Meta認了AI客服漏洞　逾2萬IG帳號遭盜

Meta日前向美國緬因州政府提交的資料外洩通知首度確認，駭客利用Meta AI客服聊天機器人的程式漏洞，至少2萬225個Instagram帳號在4月17日至6月初期間遭到惡意接管，涉及時間長達近七週。Meta已證實此事並表示相關漏洞已經修復。

根據Meta的官方文件，駭客可能透過AI客服機器人要求重設密碼，進而將受害者帳號綁定到自己的電子郵件信箱，完成帳號劫持。該漏洞最早於5月31日被發現，公司於6月1日完成修補。

攻擊手法出乎意料簡單。駭客首先透過VPN將自己的連線位置偽裝成目標帳號的所在地區，繞過Instagram依地理位置觸發的自動防護機制。隨後啟動密碼重設流程，在對話中向Meta的AI客服提出看似合理的請求：將帳號繫結的電子郵件地址改成攻擊者自己的信箱。AI客服照辦無誤，系統隨即將驗證碼寄到駭客的電子郵件，駭客將驗證碼貼回對話視窗後，機器人就顯示「重設密碼」按鈕。整個流程無需碰觸受害者的電子郵件，帳號就已易主。

play_circle_outline 騎機車雨天神器！網點名「高筒鞋套」：小腿以下很乾爽

AI客服設計缺陷成關鍵

Meta的AI客服設計邏輯在於降低摩擦，讓用戶無需記住密碼、無需等待真人客服，就能快速恢復帳號存取。然而這項「便利」對正常用戶有效，對攻擊者同樣有效。傳統帳號恢復流程設有多道核對機制確保請求者身份與帳號資訊相符，但AI聊天機器人在處理自然語言請求時，往往需要在「理解用戶意圖」與「執行安全驗證」之間取得平衡。此次事件顯示Meta AI在此平衡上出現根本性缺口：聊天機器人「理解」了帳號恢復請求，卻未執行最基本的信箱歸屬驗證。

根據外媒報導，有消息傳出，美國前總統歐巴馬任內的白宮官方存檔帳號，以及美國太空軍首席士官長約翰．班蒂維尼亞（John F. Bentivegna）的官方帳號，都曾一度受到影響。Meta表示，目前尚不清楚駭客是否成功取得受害者個人資料，但攻擊者取得完整控制權後，可存取聯絡資訊、生日、個人資料、貼文、私訊與帳號歷史活動。