كيف استغل قراصنة الإنترنت Meta AI للسيطرة على حسابات إنستغرام؟ خبير يجيب

وتعتمد الحيلة، وفقا لما أظهره الفيديو المتداول، على خداع روبوت المحادثة المخصص للدعم الفني؛ إذ يبدأ المهاجم باستخدام شبكة افتراضية خاصة (VPN) لتزييف موقعه الجغرافي وجعله مطابقا لموقع الضحية، بهدف تجاوز أنظمة الحماية الآلية لإنستغرام.

بعد ذلك، يفتح المهاجم محادثة مع المساعد الذكي ويطلب منه إضافة بريد إلكتروني جديد للحساب المستهدف، ليرسل النظام رمز تحقق إلى بريد المهاجم نفسه، وبمجرد إدخال الرمز داخل المحادثة، يمنح الروبوت القراصنة خيار إعادة تعيين كلمة المرور فورا، مما مكّنهم من السيطرة الكاملة على الحسابات دون الحاجة لاختراق البريد الإلكتروني الأصلي للضحية.

وفي قراءة تحليلية لخلفيات هذه الثغرة، أكد حسن خرجوج، المستشار والمتخصص في الهندسة الاجتماعية والأمن السيبراني، أن الأمر لا يتعلق باختراق تقليدي يعتمد على الفيروسات أو روابط التصيد المعتادة، بل هو استغلال مباشر لخلل في منطق الدعم الآلي عبر ما يُعرف تقنياً بـ "تسميم الأوامر البرمجية" (Prompt Poisoning).

وأوضح خرجوج، في تصريح خاص، أن المهاجمين تمكنوا من التلاعب بمسار استرجاع الحساب وإقناع نظام الذكاء الاصطناعي بإضافة بريد إلكتروني جديد، مؤكدا أن الخطورة تكمن في عدم حاجة العملية لأدوات معقدة؛ حيث قال: "تقنياً لا يمكن القول إن أي شخص عادي قادر على تنفيذها بضغطة زر، لكن الخطير هو أن الفيديو يُظهر غياب الحاجة لاختراق معقد، بل تم الاستناد بالكامل على ثغرة في منطق النظام، مما يطرح علامات استفهام كبرى حول مدى حماية معطياتنا إذا كان الذكاء الاصطناعي قادرا على الوصول إليها بهذه الطريقة".

وحول دور البريد الإلكتروني في حماية الهوية الرقمية، أشار الخبير السيبراني إلى أنه يظل المفتاح الأساسي لاسترجاع الحسابات على مختلف المنصات مثل "إنستغرام" و"فيسبوك" و"تيك توك"، محذراً من أن أي ضعف في حمايته يهدد بقية الحسابات المرتبطة به.

واستدرك خرجوج قائلا: "المشكل المطروح في هذه الحالة تحديداً هو أن المنصة نفسها شهدت خللا في نظام الدعم، وعوض أن تساهم في حماية المستخدم، أصبحت تقدم حلولا عملية للمهاجم لتسهيل مأموريته".

وفي ختام تصريحه، شدد المستشار في الهندسة الاجتماعية على أهمية الوعي الرقمي المتجدد لمواجهة التطور المتسارع للتهديدات السيبرانية، مقدما حزمة من النصائح للمواطنين المغاربة لحماية حساباتهم؛ وأبرزها تفعيل خاصية التحقق الثنائي عبر الهاتف (SMS) والبريد الإلكتروني، والاعتماد على تطبيقات المصادقة (Authenticator apps).

كما دعا إلى تغيير كلمات المرور بصفة دورية كل ثلاثة أشهر، على أن تتضمن مزيجاً من الحروف والأرقام والرموز، معقبا بـ "تحذير صارم بعدم مشاركة رموز التحقق مع أي كان تحت أي مبرر".