استغلال دعم AI من ميتا: المهاجمون اختطفوا حسابات Instagram باستخدام اسم المستخدم فقط
بواسطة Fred, Editor
سمح عطل خطير في نظام استعادة الحسابات المدعوم بـ AI من ميتا للمهاجمين بالسيطرة على حسابات Instagram - بما في ذلك حساب البيت الأبيض الرسمي لأوباما - باستخدام لا شيء أكثر من اسم مستخدم و VPN. إليك ما حدث، ولماذا هو مهم، وكيفية تأمين حساباتك.
TL;DR - ما تحتاج معرفته
- كان وكيل دعم AI من ميتا يختبر A/B ميزة سمحت للمهاجمين باختطاف حسابات Instagram باستخدام اسم المستخدم فقط
- استخدم المهاجمون VPN بالقرب من منطقة الهدف، وطلبوا من AI إرسال رمز التحقق إلى بريدهم الإلكتروني الخاص، وأعادوا توجيهه مرة أخرى، وتلقوا رابط إعادة تعيين كلمة المرور - بدون هوية أو مراجعة بشرية
- لم يتلق الضحايا أي إخطارات - لا بريد إلكتروني أو رسالة نصية أو إشعار فوري حول تغيير كلمة المرور
- تم اختراق أكثر من 100 حساب عالي القيمة، بما في ذلك @obamawhitehouse وأسماء المستخدمين القصيرة المميزة مثل @hey و @jowo بقيمة تزيد عن مليون دولار مجتمعة
- قامت ميتا بإصلاح الثغرة ولكنها لم تعترف علناً بالحادث
- يساعدك HandleGrab في مراقبة والمطالبة بأسماء المستخدمين المتاحة على Instagram و TikTok و YouTube و X و Twitch و Facebook و Kick و Threads
ما حدث: استغلال اختطاف حسابات AI من ميتا
في 1 يونيو 2026، تم الكشف عن ثغرة أمنية خطيرة في نظام استعادة الحسابات المدعوم بـ AI من ميتا. ميزة كانت قيد الاختبار A/B على مجموعة فرعية من مستخدمي Instagram سمحت للمهاجمين باختطاف الحسابات باستخدام لا شيء أكثر من اسم مستخدم و VPN.
كان الاستغلال بسيطاً: اتصل المهاجمون بخادم VPN بالقرب من المنطقة الجغرافية للهدف، ثم تفاعلوا مع وكيل دعم AI من ميتا لطلب إعادة تعيين كلمة المرور. امتثلت AI - بإرسال رمز التحقق إلى أي عنوان بريد إلكتروني يقدمه المهاجم، بدلاً من البريد الإلكتروني المسجل لصاحب الحساب. بمجرد أن أعاد المهاجم توجيه ذلك الرمز إلى AI، سلمته رابط إعادة تعيين كلمة المرور. بدون بطاقة هوية. بدون مراجعة بشرية. بدون أي تحقق على الإطلاق.
ما يجعل هذا مقلقاً بشكل خاص: أبلغ الضحايا أن جلساتهم تم إلغاؤها وتم تغيير كلمات المرور دون أي إخطار على الإطلاق. لا تنبيه بريد إلكتروني. لا رسالة نصية. لا إشعار فوري. كانت أول علامة على الاختراق هو being مقفل خارج حساباتهم الخاصة.
كان العطل في طبقة المنطق الخاصة بـ AI - فقد تصرفت بناءً على طلبات استعادة الحساب دون أي تحقق حقيقي من الهوية. قارنه أحد باحثي الأمن باستغلال مساعد AI Roblox المماثل من قبل أيام، مشيراً إلى أن نسخة Instagram كانت أسهل في التنفيذ.
خطوة بخطوة: كيف عمل الاستغلال
فهم طريقة الهجوم أمر بالغ الأهمية لحماية نفسك. إليك بالضبط كيف تم تنفيذ الاستغلال:
الاتصال بـ VPN بالقرب من منطقة الهدف
استخدم المهاجمون خوادم VPN محددة جغرافياً لجعل الطلب يبدو وكأنه قادم من نفس منطقة حامل الحساب المستهدف.
الاتصال بوكيل دعم AI من ميتا
بدأ المهاجم طلب استعادة كلمة المرور من خلال دردشة الدعم المدعومة بـ AI من ميتا، والتي كانت قيد الاختبار A/B على مجموعة فرعية من المستخدمين.
تقديم أي بريد إلكتروني للتحقق
عند طلب بريد إلكتروني للاستعادة، قدم المهاجم عنوان بريد إلكتروني تحت سيطرته - وليس عنوان مالك الحساب. قبلته AI دون سؤال.
إعادة توجيه رمز التحقق
أرسلت AI رمز تحقق مكوناً من ستة أرقام إلى البريد الإلكتروني الذي يسيطر عليه المهاجم. قام المهاجم ببساطة بقراءته مرة أخرى لوكيل AI.
تلقي رابط إعادة تعيين كلمة المرور
قامت AI بإنشاء رابط إعادة تعيين كلمة المرور وتسليمه. لا فحص هوية، لا أسئلة أمان، لا مراجعة بشرية في أي نقطة.
الحساب مخترق بالكامل - بدون أثر
قام المهاجم بتغيير كلمة المرور والبريد الإلكتروني. لم يتلق المالك الأصلي أي إخطارات - لا بريد إلكتروني أو رسالة نصية أو إشعار فوري بأن أي شيء قد تغير.
الحسابات المتأثرة بالاستغلال
تم استخدام الاستغلال لاختطاف ما لا يقل عن 100 حساب عالي القيمة. الأكثر بروزاً شملت:
@obamawhitehouseحساب البيت الأبيض الرسمي المؤرشف لأوباما مع ما يقرب من 2.4 مليون متابع. نشر المهاجمون صورة مولدة بواسطة AI مع تعليقات استفزازية قبل أن تؤكد ميتا الاختراق وتزيل المحتوى.
@hey و @jowoأسماء مستخدمين قصيرة مميزة بقيمة تزيد عن مليون دولار مجتمعة. تم سرقتها وبيعها في قنوات Telegram blackhat - مما يدل على الحافز المالي الهائل وراء سرقة اسم المستخدم.
@albertمملوكة لألبرت رينشو، الذي أبلغ علناً عن being مقفل خارج حسابه وعدم قدرته تماماً على الوصول إلى دعم ميتا - نمط شائع بين الضحايا.
لماذا هذا الاستغلال مهم لأمان اسم المستخدم الخاص بك
يكشف هذا الاستغلال حقيقة مرعبة: أمان حسابات وسائل التواصل الاجتماعي الخاصة بك قوي فقط بقدر الحلقة الأضعف في سلسلة المصادقة الخاصة بالمنصة. في هذه الحالة، أصبح AI ميتا تلك الحلقة الأضعف - متجاوزاً جميع إجراءات الأمان القياسية باستخدام لا شيء أكثر من اسم مستخدم و VPN إقليمي.
إذا كان يمكن اختطاف حساب البيت الأبيض لأوباما، فيمكن اختطاف حسابك أيضاً. إن سرقة أسماء المستخدمين المميزة عالية القيمة مثل @hey و @jowo وبيعها على Telegram يظهر أن احتكار أسماء المستخدمين قد تطور إلى سوق سوداء متطورة. المهاجمون لا يحتكرون فقط أسماء المستخدمين المرغوبة - بل يسرقونها بنشاط باستخدام ثغرات AI.
الحافز المالي هائل. أسماء المستخدمين القصيرة المميزة تباع بآلاف الدولارات في الأسواق السرية. كل استيلاء على حساب يخلق سلسلة من ردود الفعل: الحسابات المسروقة يتم تجريدها أو التخلي عنها أو بيعها، وأسماء المستخدمين الأصلية تصبح متاحة في النهاية مرة أخرى - ولكن فقط إذا كنت تراقب.
في أعقاب هذا الاستغلال، ربما تم التخلي عن مئات الحسابات من قبل المهاجمين - مما يعني أن أسماء المستخدمين المميزة قد تعود لتكون متاحة. السؤال هو: هل ستكون مستعداً عندما تعود؟
كيف يؤمن HandleGrab أسماء المستخدمين الخاصة بك
بينما لا يمكننا إصلاح AI ميتا، يمنحك HandleGrab الأدوات لحماية علامتك التجارية والمطالبة بأسماء المستخدمين المتاحة قبل أي شخص آخر:
مراقبة عبر المنصات 24/7
راقب أي اسم مستخدم على Instagram و TikTok و YouTube و X و Twitch و Facebook و Kick و Threads في وقت واحد. إذا أصبح اسم مستخدم مسروق متاحاً بعد أن تهدأ الأمور، ستعرف في غضون ساعات.
تنبيهات بريد إلكتروني فورية
احصل على إشعار في اللحظة التي يصبح فيها اسم المستخدم المطلوب متاحاً على أي منصة. عندما تصل أسماء المستخدمين المميزة إلى السوق، السرعة هي كل شيء - يمنحك HandleGrab الميزة.
تتبع أسماء مستخدمين متعددة
تتبع متغيرات متعددة لاسم المستخدم عبر جميع المنصات من لوحة تحكم واحدة. مثالي لتأمين أسماء المستخدمين المتسقة مع العلامة التجارية بعد حادث أمني.
فحوصات توفر المنصة
قبل الالتزام باسم مستخدم جديد، تحقق من التوفر عبر جميع المنصات الرئيسية مرة واحدة. لا تكتشف أن خيارك الثاني مشغول بعد أن تم اختراق خيارك الأول.
لا تدع اسم المستخدم المثالي يفلت منك
أثبت استغلال AI ميتا أنه لا يوجد حساب آمن. أسماء المستخدمين المميزة تُسرق وتُباع في السوق السوداء كل يوم. يراقب HandleGrab اسم المستخدم المطلوب عبر 8 منصات رئيسية - حتى عندما يصبح متاحاً، تكون الأول في الطابور.
منصات مراقبة
تتبع مستمر
تنبيهات بريد إلكتروني فورية
✓ نسخة تجريبية لمدة 7 أيام مع مراقبة أسبوعية • ✓ تتبع أسماء مستخدمين متعددة • ✓ لا حاجة لبطاقة ائتمان
الأسئلة الشائعة
هل تم إصلاح استغلال AI ميتا؟▼
نعم، قامت ميتا بإصلاح الثغرة. ومع ذلك، لم يعترفوا علناً بالحادث. كان الاستغلال نشطاً لفترة غير معروفة أثناء اختبار A/B قبل اكتشافه والإبلاغ عنه.
هل لا يزال حسابي على Instagram يمكن اختطافه؟▼
قامت ميتا بإصلاح هذه الثغرة المحددة، لكن الحادث يسلط الضوء على قلق أوسع بشأن أنظمة دعم العملاء المدعومة بـ AI. قم دائماً بتمكين المصادقة الثنائية (2FA)، واستخدم كلمة مرور قوية وفريدة، وراقب حسابك بحثاً عن أي نشاط مشبوه.
ماذا يجب أن أفعل إذا تم اختطاف حسابي؟▼
جرّب عملية استعادة الحساب القياسية من ميتا فوراً. وثق كل شيء. إذا لم تتمكن من استعادة حسابك عبر القنوات العادية، أبلغ عن الاختطاف من خلال نظام دعم ميتا وفكر في مراقبة اسم المستخدم المطلوب باستخدام HandleGrab في حال أصبح متاحاً مرة أخرى.
كيف يحميني HandleGrab من الاستغلالات مثل هذه؟▼
يراقب HandleGrab أسماء المستخدمين على 8 منصات 24/7. إذا أصبح اسم مستخدم مسروق متاحاً بعد التخلي عنه من قبل مهاجم، ينبهك HandleGrab فوراً. بينما لا يمكننا منع الاستغلالات على مستوى المنصة، نضمن ألا تفوت أبداً فرصة المطالبة باسم مستخدم قيم.
هل تأثرت أسماء المستخدمين المميزة على Instagram مثل @hey؟▼
نعم. أسماء المستخدمين القصيرة المميزة @hey و @jowo - المقدرة بأكثر من مليون دولار مجتمعة - كانت من بين تلك التي سرقت وبيعت في الأسواق السوداء على Telegram. هذا يظهر المخاطر المالية العالية لأمان اسم المستخدم.
هل أبلغت ميتا الضحايا؟▼
بشكل ملحوظ، أبلغ الضحايا أنهم لم يتلقوا أي إخطارات - لا بريد إلكتروني أو رسالة نصية أو إشعار فوري - عندما تم اختراق حساباتهم. اكتشف الكثيرون الاختراق فقط عندما تم قفلهم فجأة من حساباتهم.
مقالات ذات صلة
قائمة التحقق لحماية العلامة التجارية على وسائل التواصل الاجتماعي →
قائمة تحقق من 10 خطوات لتأمين أسماء المستخدمين الخاصة بعلامتك التجارية على جميع المنصات
اسم المستخدم مشغول؟ ماذا تفعل →
ماذا تفعل عندما يكون اسم المستخدم المطلوب غير متاح
تتبع اسم المستخدم الخاص بك على كل منصة →
راقب اسم المستخدم الخاص بك على Instagram و TikTok و YouTube و X و Twitch