メタのAIチャットボットを悪用、ハッカーがインスタグラムアカウント2万件以上を乗っ取り
大手SNS企業Meta社は、同社のAIサポートチャットボットが悪用され、約20,225件ものInstagramアカウントが不正にハイジャックされた可能性が高いことを公表しました。この問題は、メイン州の州当局に提出された通知を通じて明らかになりました。
原因は、システム上の「バグ」によるものです。本来、パスワードリセットを要求する際、提供されたメールアドレスが当該Instagramアカウントに紐づけられているかどうかの検証を行う必要がありますが、今回のバグにより、この検証プロセスが適切に行われませんでした。その結果、第三者が所有していないメールアドレスを提供した場合でも、システムが誤ってパスワードリセットリンクを未関連のメールアドレスに送信してしまうという脆弱性が生じました。
ハッカーたちはこの脆弱性を利用し、AIサポートボットに対し、被害者のアカウントと自身のメールアドレスを紐づけるよう要求することで、不正なアクセスを実現しました。Meta社によると、この攻撃は5月31日に発生し、同社コミュニケーション責任者のアンドー・ストーン氏が「解決した」と述べたのは6月1日でした。影響を受けたアカウントには、元大統領のバラク・オバマ氏の旧ホワイトハウスアカウントや、米宇宙軍チーフマスターサージェントなど、複数の著名人のアカウントが含まれていました。
Meta社は、この脆弱性によりメールアドレス、電話番号、生年月日、SNS投稿、ダイレクトメッセージなどの個人情報が取得された可能性を指摘しています。影響を受けたユーザーのうち、メイン州在住者は30名と報告されていますが、これは「パスワードリセットを利用し、2FA未設定で不正アクセスされた」という上界値（upper bound）であり、実際の被害規模はこれより少ない可能性があるとしています。
事態を受け、Meta社はAIサポートツールを無効化し、バグのあるコードパスを削除するとともに、この脆弱性を利用して生成された全てのパスワードリセットリンクを無効化しました。さらに、潜在的に影響を受けた全てのアカウントに対し、「アカウントアクセス前の認証が必要な必須セキュリティチェックポイント」を導入することを発表しています。
背景
本件は、大規模プラットフォームにおけるAI機能の脆弱性利用事例です。パスワードリセットなどの重要なプロセスにおいて、システムが適切な本人確認（メールアドレス検証）を行わなかったことが原因となりました。これは、技術的なバグが現実世界のセキュリティリスクに直結した典型例であり、企業の責任と対策が問われています。
重要用語解説
- AIサポートチャットボット: Meta社が導入した人工知能による顧客対応ツール。パスワードリセットなどの手続きを支援する機能を持つが、今回の事例では脆弱性の温床となった。
- 二要素認証（2FA）: アカウントのセキュリティを強化するための仕組みの一つ。パスワードに加え、スマートフォンなど別の手段で本人確認を行うことで不正アクセスを防ぐ。
- コードパス: ソフトウェアプログラムにおける処理の流れや経路のこと。本件では、本来機能するはずのツールとは別に存在するバグのある処理経路が攻撃に利用された。
今後の影響
今回の事態は、AI技術を組み込んだサービス全般に対し、セキュリティ検証プロセスの重要性を再認識させました。企業は、新機能導入時だけでなく、既存システムのコードパス全体における脆弱性診断と厳格な本人確認フローの確立が求められます。ユーザー側も2FAの徹底が急務です。