Sự cố bảo mật nghiêm trọng liên quan đến chatbot của Meta
Mới đây, Meta đã chính thức thừa nhận một lỗ hổng bảo mật nghiêm trọng xảy ra trên nền tảng Instagram, tạo điều kiện cho tin tặc chiếm quyền kiểm soát khoảng 20.000 tài khoản người dùng. Vấn đề này xuất phát từ việc lạm dụng công cụ hỗ trợ khôi phục tài khoản được vận hành bởi trí tuệ nhân tạo.
Cơ chế tấn công của tội phạm mạng khá tinh vi khi chúng yêu cầu chatbot của Meta kết nối một địa chỉ email do chúng kiểm soát với tài khoản Instagram mục tiêu. Từ đó, kẻ gian dễ dàng thực hiện lệnh đặt lại mật khẩu và giành quyền truy cập trái phép mà không cần thông qua xác thực chính chủ.
Quy mô và danh sách các nạn nhân bị ảnh hưởng
Vụ việc này đã ảnh hưởng đến nhiều đối tượng, bao gồm cả những tài khoản nổi tiếng và có tầm ảnh hưởng. Theo thông tin ghi nhận, danh sách nạn nhân bao gồm tài khoản chính thức của Nhà Trắng thời cựu Tổng thống Obama, thương hiệu Sephora và Thượng sĩ trưởng Lực lượng Vũ trụ Mỹ John Bentivegna. Đáng lo ngại hơn, các nhóm tội phạm mạng còn công khai chia sẻ video hướng dẫn chi tiết cách thực hiện hành vi tấn công này trên không gian mạng.
Theo báo cáo chi tiết gửi đến Văn phòng Tổng chưởng lý bang Maine, tổng số lượng cá nhân bị ảnh hưởng ước tính lên tới 20.225 người. Tuy nhiên, bà Amber Hannah - Phó tổng cố vấn pháp lý tại Meta, cho biết con số thực tế có thể thấp hơn. Lý do là vì thống kê hiện tại bao gồm cả những người dùng không bật xác thực hai yếu tố (2FA) và từng thực hiện đặt lại mật khẩu qua công cụ hỗ trợ, trong đó có một số trường hợp vẫn là do chính chủ tài khoản thực hiện.
Nguyên nhân kỹ thuật dẫn đến lỗ hổng HTS
Lỗ hổng này được phát hiện lần đầu vào ngày 31/5, liên quan đến công cụ Hỗ trợ Cấp cao (High Touch Support - HTS). Về nguyên lý, công cụ này được thiết kế nhằm mục đích hỗ trợ người dùng lấy lại quyền truy cập khi tài khoản bị khóa. Tuy nhiên, một sai sót trong quy trình mã hóa đã gây ra lỗi xác thực nghiêm trọng:
- Hệ thống vốn dĩ phải đối chiếu email được cung cấp với email gốc đã liên kết với tài khoản.
- Do lỗi luồng mã, hệ thống đã bỏ qua bước kiểm tra này.
- Kết quả là khi người dùng nhập một email bất kỳ, hệ thống vẫn gửi liên kết đặt lại mật khẩu đến email đó.
- Đối với những tài khoản không bật 2FA, kẻ tấn công dễ dàng nhận liên kết này và đăng nhập vào tài khoản của nạn nhân.
Góc nhìn từ chuyên gia kỹ thuật của TTC Việt Nam
Theo đội ngũ chuyên gia tại TTC Việt Nam, lỗ hổng này là minh chứng rõ rệt cho rủi ro khi các quy trình tự động hóa (AI) không đi kèm với lớp xác thực bảo mật đa tầng. Trong quản trị mạng và viễn thông, việc tin tưởng tuyệt đối vào các luồng phản hồi từ hệ thống mà thiếu cơ chế kiểm soát chéo luôn tiềm ẩn nguy cơ cao. Các doanh nghiệp và người dùng cá nhân cần lưu ý rằng, ngay cả những nền tảng lớn cũng có thể gặp lỗi hệ thống, vì vậy việc duy trì xác thực hai yếu tố (2FA) bằng các ứng dụng xác thực hoặc khóa bảo mật vật lý là "lá chắn" tối quan trọng trước các lỗ hổng zero-day tương tự.
Biện pháp khắc phục từ phía Meta
Hiện tại, Meta đã ngay lập tức vô hiệu hóa công cụ HTS để ngăn chặn hành vi khai thác, đồng thời vô hiệu hóa tất cả các liên kết khôi phục đã bị tạo ra bởi lỗ hổng này. Các tài khoản trong diện nghi vấn bị xâm nhập sẽ bị buộc thực hiện quy trình kiểm tra bảo mật bắt buộc và đổi lại mật khẩu.
Mặc dù chưa xác định rõ thông tin cá nhân nào (tin nhắn, ngày sinh, email, lịch sử tương tác) đã bị kẻ xấu truy cập, nhưng Meta cam kết sẽ thông báo sớm nhất cho người dùng bị ảnh hưởng. Công ty cũng khuyến cáo người dùng cần kiểm tra lại cài đặt bảo mật và kích hoạt xác thực 2FA để tăng cường bảo vệ cho tài khoản của mình.
Để được tư vấn về các giải pháp mạng, bảo mật thông tin và hạ tầng viễn thông an toàn cho doanh nghiệp, quý khách hàng vui lòng liên hệ TTC Việt Nam (ttcvn.net) để được hỗ trợ chuyên sâu và kịp thời nhất.
