- ช่องโหว่ที่สามารถหลอก AI ฝ่ายบริการลูกค้า Meta ให้รีเซ็ตรหัสผ่านและยึดบัญชีได้ด้วย username เพียงอย่างเดียว ทำให้หลายบัญชีชื่อดังได้รับผลกระทบ รวมถึงบัญชี Obama White House
- ผู้โจมตีเชื่อมต่อผ่าน VPN·พร็อกซี ใกล้เมืองของเหยื่อเพื่อหลบเลี่ยงความสงสัยจากอัลกอริทึมความปลอดภัย จากนั้นบอก AI ฝ่ายซัพพอร์ตว่า "บัญชีถูกแฮ็ก" และขอให้ส่งโค้ดยืนยันไปยังอีเมลตามอำเภอใจ
- ระบบจะส่งโค้ดไปยังอีเมลดังกล่าว โดยไม่มีการตรวจสอบเพิ่มเติม ว่าเป็นอีเมลที่ผู้ใช้เคยใช้มาก่อนหรือไม่ และเมื่อผู้โจมตีส่งโค้ดกลับ ระบบก็จะส่งลิงก์รีเซ็ตรหัสผ่านต่อให้ทันที เป็นการรีเซ็ตรหัสผ่านแบบ zero auth
- เนื่องจากขั้นตอนกู้คืนนี้ถูกมองว่าเป็นการรีเซ็ตบัญชีทั้งหมดโดยเจ้าของตัวจริง 2FA เดิมจึงถูกข้ามได้ พร้อมทั้งยกเลิกเซสชันและเปลี่ยนรหัสผ่านโดยไม่มีการแจ้งเตือน
- ปัญหาหลักคือการไม่มี guardrail ที่เพียงพอ จน AI ฝ่ายซัพพอร์ตของบริษัทมูลค่า $1.5 ล้านล้านสามารถเปลี่ยนอีเมลที่ผูกกับบัญชีได้เพียงเพราะมีคนมาขอ และ แม้ตอนนี้จะแพตช์แล้ว แต่ดูเหมือนจะเปิดใช้งานอยู่เป็นเวลาหลายสัปดาห์ถึงหลายเดือน
ขั้นตอนการยึดบัญชี
-
Step 01 — ปลอมตำแหน่งและเริ่มคำขอซัพพอร์ต
- สิ่งที่ต้องใช้เพื่อเริ่มการโจมตีมีเพียง username ของบัญชีเป้าหมาย และสามารถหาตำแหน่งของผู้ใช้ได้ไม่ยากจากหลายช่องทาง เช่น โปรไฟล์สาธารณะหรือส่วน "About"
- เชื่อมต่อผ่าน VPN หรือพร็อกซี ใกล้เมืองของเหยื่อเพื่อปลอมให้ภูมิภาคของคำขอดูเป็นปกติ ไม่ให้ถูกอัลกอริทึมความปลอดภัยของ Instagram สงสัย
- เมื่อคำขอดูเหมือนมาจากภูมิภาคที่ถูกต้อง ก็แจ้ง AI ฝ่ายซัพพอร์ตของ Meta ว่าบัญชีถูกแฮ็ก แล้วขอให้ส่งโค้ดยืนยันไปยังอีเมลตามอำเภอใจที่ผู้โจมตีควบคุม
-
Step 02 — แค่นี้ก็จบ
- ในความเป็นจริงมีแค่นี้เอง และเป็นกรณีแรกของการรีเซ็ตรหัสผ่านแบบ zero auth ที่พบใน production
- ไม่มีการยืนยันเพิ่มเติม ว่าอีเมลที่ให้มานั้นเป็นอีเมลที่ผู้ใช้เคยใช้งานจริงหรือไม่
- เมื่อ AI ส่งโค้ดความปลอดภัยไปยังอีเมลของผู้โจมตี ผู้โจมตีก็ส่งโค้ดนั้นกลับมาเพื่อยืนยันให้เสร็จสมบูรณ์ จากนั้นแพลตฟอร์มจะส่งลิงก์รีเซ็ตรหัสผ่านใหม่ให้ และโอนความเป็นเจ้าของทั้งหมด
-
การยืนยันตัวตนด้วยวิดีโอเซลฟี
- AI ของ Instagram อาจขอหรือไม่ขอ video selfie เพื่อพิสูจน์ตัวตนก็ได้
- มีรายงานอย่างกว้างขวางว่าความสามารถในการแยกแยะตอนนี้ยังไม่สูง และเพียงแค่นำรูปสาธารณะจากฟีดของเป้าหมายไป ทำแอนิเมชันด้วย AI ก็ผ่านได้
แม้แต่ 2FA ก็ป้องกันไม่ได้
- เนื่องจากระบบมองขั้นตอนกู้คืนสิทธิ์ระดับสูงนี้ว่าเป็นการรีเซ็ตบัญชีทั้งหมดของเจ้าของ "ตัวจริง" 2FA เดิมจึงถูกข้ามทั้งหมด ในกระบวนการนี้
- เซสชันเดิมจะถูกยกเลิกและรหัสผ่านถูกเปลี่ยน แต่ ไม่มีการแจ้งเตือนทางอีเมล·SMS·พุชเลยแม้แต่น้อย
- เจ้าของตัวจริงไม่สามารถเริ่มกระบวนการกู้คืนได้ เพราะอีเมลและเบอร์โทรศัพท์ถูกผูกกับผู้โจมตีไปแล้ว และไม่มีคนให้ escalte เรื่อง ต้องต่อสู้กับแชตเพื่อพยายามทวงการควบคุมกลับคืน
- หากบัญชีอยู่ในกลุ่ม A/B test ที่เปิดตัวเลือกซัพพอร์ตด้วย AI ไว้ ก็ ไม่สามารถปิดตัวเลือกนั้นได้
ตลาดมืดคึกคัก
- มี กลุ่ม Telegram ตลาดมืดหลายกลุ่มที่เสนอขายบริการ "account takeover" โดยชูราคาสูงและเวลาจัดการที่รวดเร็ว
- short handle มีมูลค่าตั้งแต่หลายแสนดอลลาร์ไปจนถึงหลายล้านดอลลาร์ จึงไม่น่าแปลกใจที่ตลาดลักษณะนี้จะเกิดขึ้น
- ตัวอย่างจริง เช่น บัญชีอย่าง
heyถูกซื้อขาย หรือถูกนำไปใช้ในทาง propaganda อย่างobamawhitehouseและocmssf(บัญชีจ่าสิบเอกอาวุโสของกองทัพอวกาศสหรัฐฯ)
ตอนนี้แพตช์แล้ว
- ดูเหมือนว่า Meta จะแพตช์ไปแล้ว และกลุ่ม Telegram ต่าง ๆ ก็เงียบลง แต่คาดว่าวิธีนี้เปิดใช้งานอยู่เป็นเวลาหลายสัปดาห์ถึงหลายเดือน
- ประเด็นสำคัญอยู่ที่การที่บริษัทมูลค่า $1.5 ล้านล้าน ไม่มี guardrail ที่แข็งแรงพอ จน AI ฝ่ายซัพพอร์ตสามารถเปลี่ยนอีเมลที่ผูกกับบัญชีของใครก็ได้ เพียงเพราะมีคนขออย่างสุภาพพอ
1 ความคิดเห็น
ความเห็นจาก Hacker News
ในห่วงโซ่ความปลอดภัยของบริษัทใหญ่ คำขอความช่วยเหลือจากซัพพอร์ต มักเป็นจุดอ่อนที่สุดเสมอ
เมื่อก่อนก็เคยมีคนปิดการยืนยันตัวตนแบบสองขั้นตอนแล้วส่งมอบบัญชีของฉันให้ไปแล้ว ดังนั้นที่ LLM จะทำแบบเดียวกันก็ดูไม่น่าแปลกใจเท่าไร
แค่รู้ว่าพนักงานซัพพอร์ตระดับล่างสามารถ ปิด 2FA ได้ก็ทำให้โมโหแล้ว เพราะมันทำลายจุดประสงค์ของกระบวนการนี้
ถ้าเป็นแบบ fail secure พอคุณเสียอีเมลไป บัญชีก็จะถูกล็อกตลอดกาล แต่ถ้าเป็นแบบ fail safe ต่อให้เสียอีเมล บัญชีก็จะไม่ถูกล็อกถาวร ทว่าก็เปิดช่องให้ใครสักคนแกล้งทำเป็นอยู่ในสถานการณ์นั้นแล้วมายึดบัญชีได้
มันเหมือนตัวควบคุมประตูไฟฟ้าที่เมื่อไฟดับแล้วประตูจะยังล็อกอยู่หรือเปิดค้างไว้ ตอนเกิดไฟไหม้ประตูควรเปิดเพื่อให้คนหนีออกได้ แต่ขโมยก็อาจตัดไฟเพื่อเข้ามาได้เช่นกัน
ประตูที่ล็อกถาวรเมื่อไฟดับยอมรับได้เฉพาะในกรณีสุดขั้วที่ให้ความสำคัญกับความปลอดภัยสูงสุดเท่านั้น และบัญชี Instagram ก็ไม่ได้สำคัญถึงขั้นเดียวกับประตูในสถานการณ์ไฟไหม้
ที่แย่กว่านั้นคือ ภายหลังในช่วงที่ดูเหมือนพวกเขาจะเปลี่ยนระบบซัพพอร์ต ผู้โจมตีคนเดิมก็กลับมาเล่นงานบัญชีฉันอีก และยึดไปได้จริงอยู่หลายชั่วโมงจนลามไปถึงบัญชี Twitter ด้วย
เหตุการณ์นี้เกิดขึ้นใกล้เคียงกับช่วงที่ fElon ปลดคนครั้งใหญ่และถอดการยืนยันตัวตนสองขั้นตอนผ่านโทรศัพท์ออกจากบัญชี
Crazy Domains กับ Newfold Digital (เดิมคือ EIG) ห่วยแตกจริง ๆ และสุดท้ายฉันยังเสีย ชื่อผู้ใช้ OG ไปอีก เพราะ fElon เอาไปใช้กับเรื่องไร้สาระของ Grok
[1] https://news.ycombinator.com/item?id=47913341
[2] https://news.ycombinator.com/item?id=47859496
[3] https://news.ycombinator.com/item?id=47856983
ตอนนั้นต้องลบสตอเรจโวลุมอย่างเร่งด่วนเพื่อเคลียร์พื้นที่ และเพราะเป็นงานทำลายข้อมูลจึงถูกล็อกไว้ในลักษณะที่ฝั่งผู้ขายต้องทำหน้าที่เป็น กุญแจดอกที่สอง ร่วมกับกุญแจของฝั่งเรา
เราไม่เคยตั้งค่านี้ไว้ให้ถูกต้องด้วยซ้ำ และฉันเองก็ไม่เคยล็อกอินเข้าบัญชีซัพพอร์ตของพวกเขาเลย
ผู้ขายบอกว่าต้องมีผู้ติดต่อที่ได้รับอนุมัติจากฝั่งเราสองคนยืนยันงานนี้ และในทางปฏิบัติก็คือเพื่อนร่วมงานที่กำลังจัดการเหตุขัดข้องระดับ Sev1 ลากฉันเข้าคอล Zoom
เจ้าหน้าที่ซัพพอร์ตขอ 2FA ของฉัน แต่พอฉันบอกว่าไม่เคยตั้งไว้และไม่มีอีเมลลงทะเบียนจึงรับรหัสไม่ได้ เจ้าหน้าที่ที่ดูเหมือนเป็นเอาต์ซอร์ซก็แปะโค้ดลงในแชต Zoom แล้วถือว่าแค่ฉันอ่านทวนกลับก็พอสำหรับเดินหน้าต่อ
ตอนนั้นฉันช็อกเกินกว่าจะคิดลึก ๆ แต่สิ่งที่น่าสนใจคือพวกเขามองเห็นโค้ดที่ควรถูกสร้างขึ้นล่วงหน้าได้ และยังป้อนมันเข้าระบบของตัวเองได้โดยตรง
สุดท้ายมันก็ช่วยไม่ให้ Sev1 ลุกลามเป็น Sev0 แต่โดยรวมแล้วโครงสร้างแบบนี้เปราะบางมากต่อ social engineering และการโจมตีจากคนใน
ฉันเดาว่าพวกเขาคงไม่ได้ให้สิทธิ์ข้ามขั้นแบบนี้กับเจ้าหน้าที่ซัพพอร์ตชั้น 1 หรือ 2 อย่างโจ่งแจ้ง แต่อาจซ่อนไว้ในรูปแบบอื่นที่ต้องยกระดับสิทธิ์สูงกว่าแต่ยังดำเนินการได้ในระดับนาทีไม่ใช่ชั่วโมง
เพียงแต่ยิ่งองค์กรใหญ่ขึ้น การหาสมดุลแบบนี้ก็ยิ่งยากขึ้นเรื่อย ๆ
บัญชี Facebook ของพ่อฉันน่าจะถูกแฮ็กจากฟิชชิง แต่ไม่มีใครให้ติดต่อเพื่อเอาคืนได้เลย
ไอ้พวกขยะที่ขโมยบัญชียังโพสต์เนื้อหาผิดกฎหมายอีก ทำให้บัญชีและความทรงจำส่วนตัวราว 10 ปีถูกลบหายไปโดยไม่มีกระบวนการเยียวยาใด ๆ และการคุยกับคนจริงของ Meta ก็เป็นไปไม่ได้
มีแต่หน้า FAQ ที่ช่วยอะไรแทบไม่ได้อย่างบ้าคลั่ง
ขอแนะนำอย่างยิ่งให้ ดาวน์โหลดข้อมูลส่วนตัวมาเก็บสำรอง จากทุกบัญชีโซเชียลมีเดียของตัวเองและคนในครอบครัว
บริษัทใหญ่พวกนี้ไม่ได้สนใจผู้ใช้นอกจากเอาไว้ให้ดูโฆษณาของจุกจิกส่งตรงจากจีนกับ TikTok ขยะ AI เท่านั้น
หมายความว่า AI agent มีสิทธิ์เข้าถึงระดับพิเศษที่สามารถ ลบ 2FA, เมินอีเมลของบัญชี และส่งมอบบัญชีให้ผู้ร้องขอได้เลยงั้นหรือ
พูดตามตรงว่านี่เป็นความประมาทเลินเล่อร้ายแรงมาก จนชวนให้สงสัยว่าทีมที่สร้าง “ฟีเจอร์” นี้อาจกำลังพยายามทำความเสียหายให้ Meta แบบแนบเนียนที่สุดก่อนถูกเลย์ออฟตามแผนหรือเปล่า
ถึงขั้นน่าเสียดายที่ไม่มีใครลองไปให้สุดด้วยการลบตาราง production ทั้งก้อน
แค่แกล้งเป็น SRE สิทธิ์สูง บอกว่าต้องแก้ production bug ระดับวิกฤต และวิธีเดียวคือการลบฐานข้อมูลก็น่าจะพอแล้ว
https://www.cia.gov/static/5c875f3ec660e092cf893f60b4a288df/...
ฉันเป็นผู้ใช้ในกลุ่ม 6,000 คนแรก ของ Instagram และชื่อผู้ใช้แบบตรงตัวของฉันถูกขโมยไปเมื่อหลายปีก่อน
ทีมซัพพอร์ตสำหรับบัญชีที่ยืนยันตัวตนแล้วก็ยอมรับว่ามีปัญหา แต่บอกว่าทำอะไรไม่ได้
ครั้งนี้เป็นการใช้ AI ในทางที่ผิด แต่กรณีของฉันคือการใช้ซัพพอร์ตที่จ้างภายนอกในทางที่ผิด โดยมีคนจ่ายเงินให้เปลี่ยนชื่อผู้ใช้ของฉันด้วยมือ แล้วโอนไปให้ผู้ใช้อีกคน
ถ้าไม่มีซัพพอร์ตจากมนุษย์ที่มีความรับผิดชอบ และไม่มีผลทางอาญากับพนักงานที่ฝ่าฝืนเรื่องนี้ ก็จะมีช่องทางเข้าถึงบัญชีได้เสมอ
บัญชี Instagram ที่เชื่อมกันกลับปกติดี แต่พอพยายามใช้ Meta Verified support ก็ถูกปฏิเสธทุกคำขอ โดยอ้างว่าใช้โควต้าซัพพอร์ตหมดแล้ว
ตอนนี้กำลังถือไว้รอจนกว่าธนาคารจะมาขอซื้อ
มันเหลวไหลมากที่ AI ได้รับ สิทธิ์ใช้เครื่องมือ ให้ส่งอีเมลไปยังที่อยู่ใดก็ได้ตามอำเภอใจ
การส่งรหัสยืนยันตัวตนสองขั้นตอนตามคำขอของผู้ใช้นั้นพอเข้าใจได้ แต่ควรทำได้แค่กดปุ่มเพื่อส่งอีเมล 2FA ไปยังที่อยู่ที่ผูกกับบัญชี และอย่างอื่นควรถูกจัดการด้วยโค้ดที่เขียนตายตัวด้วยมือ
ไม่มีเหตุผลเลยที่ AI ต้องเข้าถึงตัวรหัส 2FA เอง หัวข้อข้อความ เนื้อหา หรือที่อยู่อีเมลผู้รับ
ไม่เข้าใจจริงๆ ว่าทำไมถึงให้สิทธิ์แบบนั้น
โฟลว์เดียวกันนี้จะเขียนแบบ static ไว้ก็ได้ และอาจเป็นแบบนั้นจริงด้วยซ้ำ
ไม่รู้ว่าแชตบอตมีส่วนทำจริงๆ มากแค่ไหนในที่นี้
ไม่ได้บอกว่าเคสนี้ต้องเป็นแบบนั้น แต่ฉันพอเดาได้ว่าอาจเกิดอะไรขึ้นจริง
จากที่เห็นจนถึงตอนนี้ ดูเหมือนว่า Meta AI Support Assistant หรือ “MAISA” จะมี a) tool call สำหรับเริ่มการยืนยันอีเมลไปยังจุดติดต่อที่ผูกกับอีเมล เบอร์โทร หรือบัญชีใดบัญชีหนึ่ง และ b) tool call สำหรับสร้างลิงก์รีเซ็ตรหัสผ่านของบัญชีโดยอิงจากความพยายามยืนยันอีเมล
ฉันไม่ได้เข้าถึงโค้ดจริงโดยตรง แต่ดูเหมือนว่า handle หรือ ID ของความพยายามยืนยันอีเมล และรหัสยืนยันที่ผู้ใช้กรอก ถูกส่งต่อไปยัง tool call “สร้างลิงก์รีเซ็ตรหัสผ่าน” และ tool call นั้นตรวจสอบไม่ดีพอว่าอีเมลที่ใช้ในการยืนยันนั้นเป็นของบัญชีนั้นจริงหรือไม่ จึงเปิดทางให้เกิด การยึดบัญชี ได้
tool call ของ MAISA ที่สร้างลิงก์รีเซ็ตรหัสผ่านควรล้มเหลวเมื่อได้รับความพยายามยืนยันที่สอดคล้องกับอีเมลที่ไม่ได้ผูกกับบัญชี
ตอนฉันทดสอบสิ่งคล้ายกันบน Facebook มันเหมือนจะถูกบล็อกด้วย error จริง แต่ฝั่ง Instagram อาจมีการเปลี่ยนแปลงเพื่อให้ผู้โจมตีสามารถกู้คืนบัญชีที่ถูกยึดไปแล้วได้ โดยอนุญาตให้ใช้อีเมลเก่าที่เพิ่งถูกยกเลิกการเชื่อมต่อไปไม่นาน
ถ้าเป็นแบบนั้น ก็จำเป็นต้องใช้อีเมลที่ตอนนี้ไม่ได้ผูกกับบัญชี และตั้งให้เป็นอีเมลหลักของผู้ใช้
อีกความเป็นไปได้คือการเปลี่ยนแปลงใน MAISA tool call ไปเรียก API ผิดตัว หรือมีบางอย่างที่ทำให้ใช้ความพยายามยืนยันอีเมลไหนก็ได้ที่สำเร็จแล้ว แต่เหล่าวิศวกรอาจไม่ได้เพิ่ม การทดสอบ end-to-end มากพอสำหรับกรณีที่ใส่ความพยายามยืนยันอีเมลที่ไม่เกี่ยวข้องเข้าไปใน tool call
ฉันคิดว่าควรโฟกัสตรงนี้มากที่สุด
ถ้าเป็น agent tool call ที่ผู้โจมตีมีอิทธิพลต่อ output ได้ ก็ควรปฏิบัติต่อมันเหมือน external API ที่ใครก็เข้าถึงได้ และทดสอบแบบนั้น
แน่นอนว่านี่เป็นการคาดเดาทั้งหมด และไม่ได้สะท้อนสัญญาณหลายอย่างที่ใช้ตัดสินความถูกต้องของความพยายามกู้คืนบัญชี จึงอาจผิดไปมากก็ได้ แต่ในฐานะคนที่ทำด้านความปลอดภัยของ Meta มาพอสมควร นี่คือคำอธิบายที่ใกล้เคียงที่สุดว่าทำไมเรื่องนี้ถึงเกิดขึ้นได้
เหมือนมีคนบอกว่า “ทำให้ AI agent ช่วยรีเซ็ตรหัสผ่านได้หน่อย” แล้วไม่มีการรีวิวโดยมนุษย์ต่อการเปลี่ยนแปลงเลย
เมื่อหลายปีก่อนบัญชี Facebook ของฉันก็เคยถูกเจาะหลังจาก การยืนยันตัวตนสองขั้นตอน แบบ TOTP ถูกปิดใช้งาน
ตอนนั้นฉันก็ไม่สบายใจกับนโยบายความปลอดภัยของ Facebook เลย และการโจมตีแบบใหม่ครั้งนี้ก็ยิ่งตอกย้ำความรู้สึกนั้น
การให้วิศวกรจูเนียร์มาดูแลงานซัพพอร์ตด้านความปลอดภัยเป็นเรื่องน่าขัน
ส่วนหนึ่งเพราะคนอายุน้อยอาจยังไม่เข้าใจว่าความปลอดภัยบางครั้งร้ายแรงได้แค่ไหน และอีกส่วนเพราะพวกเขาไม่ได้ให้ความสำคัญกับความเป็นส่วนตัวมากพอ
มีคนบอกว่านี่คือ “การรีเซ็ตรหัสผ่านแบบไม่ต้องยืนยันตัวตน ที่แท้จริงครั้งแรกที่เห็นใน production” แต่เมื่อก่อน LinkedIn ก็เคยมีแบบนั้น
ฉันไม่ได้รับคำตอบที่เหมาะสม อาจเพราะมันเกิดก่อนจะมีค่าตอบแทนการรายงานช่องโหว่ แต่สุดท้ายพวกเขาก็แก้
วิธีการเป็นแบบนี้
LinkedIn คิดว่าถ้าคุณอ่านอีเมลที่ส่งไปยังที่อยู่นั้นได้ ก็แปลว่าคุณเป็นเจ้าของที่อยู่นั้นและควรเพิ่มมันเข้าบัญชีได้
ดังนั้นถ้าฉันส่งคำเชิญ LinkedIn ไปยังอีเมลใดอีเมลหนึ่ง และอีกฝ่ายกดปุ่มรับคำเชิญ ที่อยู่อีเมลนั้นก็จะถูกเพิ่มเข้าไปในบัญชีของอีกฝ่าย
ถ้าฉันส่งคำเชิญไปยังที่อยู่ที่ฉันควบคุมได้ เช่น foo@example.com แล้วส่งลิงก์ปุ่มรับคำเชิญในอีเมลปลอมต่อไปให้คนอื่น พอคนนั้นกด foo@example.com ก็จะถูกเพิ่มเข้าไปในบัญชีของเขาแบบลับๆ ทันที
เมื่อฉันได้รับการตอบกลับว่าเป็นเพื่อนกันแล้ว ฉันก็รู้ด้วยว่ามีการเพิ่มอีเมลที่ฉันรู้จักเข้าไปในบัญชีผู้ใช้นั้น และสามารถใช้ foo@example.com ที่ส่งอีเมลแรกไปเพื่อรีเซ็ตรหัสผ่านเต็มรูปแบบได้
ฉันค้นพบสิ่งนี้หลังมีคนเชิญทั้ง mailing list และหลังจากมีคนกด ก็มี ที่อยู่ mailing list ถูกเพิ่มเข้าไปในบัญชีของหลายคนแบบกะทันหัน
“ถ้าคำขอดูเหมือนมาจากภูมิภาคที่ถูกต้อง ก็แค่บอก AI ฝ่ายซัพพอร์ตของ Meta ว่าบัญชีถูกแฮ็ก แล้วขอให้ส่งรหัสยืนยันไปยังอีเมลอะไรก็ได้ที่ผู้โจมตีควบคุม” — Instagram กำลังทำอะไรกันแน่
ไม่เข้าใจเลยว่าทำไมถึงไม่ส่งการรีเซ็ตไปยังบัญชีนั้น แต่กลับส่งไปที่ อีเมลใดก็ได้
ฟังดูเหมือนผลลัพธ์จาก AI ซัพพอร์ตมากกว่าคนจริง ๆ และสถานการณ์คือ “ถ้าคุณอยู่ในกลุ่มบัญชี A/B test ที่เปิดตัวเลือก AI ซัพพอร์ตไว้ ก็ถือว่าซวย และปิดเองก็ไม่ได้”
สงสัยอยู่ว่าทำไมตลอดสุดสัปดาห์ถึงได้รับ อีเมลรีเซ็ตรหัสผ่าน ของ Instagram ตั้ง 15 ฉบับ
นั่นทำให้นึกขึ้นได้ด้วยซ้ำว่าตัวเองยังมีบัญชี Instagram อยู่ เลยรีบจะล็อกอินเข้าไปลบทิ้งทันที
เป็นบัญชีที่สร้างไว้ตั้งแต่ Instagram เปิดตัวใหม่ ๆ ไม่เคยใช้งานเลย และลืมไปสนิทแล้ว
แต่กลับไปติดอยู่กับสถานการณ์ประหลาดที่ต้องล็อกอินจากอุปกรณ์ที่เคยใช้ล็อกอินมาก่อน และเพราะมันผ่านมามากกว่า 10 ปีแล้ว จึงไม่มีอุปกรณ์ที่น่าจะเคยใช้สร้างหรือเข้าถึงบัญชีนั้นอีกต่อไป
แม้จะยังเข้าถึงทั้งอีเมลและเบอร์โทรศัพท์ที่ใช้กับบัญชีได้ แต่แค่นั้นก็ยังไม่พอ
มันไร้ความสามารถจนน่าขำจริง ๆ เลยยื่น คำร้องเรียนตาม CCPA ไป
สร้างไว้โดยไม่มีเบอร์โทรศัพท์ และแม้จะรู้รหัสผ่าน แต่พอพยายามล็อกอินกลับถูกตีว่าเป็นกิจกรรมต้องสงสัย และไม่มีขั้นตอนกู้คืนที่ใช้งานได้จริง
หลายกรณีของการนำไปใช้ในทางที่ผิดดูโง่มากเสียจนทำให้ฉุกคิดอยู่เสมอว่า ถ้าเป็นฉันคงไม่คิดจะลองด้วยซ้ำ
แค่ ขอรหัสผ่าน ก็พอ แล้วมันใช้ได้จริงงั้นเหรอ?
นัยของเหตุการณ์นี้ค่อนข้างน่ากังวล
Meta ให้เอเจนต์มี สิทธิ์เข้าถึงแบบอ่าน-เขียนระดับพิเศษ ต่อบัญชีผู้ใช้โดยไม่มีการตรวจทานจากมนุษย์เลยงั้นหรือ?
บ้าคลั่งสิ้นดี
ข้อมูลล็อกอินของบัญชีสำรอง Facebook บัญชีหนึ่งของฉัน somehow ถูก รวม เข้ากับบัญชีสำรองอีกอันที่เคยใช้มาก่อน
คือสามารถใช้อีเมลของบัญชีหนึ่งไปล็อกอินอีกบัญชีได้ และดูเหมือนการรวมนี้จะยังคงอยู่ต่อไป
เหมือน Meta จะตัดสินไม่ทางใดก็ทางหนึ่งว่าทั้งสองบัญชีเป็นคนเดียวกัน