Chez Meta, l'intelligence artificielle s'est récemment retrouvée au cœur d'une faille de sécurité. Pas une attaque sophistiquée. Plutôt le contraire.
Selon une enquête publiée par 404 Media, des
pirates informatiques sont parvenus à exploiter le chatbot d'assistance de Meta
pour récupérer l'accès à plusieurs comptes Instagram. Parmi les comptes
concernés figure notamment @obamawhitehouse, un ancien compte officiel associé
à la Maison Blanche durant la présidence de Barack Obama.
Une méthode étonnamment simple
L'attaque tenait en quelques messages.
Les pirates utilisaient un VPN afin de faire
croire qu'ils se connectaient depuis la même région que la personne ciblée. Ils
contactaient ensuite l'assistant de Meta et demandaient le remplacement de
l'adresse e-mail liée au compte Instagram visé.
Dans certains cas, le chatbot acceptait la
demande sans procéder à des vérifications suffisantes. Les messages de
récupération de compte étaient alors envoyés à l'adresse contrôlée par les
hackers.
Le reste allait vite : mot de passe
réinitialisé, propriétaire verrouillé dehors.
Des comptes à forte visibilité ciblés
L'enquête indique que plusieurs comptes
importants ont été compromis grâce à cette technique.
Au-delà du compte @obamawhitehouse, d'autres
profils appartenant à des organisations ou à des personnalités connues auraient
également été touchés. L'affaire a rapidement attiré l'attention des
spécialistes de la cybersécurité, qui y voient un exemple concret des risques
liés à l'automatisation de certaines tâches sensibles.
Meta a réagi rapidement
Alertée par les chercheurs et les journalistes
ayant enquêté sur l'affaire, Meta affirme avoir corrigé la vulnérabilité. Le
groupe n'a pas détaillé l'ensemble des changements apportés, mais assure que la
faille n'est plus exploitable.
Cette affaire intervient à un moment où les
grandes plateformes misent de plus en plus sur l'IA pour gérer leurs services
d'assistance et leurs procédures de sécurité.
Un avertissement pour l'industrie
Ce qui s'est passé chez Meta n'a rien
d'exceptionnel. Un chatbot a répondu à des demandes bien formulées, sans poser
les bonnes questions. Ce n'est pas un bug. C'est une limite de conception. Et
si ça a fonctionné, la question n'est pas de savoir si d'autres plateformes
sont exposées. C'est de savoir lesquelles le savent déjà.
Richard Konan