روبوت دعم الذكاء الاصطناعي التابع لشركة ميتا يوضح لماذا تعتبر استعادة الحساب حدودًا أمنية

Illustration of an AI support bot handing over an Instagram account to an attacker الصورة الداعمة: رسم توضيحي لروبوت دعم الذكاء الاصطناعي واستيلاء على حساب إنستغرام.

في 1 يونيو 2026، أفاد موقع KrebsOnSecurity أن المهاجمين قد قاموا مؤقتًا بتشويه حسابات بارزة على إنستغرام بعد تداول تعليمات على تيليغرام للاحتيال على مساعد الدعم الذكي من ميتا لإعادة تعيين وصول الحساب. ووفقًا لموقع Krebs، فإن التسلسل المزعوم تضمنت استخدام VPN بالقرب من الموقع المعتاد للهدف، وبدء إعادة تعيين كلمة المرور، واختيار مساعد الدعم الذكي، وإقناع الروبوت بإضافة بريد إلكتروني جديد إلى حساب الهدف.

أضافت صحيفة الغارديان وموقع تك رادار لاحقًا سياقًا مفيدًا: فقد شملت الحسابات المتأثرة وفقًا للتقارير أهدافًا بارزة مثل حساب أرشيف البيت الأبيض لأوباما، وسيفورا، وقائد عالي الرتبة في قوات الفضاء الأمريكية. كما أبلغ موقع تك رادار أن شركة ميتا أخبرت منظمي مين أن 20,225 شخصًا تأثروا، وأن المشكلة الأساسية تتعلق بخدمة الدعم عالية التفاعل، وهو نظام لاستعادة حسابات إنستغرام مدعوم بالذكاء الاصطناعي لم يتحقق بشكل صحيح مما إذا كانت رسالة إعادة تعيين كلمة المرور تتطابق مع البريد الإلكتروني الحالي للحساب.

قالت شركة ميتا إن المشكلة قد تم حلها وأن الحسابات المتضررة كانت قيد التأمين. الدرس المهم أكبر من مجرد منصة وسائط اجتماعية واحدة: أصبحت أنظمة الدعم الآلية الآن جزءًا من سطح المصادقة.

لماذا ينتمي هذا إلى المدونة

استعادة الحساب غالبًا ما تكون أضعف من تسجيل الدخول. قد تستثمر الشركة بشكل كبير في المصادقة متعددة العوامل، وفحوصات الأجهزة، واكتشاف الشذوذ، لكنها قد تسمح بعد ذلك لعمليات الدعم بإعادة تعيين الملكية إذا استطاع الطالب أن يبدو مقنعًا بما فيه الكفاية. هذه المخاطرة ليست جديدة. فقد تم التلاعب بمكاتب المساعدة البشرية اجتماعيًا لسنوات. الجديد هو الحجم والاتساق الذي يوفره الدعم بمساعدة الذكاء الاصطناعي.

يمكن لروبوت الذكاء الاصطناعي تقليل الاحتكاك للمستخدمين الحقيقيين، ولكنه يمكن أن يصبح أيضًا منفذًا لعمليات العمل المميزة. إذا كان يمكنه إضافة رسائل البريد الإلكتروني، إرسال رموز إعادة التعيين، تغيير إعدادات الاسترداد، أو التحقق من الهوية بناءً على إشارات ضعيفة، فإنه يحتاج إلى نفس نمذجة التهديدات مثل لوحة الإدارة.

هذه ليست مجرد قصة عن "حقن المطالب". إنها قصة عن تفويض سير العمل. إذا سُمح لروبوت بتغيير حقول ملكية الحساب، فإن الروبوت يعمل بفعالية بامتيازات إدارة الهوية. قد يكون المطلب هو الفشل المرئي، لكن الفشل الأعمق هو أن تدفق الاسترداد سمح لتفاعل الدعم بأن يتحول إلى نقل الملكية.

ضوابط التصميم التي يجب أن توجد

يمكن أن يكون دعم الذكاء الاصطناعي مفيدًا للمهام منخفضة المخاطر: شرح السياسات، جمع المعلومات الأولية، توجيه التذاكر، ومساعدة المستخدمين في العثور على الإعدادات. لا يجب أن يكون هو السلطة الوحيدة لتغيير التحكم في الحساب.

يجب أن تتطلب إجراءات الاسترداد عالية الخطورة ضوابط متعددة الطبقات:

تحقق من أن البريد الإلكتروني أو الهاتف الجديد لاستعادة الحساب له علاقة موثوقة بالحساب.
تطلب إثباتًا من عامل مسجل بالفعل قبل تغيير قنوات الاسترداد.
حظر الموافقة بواسطة الذكاء الاصطناعي فقط لأسماء المستخدمين ذات القيمة العالية، والحسابات المؤكدة، وحسابات العلامات التجارية، والحسابات الحكومية.
استخدم الاسترداد المؤجل للتغييرات الحساسة، مع إرسال إشعارات إلى قنوات الحساب الحالية.
قدم مراجعة بشرية لمسارات الاسترداد عالية المخاطر، ولكن احمِ المراجعين من خلال قوائم تحقق واضحة وقواعد تصعيد.

ما الذي يجب أن تتعلمه الفرق

اعتبر استعادة الحساب بمثابة مصادقة، وليس خدمة عملاء.
قيد ما يمكن لأنظمة الدعم الذكية تغييره بدون مراجعة بشرية.
قدّم التحقق المتقدم قبل تغيير البريد الإلكتروني، أو الهاتف، أو المصادقة متعددة العوامل، أو مفاتيح المرور، أو طرق الاسترداد.
سجّل التنبيهات عند تغييرات الاسترداد، خاصة للحسابات عالية القيمة.
اختبر سير عمل الدعم الذكي باستخدام موجهات عدائية قبل الإطلاق.
استمر في تفعيل المصادقة متعددة العوامل على الحسابات الاجتماعية وحسابات العلامة التجارية، ويفضل استخدام مفاتيح المرور أو مفاتيح الأمان.

ما يجب استخلاصه

يجب ألا يُسمح لدعم الذكاء الاصطناعي باتخاذ قرارات الهوية بناءً فقط على الإقناع ودلائل السياق. إذا كان يمكن لعملية استعادة الحساب نقل التحكم في الحساب، فإنها تعتبر حدودًا أمنية.

لماذا ينتمي هذا إلى المدونة

ضوابط التصميم التي يجب أن توجد

ما الذي يجب أن تتعلمه الفرق

ما يجب استخلاصه

مصادر