Hakerzy przejęli tysiące kont na Instagramie przez błąd w AI

Zamiast weryfikować tożsamość, rozdawał dostęp do profili każdemu, kto o to poprosił. Zautomatyzowany asystent wsparcia technicznego Mety, który miał ułatwiać odzyskiwanie kont na Instagramie, okazał się najsłabszym ogniwem w systemie zabezpieczeń. Przez błąd w logice narzędzia „High Touch Support” cyberprzestępcy zyskali otwartą drogę do cudzych profili, ignorując klasyczne metody uwierzytelniania.

Jak sztuczna inteligencja pomagała hakerom

Sprawa jest istotna właśnie teraz, ponieważ pokazuje, że ślepa pogoń za automatyzacją procesów wsparcia technicznego może zmienić narzędzie obronne w wektor ataku. Incydent ten uderza w zaufanie do systemów AI, które mają zarządzać kluczowymi elementami tożsamości cyfrowej milionów ludzi. Według doniesień serwisu iPhoneIslam, redakcja ocenia sytuację wprost: „Meta potwierdziła, że tysiące kont na Instagramie zostało zhakowanych i skradzionych z powodu dziwacznej luki w zabezpieczeniach jej chatbota”.

Mechanizm błędu był prymitywny. Gdy ktoś zgłaszał chęć odzyskania hasła, chatbot wysyłał link do resetowania dostępu na dowolny adres e-mail, który podał zgłaszający. System nie sprawdzał, czy podany mail ma jakikolwiek związek z kontem. Atakujący musiał jedynie znać nazwę użytkownika, by przejąć nad nim pełną kontrolę.

Liczby i skala szkód

Dane przekazane prokuratorowi generalnemu stanu Maine wskazują, że Meta wysłała alerty o naruszeniu do 20 225 użytkowników. Kampania trwała od 17 kwietnia 2026 roku i pozostała niewykryta przez niemal półtora miesiąca. Ofiarą padły nie tylko przypadkowe osoby, ale też konta o wysokiej wartości rynkowej, w tym profile z krótkimi, unikalnymi nazwami (tzw. OG names), które na czarnym rynku osiągają zawrotne ceny.

Hakerzy zyskali dostęp do prywatnych wiadomości (DM), zdjęć oraz danych wrażliwych, takich jak daty urodzenia. Rzecznik koncernu, Andy Stone, próbował uspokajać nastroje w rozmowie z mediami: „Problem został rozwiązany i zabezpieczamy konta, których dotyczył incydent” — zadeklarował w oświadczeniu dla CyberDefence24.

Kosztowna automatyzacja

Gdy inżynierowie zorientowali się, że algorytm ignoruje procedury bezpieczeństwa, chatbot został wyłączony, a kod powodujący problem usunięty. Meta wymusiła zmianę haseł na poszkodowanych i unieważniła linksy wygenerowane przez AI. Obecnie trwa audyt innych chatbotów na platformach firmy, by wykluczyć podobne luki u ich silników.

Cała sytuacja rzuca cień na strategię Marka Zuckerberga. Po fali masowych zwolnień korporacja drastycznie ograniczyła ludzki personel w działach wsparcia, zastępując go rozwiązaniami opartymi na sztucznej inteligencji. To zdarzenie udowadnia, że pozorna optymalizacja kosztów poprzez usuwanie ludzi z pętli decyzyjnej bywa ryzykowna. Zamiast obiecanej wygody, użytkownicy otrzymali dziurawy system, który potraktował hakerów jak prawowitych właścicieli.