Meta Muse: Σοβαρό κενό ασφαλείας εξέθεσε προσωπικά και επιχειρηματικά δεδομένα χρηστών

Η Meta αναγκάστηκε να αναστείλει εσπευσμένα τη δυνατότητα κοινοποίησης συνομιλιών στο Muse, τον νέο γενικής χρήσης ψηφιακό βοηθό τεχνητής νοημοσύνης της εταιρείας. Η απόφαση ελήφθη έπειτα από αποκαλύψεις ερευνητών κυβερνοασφάλειας, οι οποίοι διαπίστωσαν ότι ευαίσθητες προσωπικές και επιχειρηματικές πληροφορίες ήταν εκτεθειμένες και εύκολα προσβάσιμες στο ευρύ κοινό μέσω δημόσιων συνδέσμων.

Το αρχιτεκτονικό σφάλμα και η διαρροή μέσω DNS

Όπως συμβαίνει σε πολλές διαδικτυακές πλατφόρμες, το Muse επέτρεπε στους χρήστες να μοιράζονται αναζητήσεις, διαλόγους και παραγόμενο περιεχόμενο δημιουργώντας έναν μοναδικό σύνδεσμο (URL). Παρότι τέτοιοι σύνδεσμοι συνήθως προστατεύονται από τυχαίες, δυσεύρετες σειρές χαρακτήρων, μία κρίσιμη σχεδιαστική επιλογή της Meta κατέστησε τα δεδομένα ανησυχητικά ευάλωτα.

Συγκεκριμένα, ερευνητές της εταιρείας ασφαλείας Claroc ανακάλυψαν ότι οι σύνδεσμοι κοινοποίησης ενσωμάτωναν τον ίδιο τον τίτλο της συνομιλίας ως subdomain της διεύθυνσης cf.metaaiusercontent.com. Αυτό είχε ως αποτέλεσμα οι διευθύνσεις να καταγράφονται αυτόματα σε δημόσια αρχεία παθητικού DNS (passive DNS), τα οποία είναι προσβάσιμα μέσω απλών εμπορικών εργαλείων αναζήτησης.

Με μία μόνο αναζήτηση, οι ερευνητές κατάφεραν να εντοπίσουν 6.800 συνδέσμους. Εξετάζοντας μερικές εκατοντάδες από αυτούς, βρέθηκαν μπροστά σε απόρρητα στοιχεία, όπως προϋπολογισμούς πωλήσεων ακινήτων, εσωτερικές οικονομικές ανασκοπήσεις τριμήνου και προσχέδια αιτήσεων δανείων. Οι ερευνητές ονόμασαν το φαινόμενο «GhostShares», υπογραμμίζοντας ότι τρίτοι μπορούσαν να εντοπίσουν σελίδες που δεν προορίζονταν ποτέ για δημόσια θέαση.

Η αντίδραση της Meta και το ζήτημα της ιδιωτικότητας

Παρότι ο συνιδρυτής και τεχνικός διευθυντής της Claroc, Ασάφ Απρόζπερ, δήλωσε ότι είχε ενημερώσει τη Meta μέσω του προγράμματος bug bounty ήδη από τις αρχές Οκτωβρίου χωρίς να λάβει απάντηση, ο τεχνολογικός κολοσσός προχώρησε τελικά στο πάγωμα της λειτουργίας μετά από δημοσιογραφικές παρεμβάσεις.

Σε επίσημη δήλωσή της, η Meta ανέφερε: «Ανοίξαμε το πρόγραμμα bug bounty του Muse ώστε οι ερευνητές να επισημαίνουν διάφορα σενάρια και να μας βοηθούν να βελτιώνουμε το προϊόν. Παγώσαμε τη λειτουργία κοινοποίησης ενόσω εξετάζουμε την αναφορά και σχεδιάζουμε αλλαγές στον τρόπο διαχείρισης αυτών των συνδέσμων».

Η εξέλιξη αυτή πλήττει την αξιοπιστία του νέου εργαλείου, καθώς μόλις τον προηγούμενο μήνα ο διευθύνων σύμβουλος της Meta, Μαρκ Ζάκερμπεργκ, είχε διαβεβαιώσει δημόσια ότι το Muse σχεδιάστηκε εξαρχής με απόλυτη προτεραιότητα στην ιδιωτικότητα και την ασφάλεια.

Αυξανόμενοι προβληματισμοί για την ασφάλεια του Muse

Το περιστατικό εντείνει τις ανησυχίες γύρω από την πλατφόρμα, η οποία σκαρφάλωσε ταχύτατα στις πρώτες θέσεις του App Store της Apple. Το Muse λειτουργεί αυτόνομα: συμπληρώνει φόρμες, προγραμματίζει ραντεβού, πραγματοποιεί αγορές και συντάσσει έγγραφα, απαιτώντας εκτεταμένη πρόσβαση στους προσωπικούς λογαριασμούς των χρηστών.

Ωστόσο, δεν είναι το πρώτο πρόβλημα που καταγράφεται. Τρεις εβδομάδες μετά την κυκλοφορία του, ο ειδικός ασφαλείας σε λειτουργικά macOS, Πάτρικ Γουάρντλ, εντόπισε ευπάθεια μηδενικής ημέρας (zero-day), η οποία επέτρεπε σε κακόβουλες εφαρμογές να αποκτήσουν πλήρη έλεγχο του λογαριασμού Muse του θύματος. Με τη νέα αυτή διαρροή μέσω των GhostShares, πληθαίνουν τα ερωτήματα σχετικά με το εάν ο ψηφιακός βοηθός της Meta είναι πράγματι έτοιμος να διαχειριστεί την ευρεία πρόσβαση και την εμπιστοσύνη που απαιτεί από τους χρήστες.