Meta sier at feil i AI-støtteverktøy eksponerte 20 000 Instagram-kontoer

Meta ↗ 5.61% har formelt opplyst om en sikkerhetshendelse der en feil i deres AI-drevne verktøy for gjenoppretting av Instagram-kontoer tillot angripere å kapre mer enn 20 000 brukerkontoer ved å lure systemet til å sende lenker for tilbakestilling av passord til uautoriserte e-postadresser.

Hvordan utnyttelsen fungerte

I et brev om databruddet sendt til Maines riksadvokatkontor, forklarte Metas assisterende juridiske direktør for hendelseshåndtering, Amber Hannah, at sårbarheten lå i selskapets «High Touch Support»-verktøy, et AI-assistert system designet for å hjelpe utestengte brukere med å få tilbake tilgangen til sine Instagram-kontoer.cybernews+1

Verktøyet feilet i å verifisere om e-postadressen som ble oppgitt under en forespørsel om tilbakestilling av passord, faktisk samsvarte med den som var registrert på kontoen. «Når en person oppga en e-postadresse som ikke tidligere var knyttet til kontoen, sendte systemet feilaktig en lenke for tilbakestilling av passord til den ikke-tilknyttede e-postadressen i stedet for å avvise forespørselen,» skrev Hannah. Angripere som mottok tilbakestillingslenken, kunne deretter logge inn på enhver konto som ikke hadde tofaktorautentisering aktivert.bleepingcomputer

Ifølge dokumentene fra Maine startet bruddet 17. april og ble oppdaget 31. mai 2026. Totalt 20 225 kontoer ble berørt. BleepingComputer rapporterte først om angrepene 1. juni etter at en bølge av brukerrapporter dukket opp i sosiale medier, og 404 Media rapporterte at hackere hadde lagt ut en video på Telegram som demonstrerte utnyttelsen, som innebar å bruke en VPN nær målets lokasjon og ganske enkelt be Metas AI-chatbot om å koble en ny e-postadresse til kontoen.krebsonsecurity+3

Profilerte mål

Angriperne så ut til å fokusere på ettertraktede «OG»-brukernavn – korte eller bemerkelsesverdige brukernavn. Sikkerhetsjournalisten Brian Krebs rapporterte at kompromitterte kontoer inkluderte en som tilhørte U.S. Space Force Chief Master Sgt. John F. Bentivegna og Instagram-kontoen fra Obama-æraen i Det hvite hus. Pro-iranske hackergrupper tok på seg ansvaret for kampanjen i Telegram-kanaler.cybernews+1

Metas respons

Meta har deaktivert HTS-verktøyet, ugyldiggjort alle lenker for tilbakestilling av passord som det genererte, og lagt berørte kontoer inn i en obligatorisk sikkerhetssjekk som krever at brukere autentiserer seg på nytt. Selskapet sa at de planlegger å fikse e-postverifiseringen før de relanserer verktøyet, og gjennomfører en gjennomgang av lignende gjenopprettingsflyter på tvers av sine plattformer.bleepingcomputer

Metas kommunikasjonsdirektør, Andy Stone, uttalte på X at «problemet er løst, og vi sikrer de berørte kontoene». Utnyttelsen fungerte ikke mot kontoer med en form for flerfaktorautentisering aktivert, noe som understreker sikkerhetseksperters langvarige anbefaling om at brukere bør aktivere selv SMS-basert tofaktorbeskyttelse.krebsonsecurity+1