Meta korjasi viikonloppuna haavoittuvuuden, jonka avulla hakkerit pystyivät kaappaamaan suosittuja Instagram-tilejä yhdellä keskustelulla yhtiön omalle tekoälyavustajalle. Hyökkääjät eivät tarvinneet uhrin salasanaa, kaksivaihetunnistusta tai pääsyä alkuperäiseen sähköpostiin – riitti, että Meta AI Support Assistant suostuteltiin lisäämään tilille uusi sähköpostiosoite.
Hyökkäys askel askeleelta
Hyökkäysketju oli karu yksinkertaisuudessaan. Hakkeri kytki päälle VPN-yhteyden, joka asetti hänet uhrin maantieteelliseen sijaintiin ja ohitti Instagramin automaattiset suojaukset. Tämän jälkeen hän avasi keskustelun Metan AI-tukibotin kanssa ja pyysi lisäämään tiliin uuden sähköpostiosoitteen – oman osoitteensa.
Tukibotti lähetti vahvistuskoodin hakkerin antamaan sähköpostiin. Kun koodi syötettiin takaisin keskusteluun, botti tarjosi näytölle painikkeen "Reset Password". Sen perään uusi salasana, ja koko tili oli hakkerin hallussa. Alkuperäisen sähköpostin omistajaa ei missään vaiheessa varoitettu.
TechCrunchin mukaan haavoittuvuus perustui siihen, että hakkerin ei tarvinnut missään vaiheessa ottaa haltuun uhrin oikeaa sähköpostia. Tekoälyavustaja toimi vahvistavana välikappaleena, joka käytännössä korvasi kaikki perinteiset tiliturvallisuuden tarkastuspisteet.
Obama-aikainen Valkoinen talo ja avaruusvoimat
Uhreissa oli yllättäviä nimiä. Obaman presidenttikauden Valkoisen talon Instagram-tili, joka on ollut käyttämättömänä vuodesta 2017, kaapattiin viikonloppuna. Saman kohtelun sai Yhdysvaltain avaruusvoimien ylin aliupseeri Chief Master Sergeant John Bentivegna, jonka virka-asema vastaa suunnilleen Suomen Puolustusvoimien ylimmän aliupseerin tehtäviä.
Myös tietoturvatutkija Jane Wong raportoi oman tilinsä joutuneen hyökkäyksen kohteeksi. Instagramin tiedottaja Andy Stone vahvisti maanantaina haavoittuvuuden olevan korjattu. Meta ei kertonut, kuinka monta tiliä ehti kaapata, eikä yhtiö antanut tarkempaa lausuntoa siitä, kuinka pitkään aukko oli ollut avoinna.
“Salasanani vaihtui ilman tietoani ja sain useita salasanan nollauspyyntöjä koko päivän.”
Tekoälyavustaja ohitti tiliturvan
Kyseessä ei ole klassinen ohjelmistovirhe vaan suunnitteluvika. Meta AI Support Assistant on rakennettu helpottamaan käyttäjäpalvelua, mutta sille on annettu valtuudet muuttaa tilin keskeisiä asetuksia ilman, että botti pystyy varmistamaan, kuka keskustelun toisessa päässä todella on. Kun avustaja luottaa pelkkään sähköpostivahvistukseen, jonka se itse lähetti hakkerin antamaan osoitteeseen, koko tarkistusketju on noidankehä.
Sanasto
Kaksivaihetunnistus (2FA)
Lisäsuojaus jossa salasanan lisäksi vaaditaan toinen varmennus, esimerkiksi tekstiviestillä saapuva koodi tai sovelluksen tuottama kertakäyttökoodi. Vaikeuttaa tilin kaappausta merkittävästi.
VPN (Virtual Private Network)
Palvelu joka piilottaa käyttäjän todellisen sijainnin ja IP-osoitteen reitittämällä liikenteen toisen palvelimen kautta. Hakkerit käyttävät VPN:ää muun muassa esiintyäkseen uhrin maantieteellisestä sijainnista käsin.
Suomessa kysymys osuu AI Actin ytimeen
EU:n tekoälyasetus AI Act astuu pääosin voimaan 2. elokuuta 2026 – kahden kuukauden päästä. Traficom on Suomen kansallinen yhteyspiste, ja sen Kyberturvallisuuskeskus valvoo viestintäverkkojen ja -palvelujen tietoturvaa. Tukirobottien osalta keskeinen kysymys on, täyttävätkö Metan kaltaiset tekoälyavustajat AI Actin läpinäkyvyys- ja turvallisuusvaatimukset, kun ne pystyvät tekemään käyttäjälle haitallisia muutoksia ilman aitoa tunnistusta.
Digitaalisten palveluiden asetus DSA velvoittaa suuret alustat arvioimaan systeemiset riskit, joita niiden palvelut käyttäjille aiheuttavat. Identiteettivarkauteen johtava tukibotti on melko selvästi tämän velvoitteen piirissä, ja sanktioiden katto on kuusi prosenttia globaalista liikevaihdosta.
Suomalaisten käyttäjien kannattaa tarkistaa Instagram-tilinsä sähköpostiosoitteet ja kytkeä kaksivaihetunnistus päälle riippumattomasta sovelluksesta, kuten Aegiksesta tai Google Authenticatorista. Jos epäilet, että tilillesi on lisätty tuntematon sähköposti, käy poistamassa se valikosta Security → Login & Recovery.
Mitä isompi vaikutusvalta tilillä on, sitä houkuttelevampi kohde se on. Jos Yhdysvaltain avaruusvoimien aliupseerin tili kaatui yhteen kohteliaaseen pyyntöön, kannattaa miettiä, mitä tapahtuu suomalaiselle vaikuttajalle tai pörssiyhtiön viestintävastaavalle. Tukirobotin auttavaisuus ei saa tarkoittaa samaa kuin avain etuovesta.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
