
2026/06/02 1:31
最新のインスタグラムの「 exploits(バグ)」で最もユニークなのは私がこれまでに見た中で一番奇妙なものです。
RSS: https://news.ycombinator.com/rss
要約▶
日本語翻訳:
洗練されたセキュリティ上の不備により、ハッカーらは警報を触発することなく Instagram のアカウントを乗っ取り、@obamawhitehouse や @ocmssf のような高価値なユーザー名を対象に Meta の「Takeover Flow」を利用した。攻撃者は被害者のユーザー名を使用してプロセスを開始し、VPN または代理サーバーを介して請求をアカウントの報告された都市の近くから経路化することで、位置情報に基づくセキュリティを回避した。彼らは Meta の AI サポートチャットボットに連絡し、アカウントが侵害されたことをごりごしくれ、検証コードを受信するメールアドレスを任意で指定することを要求した。Instagram のシステムは、この要求されたメールアドレスが以前にそのアカウントと関連付けられていたかどうかを検証しなかった。AI がコードを送信すると、それはパスワードリセットリンクのトリガーとしての検証に使われ、完全な所有権が付与された。Meta のサポート AI はビデオでの自己撮影(生真面目)を身分証明として要求する可能性があるが、ターゲットのフィードから単純に AI でアニメーション化された公開写真は、このチェックを成功裡に回避した。回復フローは、そのリクエストを「本当の」所有者による完全なアカウントリセットとして扱い、2FA を完全に回避し、メール、テキスト、またはプッシュ通知を触発することなく進んだ。正当なユーザーのセッションは沈黙的に破棄され、連絡先情報が攻撃者の情報で置換されたため、標準的なチャネルでの回復は不可能になった。ブラックマーケットの Telegram グループが「アカウント乗っ取り」サービスを提供し始め、高価値なハンドルを利活用した。この脆弱性は数週間、あるいは数ヶ月間 Meta が修復するまで稼働していたと報告されており、その地下市場は一瞬で消え失せた。実験的な AI サポートグループに参加しているユーザーは、自動化されたアシスタンスを手動で無効化できないため、引き続き曝されている。この事象は、将来的な回復プロセスが人工知能や位置情報に基づく回避技術によって容易に操作されるのを防ぐためには、自動的なりすましおよびリモートスプーフィング攻撃に対するより強力な検証プロトコルの強化を強く示唆している。
本文
オバマ前大統領を含む多数のインフルエンサーアカウントが乗っ取られた裏側:脆弱性とは「人間の軽率」だったのか
昨日、オバマ元大統領を含む複数の著名人物の Instagram アカウントが乗っ取られる事件が発生しました。ユニコーン企業規模のシステムにおいて 15 年以上にわたりセキュリティを研究している私が見れば、この攻撃は**「現実離れしたほど荒唐無稽で、信じられないほど軽率」**な事例と言えます。
アカウント乗っ取りの手順
攻撃が成功するためのプロセスはシンプルですが、致命的です。
ステップ 01:所在地の偽装とサポートへの接触
- 情報収集: 攻撃者はあなたのユーザーネームがあれば十分です。プロフィールや「概要」欄から公開情報を入手し、数百通りの方法で所在地情報を集めます。
- 位置情報フェイク: VPN またはプロキシを使い、居住地に近いサーバーに接続します。これにより、Meta のセキュリティアルゴリズムが疑わしいと判断しないよう位置情報を偽装します。
- サポート詐欺: 所在地認証が通過した時点で、Meta のサポート AI に「アカウントが乗っ取られた」と報告します。AI から送られてくる検証コードを、攻撃者が指定する任意のメールアドレスへ送信させる指示を与えます。
ステップ 02:これで完了
- ゼロ認証によるリセット: 提供されたメールアドレスが過去に実際に使用されていたかどうかの追加確認は行われていません。
- 手順: AI からコードを受け取った攻撃者は、それをそのまま返信させ、認証を完了させます。
- 権限奪取: プラットフォーム側から新しいパスワードのリセットリンクが届くと、アカウントの完全な管理権が攻撃者に引き渡されます。
注意: 現在、Meta の AI は動画での自己撮影(バイオメトリクス認証)を厳しくチェックしておらず、ターゲットの公開写真を元に作成したAI アニメーション動画も簡単に通過しています。
なぜ 2 段階認証も防御にならないのか
この攻撃手法は高度な権限を持つ復旧フローを利用するため、従来のセキュリティ対策では無効化できません。
- 完全リセット: このフローは「真の所有者」によるアカウントリセットとして処理されるため、元々の 2 段階認証は一切回避されます。
- 通知なしの変更: メールアドレスとパスワードが変更されますが、メールや SMS、プッシュ通知などの警告は一切出ません。
- 回復不可能: メールアドレスと電話番号自体が攻撃者のものになっているため、真の所有者による復旧開始すら不可能です。
- 人手不足: エスカレーション窓口はなく、チャットボットとの対話のみで対処を迫られます。AI サポート対象(A/B テスト)の場合、もうどうすることもできない状態です。
地下市場での取引とリスク
この脆弱性を利用して、暗躍する犯罪組織がアカウントを売買しています。
- テレグラムでの取引: Telegram 上の秘密グループで「アカウント乗っ取り」サービスが提供されており、高額で即座の処理を謳うケースがあります。
- 取引例:
- 短いハンドル名だけで数十万から数百万ドルという価値を持つアカウントが存在します。
- オバマ前大統領やアメリカ空軍の首席上級士官(ocmssf)など、著名なアカウントが売買・利用されています。
現状と教訓
Meta 側での対応により、現在テレグラム上の関連グループは静まり返っていますが、過去の活動範囲は大きかったと考えられます。
- 活動期間: この手口は少なくとも数週間から数ヶ月間、安易に実行されていました。
- 企業の責任: 資産価値が 1.5 兆ドルという巨大企業が、堅牢なセキュリティガードレールを欠いている現状は深刻です。
- 結論: サポート AI が「十分丁寧に見せるだけで」ユーザーのメールアドレスを変更できる状況は、滑稽でありながら恐ろしい問題です。
この事件をきっかけに、セキュリティ意識の高まりが期待されます。