Главное
- Meta приостановила функцию обмена сообщениями в ИИ-агенте Muse из-за утечки данных.
- Специалисты Claroc обнаружили доступ к 6800 ссылкам на чаты Muse.
- Утечка произошла из-за конструктивной ошибки в URL-адресах.
- Meta была уведомлена о проблеме 8 октября, но ответила только после запроса от журналистов.
- Это второй инцидент с безопасностью Muse за короткий срок.
Meta приостановила функцию обмена сообщениями в своем ИИ-агенте Muse после выявления утечки конфиденциальных данных пользователей. Об этом сообщает Ars Technica.
Специалисты компании Claroc обнаружили, что через простые запросы можно было получить доступ к 6800 ссылкам на чаты Muse, созданные пользователями. В ходе анализа открытых страниц исследователи нашли множество личных и финансовых данных, включая:
- Кадровые тайны: заметки кандидата, связанные с поиском топ-менеджера, содержащие имя контакта и время встречи.
- Финансовые документы: внутренний отчет о доходах маркетинговой компании, адресованный генеральному директору.
- Банковские данные: заявка на кредит с указанием суммы и уведомления о мошенничестве от банка, включая частичные номера счетов.
- Инвестиционные отчеты: информация о недвижимости с адресами объектов и данными о доходах.
- Персональные графики: календарь отпусков сотрудников, показывающий расписание отсутствия работников.
По словам исследователей, для доступа к этим данным не требовалось сложных хакерских действий — достаточно было одного запроса.
Причиной утечки стала конструктивная ошибка в URL-адресах, где названия чатов были включены в субдомены. Это привело к тому, что информация о субдомене фиксировалась в публичных базах данных, открывая доступ к страницам для посторонних.
Исследователи назвали это явление GhostShares, то есть страницы, доступные людям, которым ссылки не были отправлены. Meta была информирована о проблеме еще 8 октября, но ответ получила только после запроса от журналистов. Компания временно заморозила функцию, чтобы изучить инцидент и внести изменения в систему.
Представители Meta подчеркнули, что Muse был разработан с акцентом на безопасность и приватность пользователей. Однако ассистент требует глубокого доступа к личным аккаунтам для выполнения различных действий, что вызывает дополнительные опасения.
Это второй инцидент с безопасностью Muse за короткий срок. Ранее в приложении была обнаружена уязвимость, позволяющая сторонним программам перехватывать контроль над аккаунтом пользователя. В настоящее время создание новых публичных ссылок в Muse полностью заблокировано.