Des pirates informatiques ont dupé le chatbot IA d'Instagram et lui ont soutiré des comptes.

Soyons honnêtes : se retrouver bloqué hors de ses comptes de réseaux sociaux est un véritable cauchemar. Généralement, la procédure de récupération implique de surmonter de nombreux obstacles, de vérifier son identité et d’attendre un e-mail. Mais que se passe-t-il lorsque le gardien à l’entrée n’est pas un humain, mais une intelligence artificielle – et plutôt naïve, de surcroît ?

Récemment, Instagram a dû corriger une faille de sécurité majeure qui permettait à des personnes mal intentionnées de pirater des profils d’utilisateurs. Le hic ? Elles n’ont pas utilisé de force brute pour forcer le piratage de mots de passe ni de logiciel malveillant complexe. Elles ont simplement réussi à convaincre l’assistant d’assistance Meta AI d’Instagram de leur remettre les clés.

Alors que l’IA s’intègre de plus en plus à nos vies numériques, cet incident constitue une étude de cas fascinante – et légèrement terrifiante – de ce que les experts en cybersécurité appellent la manipulation de messages ou l’ingénierie sociale des modèles de langage . Examinons en détail comment cela s'est produit, qui a été touché et quelles sont les conséquences pour l'avenir de la sécurité en ligne.

Anatomie d'un détournement par IA

Lorsque vous oubliez votre mot de passe ou perdez l'accès à votre compte, vous vous attendez à ce que le système de récupération soit infaillible. Or, des vidéos circulant sur les réseaux sociaux, dont une partagée par le chercheur en cybersécurité Dark Web Informer sur X (anciennement Twitter), ont révélé une faille de sécurité étonnamment simple.

Les pirates informatiques ont constaté que le chatbot IA chargé d'aider les utilisateurs à récupérer leurs comptes manquait de la rigueur et du scepticisme propres aux protocoles de sécurité traditionnels et rigides. Voici le détail des étapes du fonctionnement présumé de cette faille :

1. Identification de la cible : L’attaquant sélectionnait une cible et recherchait son nom d’utilisateur exact sur le portail de récupération de compte Instagram.
2. Usurpation de localisation : Pour que sa requête paraisse légitime, le pirate utilisait un réseau privé virtuel (VPN) afin de masquer son adresse IP, faisant croire qu’il se connectait depuis la ville ou le pays de résidence du titulaire du compte.
3. Manipulation conversationnelle : Le pirate entamait ensuite une conversation avec l’assistant de support Meta AI . Au lieu de passer par les formulaires automatisés habituels, ils demandaient simplement au bot de lier une nouvelle adresse e-mail au compte de la cible et de solliciter un code de vérification. Le transfert : Croyant aider l’utilisateur légitime, le bot s’exécuta. Il envoya un code de vérification à la nouvelle adresse e-mail du pirate. Une fois la vérification effectuée, le système envoya automatiquement un lien de réinitialisation du mot de passe, bloquant ainsi l’accès au profil du propriétaire initial. Cibles de haut niveau et dommages collatéraux : Bien que Meta ait réagi rapidement, les conséquences furent importantes. Andy Stone , porte-parole de Meta, a confirmé sur X que le problème « a été résolu et que nous sécurisons les comptes concernés ».

   Cependant, ce dysfonctionnement n'a pas affecté que les utilisateurs lambda. Parmi ceux qui ont signalé une activité suspecte figurait Jane Manchun Wong , chercheuse en sécurité très respectée et, ironiquement, ancienne ingénieure en sécurité chez Meta. Wong a indiqué sur X que son mot de passe avait été modifié à son insu, et qu'elle avait fait l'objet de plusieurs tentatives de réinitialisation. Lorsqu'un compte d'expert en sécurité est compromis, cela met en évidence la gravité réelle d'une vulnérabilité.

   Le site d'actualités technologiques 404media a également souligné que cette vulnérabilité coïncidait avec une série de piratages de comptes très médiatisés. Le cas le plus notable est celui d'un compte vérifié utilisé précédemment par Barack Obama durant sa présidence, qui a été compromis et a brièvement publié du contenu pro-iranien avant d'être récupéré. Il convient de noter qu'Andy Stone de Meta a explicitement déclaré que les affirmations selon lesquelles cette vulnérabilité spécifique de l'IA aurait été utilisée pour pirater des dirigeants mondiaux étaient « totalement fausses ». La question de savoir si le compte d'Obama a été piraté via cette faille d'IA précise ou via un vecteur d'attaque simultané et distinct reste un sujet de débat au sein de la communauté de la cybersécurité. Le problème du « zéro humain dans la boucle » Cet incident met en lumière un changement majeur qui s'opère dans le secteur technologique : le remplacement rapide des agents humains du service client par l'IA.

   Un utilisateur frustré de X a parfaitement résumé le dilemme technologique actuel après le piratage de son compte : « On en est au point où une IA a volé mon compte et une autre est incapable de le réparer, sans aucun humain impliqué. »

   Au cours de l’année écoulée, Meta a investi des milliards de dollars dans le développement et le déploiement de l’intelligence artificielle, tout en procédant à des réductions d’effectifs massives. Lorsqu’un utilisateur est suspendu ou piraté à tort, trouver un humain pour examiner le cas est devenu quasiment impossible.

   Il ne s’agit pas de simples plaintes anecdotiques. Un organisme indépendant de l’UE, chargé de traiter les litiges des utilisateurs de réseaux sociaux, a récemment signalé que Meta ne répond quasiment jamais aux cas de suspensions de compte injustifiées qui lui sont signalés. Lorsque vous remplacez le jugement humain par un arbre de décision d'IA, vous créez un système incroyablement efficace, mais aussi particulièrement vulnérable à la manipulation. Les humains perçoivent les incohérences ; une IA, elle, vérifie uniquement si les paramètres de sa programmation sont respectés. Comment protéger vos comptes à l'ère de l'IA ? Bien qu'Instagram ait corrigé cette vulnérabilité spécifique du chatbot, la réalité est que les attaques d'ingénierie sociale ciblant les systèmes d'IA deviendront de plus en plus sophistiquées. Vous ne pouvez plus vous fier uniquement à la sécurité interne de la plateforme pour protéger vos données.

   Voici les mesures proactives les plus efficaces que vous pouvez prendre dès aujourd'hui pour sécuriser votre vie numérique :

   • Abandonnez les SMS au profit d'une application d'authentification : L'authentification à deux facteurs (2FA) par SMS est vulnérable au piratage de votre carte SIM. Utilisez plutôt une application d'authentification comme Google Authenticator , Authy ou Duo . Même si un pirate parvient à tromper une IA pour modifier votre adresse e-mail, il ne pourra toujours pas contourner le code tournant de votre appareil physique.
   • Investissez dans une clé de sécurité matérielle : Pour une sécurité maximale, optez pour une clé matérielle physique (comme une YubiKey ). Vous devrez alors connecter physiquement un appareil à votre téléphone ou ordinateur pour vous authentifier.
   • Surveillez les appareils connectés : Consultez régulièrement la section « Activité de connexion » ou « Où vous êtes connecté(e) » dans les paramètres Instagram. Si vous voyez un appareil ou un lieu inconnu, déconnectez-vous immédiatement et changez votre mot de passe.
   • Utilisez des mots de passe uniques et complexes : C’est un principe de base de la cybersécurité, mais il est important de le rappeler. Utilisez un gestionnaire de mots de passe pour générer et stocker un mot de passe unique pour chacun de vos comptes.

   L'intégration de l'IA dans le support client est une idée géniale qui ne se dément pas. Elle promet des temps de réponse plus rapides et des coûts réduits pour les géants de la tech. Mais comme le prouve la faille de sécurité d'Instagram, nous vivons actuellement dans un Far West où les systèmes d'IA apprennent encore à distinguer un utilisateur en difficulté d'un pirate informatique. Tant que ces systèmes n'auront pas développé une meilleure intuition numérique, la responsabilité de la sécurité de votre identité en ligne vous incombe entièrement.