El que en principi semblava una millora brillant perquè els usuaris no es tornessin bojos en perdre l'accés a les seves xarxes ha acabat sent una pÃfia de les grosses. L'assistent de suport basat en intel·ligència artificial de Meta, dissenyat per agilitzar la recuperació de perfils, s'ha convertit en l'eina favorita dels ciberdelinqüents per burlar la seguretat d'Instagram . La notÃcia ha corregut com la pólvora després de descobrir-se que aquest sistema automatitzat tenia un punt flac que permetia robar comptes sense necessitat de ser un geni de la informà tica.
La moguda no és moc de gall dindi, ja que s'han vist afectats perfils de molt de pes, incloent alguns vinculats a institucions oficials i grans marques comercials. El problema de base és que la IA pecava d'una ingenuïtat sorprenent en prioritzar la rapidesa de resposta davant d'una verificació d'identitat rigorosa, cosa que va permetre que qualsevol amb una mica de llabia digital pogués enganyar el chatbot de suport perquè li lliurés les claus d'un perfil aliè en qüestió de minuts.
La tècnica de l'engany a l'assistent virtual
El mètode que utilitzaven els atacants era més senzill que el mecanisme d'un cà ntir i no requeria virus ni correus trampa. Simplement feien servir una connexió VPN per simular la ubicació de l'amo real del compte, guanyant-se aixà la confiança inicial de l'algorisme de Meta. Quan el sistema creia que estava parlant amb el titular legÃtim, l'atacant només havia de demanar que s'afegÃs una nova adreça de correu electrònic a la configuració del perfil, cosa que la IA feia sense dir ni piu.
Amb el nou correu ja vinculat, el següent pas era bufar i fer ampolles: sol·licitar un restabliment de contrasenya. Com que el codi de verificació arribava directament al correu electrònic que el hacker acabava d'afegir, aquest podia sol·licitar el restabliment de dades i canviar la clau d'accés immediatament. D'aquesta manera, el propietari original es trobava amb la sessió tancada i sense cap possibilitat de recuperar el compte pels canals habituals, ja que el sistema de suport ja ho considerava un estrany.
Aquesta vulnerabilitat ha provocat que al mercat negre digital es dispari la venda de noms d'usuari cobejats. Es comenta que el valor d'alguns comptes, especialment els que tenen noms curts o milions de seguidors, supera el milió de dòlars en canals privats de Telegram. Els delinqüents no només es feien amb el control del mur, sinó que podien ensumar en missatges privats i dades sensibles d'empreses i creadors de contingut de tot Europa i el món.
VÃctimes d'alt perfil i reacció de la companyia
No s'ha lliurat ni l'apuntador en aquesta onada d'atacs que ha deixat Meta en una posició força compromesa. Entre els damnificats apareixen noms que han deixat més d'un amb la boca oberta, com el compte oficial de Barack Obama o Sephora , i fins i tot perfils vinculats a la Força Espacial dels Estats Units. La situació es va tornar tan surrealista que fins i tot experts en ciberseguretat van patir a les seves pròpies carns la facilitat amb què el bot de Meta cedia davant les peticions dels intrusos.
La investigadora Jane Wong, coneguda mundialment per esbudellar el codi de les aplicacions, va ser una de les que va donar la veu d'alarma en perdre l'accés al seu perfil malgrat tenir coneixements avançats en la matèria. Va rebre desenes d'avisos de canvi de contrasenya fins que finalment l'aplicació la va expulsar. Això deixa clar que, quan la decisió és a la pròpia lògica de l'empresa que t'ha de protegir, poc pots fer amb les eines d'usuari tradicionals.
Com protegir-nos després d'aquest forat de seguretat
Encara que des de les oficines de Mark Zuckerberg asseguren que el pegat ja ha estat aplicat i la bretxa està tancada, no està de més que ens caminem amb peus de plom. El més important ara mateix és activar la verificació en dues passes però evitant el sistema de SMS, que s'ha demostrat vulnerable moltes vegades. L'ideal és fer servir aplicacions d'autenticació com Google Authenticator o Authy, que generen codis que no depenen del sistema de suport de la xarxa social.
Un altre consell d'or és fer una ullada a les sessions actives a la configuració de seguretat del nostre compte. Si apareix algun dispositiu o ubicació que ens soni a xinès mandarÃ, cal tancar totes les sessions i canviar el correu electrònic principal per un que no sigui públic. Tenir un compte de correu dedicat exclusivament a les xarxes socials i que ningú no conegui pot ser la diferència entre dormir tranquils o aixecar-nos amb un disgust monumental.
Aquest incident deixa una lliçó força clara sobre els perills que comporta automatitzar processos sensibles sense que hi hagi un ull humà supervisant la jugada. Per molt que ens prometin que la intel·ligència artificial ens solucionarà la vida, aquest cas demostra que encara li falta un bull pel que fa a malÃcia. La comoditat no pot anar mai per davant de la privadesa, i ens toca a nosaltres ser els primers guardians de la nostra pròpia identitat digital en un entorn que canvia cada dos per tres.