits de beauté Sephora et un haut responsable de l'US Space Force.
Meta a déclaré que les pirates informatiques auraient pu accéder à des données sensibles, notamment des informations de contact, des messages et des communications directs, ainsi que des comptes connectés et des services liés, tels que des identifiants de messagerie. La société a déclaré qu'elle corrigerait le bug avant de relancer l'outil d'IA.
En 2024, la Commission irlandaise de protection des données (DPC) a infligé à Meta une amende de 251 millions d'euros pour une violation de données survenue en 2018 affectant environ 29 millions de comptes Facebook. La même année, l'organisme de surveillance a infligé une amende de 91 millions d'euros à Meta pour stockage inapproprié de mots de passe.
En 2023, l'entreprise a été condamnée à une amende de 1,2 milliard d'euros par la DPC pour avoir enfreint les directives du RGPD en transférant les données personnelles des utilisateurs en dehors de l'UE.
La cybercriminalité basée sur l'IA devient rapidement un point sensible pour les entreprises, à mesure que les attaques deviennent plus fréquentes et sophistiquées. Le mois dernier, des pirates informatiques ont volé 8 To de données au fabricant d'électronique taïwanais Foxconn, tandis que le géant de la fabrication d'équipements médicaux Stryker a été touché par une cyberattaque mondiale en mars.
