Meta gibt zu: Fehler in KI-Support-Tool legte 20.000 Instagram-Konten offen

Meta ↗ 0.83% hat offiziell einen Sicherheitsvorfall gemeldet, bei dem ein Fehler im KI-gestützten Instagram-Konto-Wiederherstellungstool es Angreifern ermöglichte, mehr als 20.000 Benutzerkonten zu kapern, indem das System dazu gebracht wurde, Passwort-Reset-Links an unbefugte E-Mail-Adressen zu senden.

Funktionsweise des Exploits

In einem bei der Generalstaatsanwaltschaft von Maine eingereichten Schreiben erklärte Amber Hannah, stellvertretende Chefjuristin für die Reaktion auf Sicherheitsvorfälle bei Meta, dass die Schwachstelle im „High Touch Support“-Tool des Unternehmens lag – einem KI-gestützten System, das gesperrten Benutzern helfen soll, wieder Zugriff auf ihre Instagram-Konten zu erhalten.cybernews+1

Das Tool versäumte es zu überprüfen, ob die während einer Passwort-Reset-Anfrage angegebene E-Mail-Adresse tatsächlich mit der in den Kontodaten hinterlegten Adresse übereinstimmte. „Wenn eine Person eine E-Mail-Adresse angab, die zuvor nicht mit dem Konto verknüpft war, sandte das System fälschlicherweise einen Passwort-Reset-Link an diese nicht verknüpfte E-Mail, anstatt die Anfrage abzulehnen“, schrieb Hannah. Angreifer, die den Reset-Link erhielten, konnten sich dann bei jedem Konto anmelden, für das keine Zwei-Faktor-Authentifizierung aktiviert war.bleepingcomputer

Laut den Unterlagen aus Maine begann der Vorfall am 17. April und wurde am 31. Mai 2026 entdeckt. Insgesamt waren 20.225 Konten betroffen. BleepingComputer berichtete erstmals am 1. Juni über die Angriffe, nachdem eine Welle von Benutzerberichten in sozialen Medien aufgetaucht war. 404 Media berichtete, dass Hacker ein Video auf Telegram veröffentlicht hatten, das den Exploit demonstrierte: Dabei wurde ein VPN in der Nähe des Standorts des Ziels verwendet und der KI-Chatbot von Meta einfach aufgefordert, eine neue E-Mail-Adresse mit dem Konto zu verknüpfen.krebsonsecurity+3

Prominente Ziele

Die Angreifer schienen es auf begehrte „OG“-Handles abgesehen zu haben – kurze oder bemerkenswerte Benutzernamen. Der Sicherheitsjournalist Brian Krebs berichtete, dass zu den kompromittierten Konten eines des Chief Master Sgt. der U.S. Space Force, John F. Bentivegna, sowie der Instagram-Account aus der Ära des Obama White House gehörten. Pro-iranische Hackergruppen bekannten sich in Telegram-Kanälen zu der Kampagne.cybernews+1

Metas Reaktion

Meta hat das HTS-Tool deaktiviert, alle damit generierten Passwort-Reset-Links für ungültig erklärt und betroffene Konten in eine obligatorische Sicherheitsprüfung aufgenommen, die eine erneute Authentifizierung der Benutzer erfordert. Das Unternehmen teilte mit, dass es plant, die E-Mail-Verifizierungsprüfung zu korrigieren, bevor das Tool wieder eingeführt wird, und führt derzeit eine Überprüfung ähnlicher Wiederherstellungsprozesse auf seinen Plattformen durch.bleepingcomputer

Metas Kommunikationschef Andy Stone erklärte auf X, dass das „Problem gelöst wurde und wir die betroffenen Konten sichern“. Der Exploit funktionierte nicht bei Konten, für die irgendeine Form der Multi-Faktor-Authentifizierung aktiviert war, was die langjährige Empfehlung von Sicherheitsexperten unterstreicht, dass Benutzer selbst den SMS-basierten Zwei-Faktor-Schutz aktivieren sollten.krebsonsecurity+1